Een woningcorporatie beheert meer dan een huurcontract. Zij beoordeelt kandidaten, verifieert inkomen voor sociale huur, behandelt reparaties, volgt huurachterstanden en ontvangt soms overlastmeldingen met informatie over buren. De AVG voor woningcorporaties vraagt dat deze gegevensstromen ieder een afgebakend doel, passende grondslag, minimale gegevensset en bewaartermijn hebben. De Woningwet en regels voor woningtoewijzing geven voor bepaalde taken een specifieke context, maar dragen geen onbeperkt dossiergebruik. Deze gids laat zien hoe u toewijzing, huurbeheer, vroegsignalering, overlast en samenwerking afzonderlijk beoordeelt.
Belangrijkste punten
- Voor sociale huur moeten corporaties de toepasselijke toewijzings- en inkomensregels volgen. Vraag bewijs dat voor de concrete route nodig is; het digitale inkomensdelingsstelsel kent specifieke autorisatie, doel en verwijdermomenten.
- Een overlastmelding is geen bewezen feit. Scheid bron, observatie, reactie en besluit; gezondheids- of strafrechtelijke gegevens vragen een extra juridische toets.
- Een gedeelde zwarte lijst heeft zwaardere voorwaarden dan een intern incidentdossier. Strafrechtelijke gegevens kunnen bovendien een AP-vergunning vereisen, tenzij een uitzondering geldt.
- Huurachterstanden delen voor gemeentelijke vroegsignalering volgt een specifieke regeling met voorafgaande inspanningen en een route voor bezwaar; gewone wijkteamsamenwerking heeft niet automatisch die grondslag.
- Een woningcorporatie heeft niet enkel vanwege het etiket ‘semipubliek’ automatisch een FG-plicht. Beoordeel de afzonderlijke criteria van artikel 37 AVG en eventuele specifieke sectorwetgeving.
De grondslag per woningproces kiezen
Begin met een kaart van kandidaat, huurder, medehuurder, buurmelder, medewerker en leverancier. Voor ieder proces noteert u doel, benodigde velden, grondslag, ontvangers en termijn. Een overeenkomst kan sommige gegevens van een huurder dragen wanneer verwerking voor de overeenkomst met die persoon objectief noodzakelijk is. Een wettelijke plicht kan andere gegevens vereisen, bijvoorbeeld in een concrete toewijzingsroute. Een taak van algemeen belang vergt een toepasselijke wettelijke basis; ‘wij dienen een maatschappelijk doel’ is op zichzelf onvoldoende. Voor marketing of vrijwillig onderzoek is weer een afzonderlijke afweging nodig. De gids over artikel 6-grondslagen helpt zulke keuzes onderscheiden.
Maak in het verwerkingsregister verschillende activiteiten voor woningzoekenden, toewijzing, lopende huur, onderhoud, incasso en overlast. De uitzondering voor organisaties onder 250 medewerkers geldt per activiteit en niet als algemene vrijstelling; niet-incidentele verwerking, de wettelijke risicovoorwaarde en artikel 9- of 10-gegevens kunnen haar uitsluiten. Herhaald huurbeheer is niet incidenteel. Koppel aan iedere activiteit een eigenaar en herzie de kaart bij een nieuw woonruimteverdeelsysteem of gegevensuitwisseling. Een technisch dataplatform kan één database hebben, maar dat maakt de doelen niet één verwerking.
Informeer betrokkenen op het juiste moment. Een woningzoekende moet vóór of bij het verzamelen weten wat voor inschrijving en toewijzing nodig is. Een huurder krijgt informatie over huurbeheer, betalingen en onderhoud. De buur die een klacht meldt, verdient uitleg over hoe zijn gegevens en de identiteit van de gemelde huurder worden behandeld. Artikel 13 en 14 AVG verschillen naar gelang u gegevens bij de persoon zelf of elders kreeg; noteer die herkomst. De privacyverklaring voor een organisatie kan structuur geven, maar een generieke websitepagina zonder uitleg over overlast- of inkomensprocessen is onvoldoende.
Inkomenstoets en passend toewijzen
De overheid beschrijft voor sociale huur actuele normen voor woningtoewijzing en passendheid, waaronder een 95%-norm voor passende toewijzing aan huishoudens onder de relevante inkomensgrens. De concrete grensbedragen veranderen per jaar; kopieer geen oud bedrag in een permanent AVG-formulier. Bepaal eerst welke woning en welk toewijzingsregime aan de orde zijn. Vraag daarna de gegevens die die toets vereist. Het ministerie licht toe dat samenstelling van het huishouden en inkomen nodig kunnen zijn en welke documenten het inkomen aantonen. Een volledig bankafschrift is niet vanzelf nodig als een toepasselijke inkomensverklaring het doel bereikt. Leg vast welk bewijs is gezien, welke uitkomst is vastgesteld en waarom eventuele kopieën nodig blijven.
