Gemeenten hebben onvoldoende kennis over welke gegevens ze verwerken, met welk doel en of dit rechtmatig en veilig is. Ze weten ook niet met welke (sub-)verwerkers en verwerkingsverantwoordelijken ze samenwerken in dit kader. Ondanks deze gebreken tonen gemeenten ambitie en streven ze naar datagestuurde werkwijzen en het gebruik van nieuwe technologieën. Dit is echter onverstandig omdat de basis nog niet op orde is. Ongecontroleerde gegevens worden gebruikt als input voor big data en algoritmen. Burgers die gebruik willen maken van hun AVG-rechten, zoals het recht op inzage, ervaren vaak lange wachttijden. Processen zijn niet overal goed geregeld en wettelijke termijnen worden zonder legitieme reden overschreden of verlengd. Bijna alle gemeenten hebben een capaciteitsprobleem op het gebied van gegevensbescherming. Er worden onvoldoende middelen vrijgemaakt om dit adequaat aan te pakken. Dit geeft de indruk dat verantwoordelijke bestuurders en directies dit niet voldoende prioriteren. Op basis van artikel 60 van de Gemeentewet moeten burgemeesters en wethouders verantwoording afleggen aan de gemeenteraad over hun bestuurlijke handelingen. Desondanks delen de meeste gemeenten de AVG-rapportages van de Functionaris Gegevensbescherming niet actief met de gemeenteraad. Dit rapport benadrukt de problemen rondom gegevensbescherming en privacy bij gemeenten, zoals gebrek aan kennis, capaciteitsproblemen, trage processen en gebrekkige verantwoording. Het wijst op het belang van het op orde brengen van de basis voordat nieuwe technologieën worden toegepast.