Voor het digitaal delen van inkomensgegevens via de overheidsvoorziening bestaan specifiekere regels. Alleen aangewezen en geautoriseerde corporaties of woonruimteverdelers kunnen de route gebruiken. De officiële FAQ zegt dat het gedeelde inkomen alleen voor de in de Woningwet voorgeschreven inkomenstoets voor sociale huur mag worden gebruikt, niet voor middenhuur. Zij noemt voor BSN bij inschrijving verwijdering direct na uitschrijving en voor BSN en inkomen voor de toets verwijdering na accountantscontrole, uiterlijk binnen drie jaar na vaststelling van het inkomen. Pas deze termijnen niet klakkeloos toe op ieder papieren woningdossier; zij horen bij deze specifieke voorziening en doelen. De overheids-FAQ over digitaal inkomensdelen geeft de actuele voorwaarden.
Een kandidaat die de woning niet krijgt, heeft een ander dossierdoel dan een aangenomen huurder. Stel afzonderlijke termijnen vast voor inschrijving, selectie- en afwijzingsbewijs, toegewezen huur en wettelijke verantwoording. De AVG kent geen universele ‘drie jaar voor alle woningzoekenden’. Controleer ook kopieën bij woonruimteverdelers, makelaars en lokale teams. Beperk inzage in inkomensgegevens tot de medewerkers die de toets uitvoeren; een onderhoudsmonteur of wijkbeheerder hoeft ze niet te zien. De gids over bewaartermijnen helpt de bewaarmatrix te bouwen.
Huurachterstand en vroegsignalering
Huurachterstanden zijn financieel gevoelige gegevens en raken soms kwetsbare situaties. Registreer bedragen, termijnen, contactpogingen en afspraken feitelijk. Deel niet automatisch de volledige betaalhistorie met iedere woonconsulent. Een incassobureau, deurwaarder en gemeentelijke schuldhulpverlener hebben verschillende taken en kunnen eigen AVG-rollen hebben; zij zijn niet allemaal vanzelf uw verwerker. Bepaal de rol en wettelijke of contractuele basis per overdracht. Houd een spoor van welke gegevens op welke datum zijn gedeeld.
Voor gemeentelijke vroegsignalering bestaat een specifieke regeling. De Rijksoverheid beschrijft dat verhuurders na eigen inspanningen, waaronder ten minste een schriftelijke herinnering, poging tot persoonlijk contact, wijzen op schuldhulp en aanbod van gegevensdeling, onder voorwaarden een betalingsachterstand melden. De gedetailleerde overheidsuitleg zegt dat een huurder die bezwaar maakt niet mag worden gemeld; de algemene overheidspagina zegt dat niet eerst toestemming van de klant nodig is. Lees dit als een wettelijke route met procedurele voorwaarden en bezwaar, niet als een algemene vrijbrief om huurdersdata aan iedere wijkpartner te geven of als een standaard AVG-toestemmingsvakje. Verifieer de actuele uitvoeringsregels en de concrete casus. De Rijksoverheid-vraag over melden van huurachterstand geeft het stappenverloop.
Maak de gegevensset klein: identiteit en contact die de gemeente nodig heeft, aard en hoogte van de achterstand en de noodzakelijke context. Een volledig huurdersdossier met medische of overlastinformatie hoort niet automatisch bij een schuldsignaal. Leg een veilige verzendroute en ontvangstcontrole vast. Als een huurder een betalingsregeling treft of bezwaar maakt, moet dat de route beïnvloeden. Bespreek met de huurder hoe gegevens worden gebruikt, zonder de wettelijke procedure te verwarren met vrijwillige begeleiding. De gids over artikel 6-grondslagen helpt de bredere doel- en grondslagtoets ondersteunen.
Overlastdossiers: feiten, bronnen en rechten
Een overlastdossier kan een melding van een buur bevatten, een observatie van een wijkbeheerder, geluidsmetingen en een reactie van de huurder. Scheid die bronnen en label een beschuldiging als melding, niet als vastgesteld feit. Leg alleen informatie vast die nodig is voor een concrete aanpak. Een losse notitie over vermoedelijke psychische problemen of strafbaar gedrag kan bijzondere of strafrechtelijke gegevens opleveren waarvoor artikel 9 of 10 AVG en de UAVG extra voorwaarden stellen. Vraag welke functionaris die gegevens echt nodig heeft en verwijder niet-geverifieerde of verouderde informatie.
Een huurder mag in beginsel inzage en correctie van onjuiste persoonsgegevens vragen. Dat betekent niet dat u zonder afweging de identiteit van een klagende buur prijsgeeft. Artikel 15 lid 4 en de rechten van anderen vragen een gerichte beoordeling, afscherming of samenvatting waar passend; een algemeen ‘overlastdossiers zijn vertrouwelijk’ is evenmin een geldig automatisch antwoord. Noteer welke bron is beschermd en waarom. Als u een verzoek niet inwilligt, geef redenen zonder onredelijke vertraging en uiterlijk binnen een maand na ontvangst, inclusief klacht- en rechterlijke route volgens artikel 12 lid 4. De gids over inzage helpt dit proces inrichten.
Een DPIA is verplicht als de verwerking waarschijnlijk hoog risico oplevert of onder een toepasselijke categorie van de AP-lijst valt. Een gewone individuele overlastmelding is niet automatisch DPIA-plichtig. Een stelselmatig dossier over gedrag, gecombineerde gegevens uit verschillende bronnen of gedeelde uitsluiting kan wel een hoog risicoprofiel hebben. Leg de voorafgaande afweging vast. De AP-uitleg over DPIA’s en de DPIA-stappengids helpen de drempel toetsen.
Zwarte lijsten en weigering van woningtoegang
Een interne incidentregistratie is niet automatisch een zwarte lijst. Als een lijst bepaalt dat iemand bij toekomstige verhuringen wordt uitgesloten, wordt de impact veel groter. Leg objectieve plaatsingscriteria, duur, onafhankelijke controle, correctieroute en herbeoordeling vast. Onderzoek of een minder ingrijpende casusbehandeling volstaat. Deel de lijst niet met andere corporaties enkel omdat zij dezelfde systemen gebruiken. De AP zegt dat gedeelde lijsten strengere voorwaarden kennen dan interne lijsten; als strafrechtelijke gegevens worden gedeeld, kan vooraf een AP-vergunning nodig zijn tenzij een uitzondering van toepassing is. Een bestaand protocol van een andere corporatie verleent niet automatisch toestemming aan alle deelnemers.
Een gedeelde lijst kan iemand van sociale huur uitsluiten in een groot gebied. Dat maakt reikwijdte, proportionaliteit en feitencontrole wezenlijk. De AP-handreiking over gedeelde zwarte lijsten bespreekt aparte eisen voor strafrechtelijke gegevens en voor sectoroverschrijdend delen. Combineer een toepasselijke artikel 6-grondslag met eventueel artikel 10/UAVG-toets, een DPIA indien verplicht en een transparante rechtenroute. Noem een lastige huurder niet ‘fraudeur’ zonder feitelijke grond. Een DPIA op zichzelf legaliseert de lijst niet; zij identificeert risico’s en maatregelen vooraf.
Wijkteams, zorgpartners en gemeenten
Een wijkteam kan schuldhulp, overlast en zorg combineren, maar de deelnemers hebben niet automatisch één gezamenlijke bevoegdheid. Bepaal per uitwisseling doel, grondslag, ontvanger en noodzakelijke gegevens. Een corporatie kan een onderhoudsprobleem delen zonder een medisch dossier mee te sturen. Een zorgverlener kan geheimhoudingsplichten hebben die verdere uitwisseling beperken. Een convenant kan rollen, beveiliging en procedures vastleggen, maar is zelf geen AVG-grondslag. Onderzoek of partijen zelfstandig of gezamenlijk verantwoordelijk zijn of dat een partij werkelijk verwerker is. Sluit alleen in dat laatste geval artikel 28-afspraken; een gemeente is niet louter door ontvangst van gegevens uw verwerker.
Werk met een casusbesluit: wat is het concrete probleem, welke gegevens zijn nodig, wie krijgt ze, wanneer worden zij opnieuw beoordeeld en hoe wordt de huurder geïnformeerd? Doe bij waarschijnlijk hoog risico vooraf een DPIA. Laat een urgente situatie niet leiden tot een permanent gedeeld dossier zonder afbakening. Bij een wettelijk verplichte melding, zoals een toepasselijke vroegsignaleringsroute, volgt u die specifieke voorwaarden; voor een algemene ‘wijktafel’ is opnieuw analyse nodig. De gids over gegevensbescherming door ontwerp kan helpen toegang en scheiding technisch vorm te geven.
Slimme meters en woningtechnologie
Een sensor voor energiebeheer kan gegevens over een woning of huishouden verzamelen. Hoge meetfrequentie kan aanwezigheid of leefpatronen onthullen. Vraag wie de gegevens ziet: de huurder, energieleverancier, corporatie, onderhoudspartij of een platform. Heeft de corporatie individuele minuutwaarden nodig om een gebouw te verduurzamen, of volstaan geaggregeerde uitkomsten? Beperk resolutie, toegang en bewaartermijn. Informeer huurders voordat de techniek wordt geplaatst en onderscheid noodzakelijk onderhoud van facultatieve analyse. Verwerking van gezondheids- of aanwezigheidsprofielen is een ander doel dan meten van technische staat.
Controleer of de installatie een DPIA vereist op grond van waarschijnlijk hoog risico; grootschalige of stelselmatige monitoring van bewoners kan dat aannemelijk maken. Maak voor leveranciers duidelijk wie de doelen bepaalt en hoe storingen of datalekken worden gemeld. Een slim slot of app kan ook gegevens over bezoekers en monteurs vastleggen. Geef bewoners een werkbare route om hun gegevens in te zien en corrigeer onjuiste koppelingen tussen meter en woning. De beveiligingsgids van artikel 32 helpt toegangs- en logmaatregelen kiezen.
Functionaris, bestuur en controle
Artikel 37 AVG kent afzonderlijke FG-triggers: een overheidsinstantie of publiekrechtelijk orgaan, behalve rechtbanken bij hun rechterlijke taak; kernactiviteiten met regelmatige en stelselmatige grootschalige observatie; of kernactiviteiten met grootschalige verwerking van artikel 9- of 10-gegevens. Een corporatie is niet enkel door haar maatschappelijke opdracht vanzelf een overheidsinstantie in deze zin. Beoordeel rechtsvorm, concrete kernactiviteiten en eventueel bijzondere sectorregels. Een FG vrijwillig aanstellen kan verstandig zijn, maar noem de wettelijke plicht alleen als de toepasselijke trigger is vastgesteld. De gids over de FG-plicht werkt de criteria uit.
Het bestuur blijft verantwoordelijk voor de AVG-inrichting, ook wanneer een FG adviseert. Laat toewijzing, wijkbeheer, incasso en ICT elk een eigenaar voor verwerkingen en toegangsrechten aanwijzen. Controleer periodiek of bewaartermijnen in systemen werken, niet alleen in een beleidsdocument staan. Een gerichte steekproef kan tonen of een afgewezen woningzoekende nog met inkomensstukken in een gedeelde map staat of of een oude overlastmelding nog in zoekresultaten verschijnt. Noteer corrigerende acties en sluit ze aantoonbaar. Dat is praktisch bewijs van verantwoordelijkheid, geen garantie voor een bepaalde toezichtsuitkomst.
FAQ
Mag een corporatie een zwarte lijst van huurders delen?
Alleen na een zware, concrete rechtmatigheids- en proportionaliteitstoets. Gedeelde lijsten kennen strengere voorwaarden dan een intern dossier; strafrechtelijke gegevens kunnen een AP-vergunning vergen tenzij een uitzondering geldt. Beoordeel ook of een DPIA verplicht is, wat de lijst voor woningtoegang betekent, en hoe inzage en correctie werken. Een DPIA of convenant is op zichzelf geen toestemming om te delen.
Welke inkomensgegevens mag ik bij toewijzing vragen?
Vraag wat de toepasselijke sociale-huurtoets nodig heeft. De overheidsroute voor digitaal delen kent eigen autorisatie, doelbinding en verwijdermomenten; zij is niet bedoeld voor middenhuur. Een volledig bankafschrift is niet vanzelf nodig wanneer een passend inkomensbewijs volstaat. Leg vast welke route u gebruikte en wie de gegevens kan zien.
Moet ik een huurachterstand aan de gemeente melden?
Voor vroegsignalering gelden specifieke voorwaarden. De Rijksoverheid noemt voorafgaande herinnering, persoonlijk contact, wijzen op hulp en aanbod van gegevensdeling, en zegt dat een huurder die bezwaar maakt niet mag worden gemeld. Controleer die procedure en de actuele wettelijke regeling voor de concrete casus; deel niet automatisch een volledig huurdersdossier of gegevens met een willekeurig wijkteam.
Is iedere overlastzaak DPIA-plichtig?
Nee. Artikel 35 vraagt een DPIA bij waarschijnlijk hoog risico en de AP-lijst kan bepaalde categorieën verplicht aanwijzen. Een incidentele feitelijke klacht is niet hetzelfde als een stelselmatig profiel of gedeelde uitsluitingslijst. Leg de drempelbeoordeling en, waar vereist, de DPIA vóór invoering vast.
Is voor elke woningcorporatie een FG wettelijk verplicht?
Niet louter vanwege het label ‘woningcorporatie’. Beoordeel de afzonderlijke artikel 37-triggers en eventuele specifieke sectorregels: publieke instantie met rechterlijke uitzondering, grootschalige regelmatige en stelselmatige monitoring als kernactiviteit, of grootschalige artikel 9/10-verwerking als kernactiviteit. Een vrijwillige FG kan organisatorisch nuttig zijn.
Primaire bronnen: AVG op EUR-Lex, Volkshuisvesting Nederland over passend toewijzen, officiële FAQ digitaal inkomensdelen, Rijksoverheid over vroegsignalering door verhuurders, AP over gedeelde zwarte lijsten en AP over DPIA’s.