Privacywetgeving AVG voor zorg en veiligheid

Wie zoekt op avg privacy wetgeving, zoekt meestal houvast voor een concrete situatie. Welke persoonsgegevens mogen worden verwerkt? Wanneer mogen partners informatie uitwisselen? En welke afspraken zijn nodig voordat een casus wordt besproken? De AVG geeft hiervoor het algemene kader. Voor professionals in zorg en veiligheid is het daarnaast nodig om te kijken naar sectorspecifieke regels, zoals de UAVG, de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens.

Dit artikel zet de belangrijkste uitgangspunten op een rij. Het helpt gemeenten, zorginstellingen, veiligheidshuizen en andere ketenpartners om een gegevensverwerking zorgvuldig te beoordelen. Het vervangt geen juridisch advies voor een specifieke casus.

Wat betekent privacywetgeving AVG?

De Algemene verordening gegevensbescherming, meestal AVG genoemd, is de Europese privacywet voor organisaties die persoonsgegevens verwerken. Persoonsgegevens zijn gegevens die direct over iemand gaan of waarmee iemand indirect herkenbaar wordt. Een naam, adres of telefoonnummer valt er bijvoorbeeld onder. Ook een combinatie van gegevens kan naar een persoon leiden.

Verwerken is een breed begrip. Het gaat niet alleen om delen of publiceren, maar ook om verzamelen, vastleggen, opslaan, raadplegen, aanpassen en vernietigen. Daardoor valt een groot deel van het dagelijkse werk in het zorg- en veiligheidsdomein onder de privacyregels. Een verslag in een cliëntdossier, een deelnemerslijst voor een overleg en een beveiligde overdracht kunnen allemaal verwerkingen zijn.

De AVG geldt binnen de Europese Economische Ruimte. In Nederland vult de Uitvoeringswet AVG, de UAVG, de Europese regels op onderdelen aan. De Autoriteit Persoonsgegevens, de AP, houdt toezicht op de naleving.

Welke wetten horen bij de privacywetgeving?

De AVG is belangrijk, maar niet het enige juridische kader. Welke regels van toepassing zijn, hangt af van de organisatie, de taak en het doel van de verwerking.

• AVG en UAVG: het algemene kader voor de verwerking van persoonsgegevens.
• Richtlijn gegevensbescherming bij rechtshandhaving: het kader voor bevoegde autoriteiten die persoonsgegevens verwerken voor het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten en voor de uitvoering van straffen.
• Wet politiegegevens: regels voor politiegegevens en bepaalde verwerkingen door politie en opsporingsdiensten.
• Wet justitiële en strafvorderlijke gegevens: regels voor justitiële en strafvorderlijke gegevens, waaronder gegevens voor een verklaring omtrent het gedrag.
• Wet BRP: regels over het opnemen, wijzigen en verstrekken van persoonsgegevens uit de basisregistratie personen.

Dat onderscheid is relevant in een ketenoverleg. Een organisatie kan in verschillende rollen werken en voor verschillende doelen gegevens verwerken. De vraag is daarom niet alleen of informatie privacygevoelig is. Bepaal ook wie de gegevens verwerkt, met welk doel en op welke wettelijke taak of bevoegdheid de verwerking rust.

De belangrijkste AVG-principes voor gegevensdeling

De AVG vraagt om een onderbouwde werkwijze. De volgende principes bieden een praktisch vertrekpunt bij overleg, dossieropbouw en gegevensuitwisseling.

1. Bepaal een duidelijk doel

Verzamel en gebruik persoonsgegevens voor een specifiek, duidelijk omschreven doel. Een organisatie mag gegevens niet zonder nieuwe beoordeling voor ieder ander doel inzetten. Leg daarom vast welk probleem de samenwerking moet oplossen en welke verwerking daarvoor nodig is.

Een breed doel als betere samenwerking is meestal onvoldoende. Beschrijf concreter wat partners willen bereiken, bijvoorbeeld het afstemmen van ondersteuning rond een complexe situatie of het uitvoeren van een wettelijke taak. Een helder doel maakt het later makkelijker om te bepalen welke informatie wel en niet relevant is.

2. Kies een passende wettelijke grondslag

Voor iedere verwerking is een grondslag nodig. De AVG kent verschillende grondslagen, waaronder het uitvoeren van een overeenkomst, het voldoen aan een wettelijke verplichting, toestemming en het gerechtvaardigd belang. Voor publieke en professionele samenwerking kan ook een wettelijke taak of een andere grondslag relevant zijn, afhankelijk van de situatie.

Toestemming is dus niet automatisch de oplossing voor iedere gegevensdeling. Controleer eerst welke taak de organisatie uitvoert en welke regel die taak ondersteunt. Toestemming moet bovendien vrijwillig, actief en gebaseerd op begrijpelijke informatie zijn. In een afhankelijkheidsrelatie kan vrijwilligheid niet vanzelfsprekend zijn.

3. Deel niet meer dan noodzakelijk

Dataminimalisatie betekent dat partners alleen gegevens gebruiken die nodig zijn voor het vastgestelde doel. Een volledig dossier doorsturen omdat dit gemakkelijk is, past daar niet zonder meer bij. Beoordeel per gegeven of het nodig, relevant en actueel is.

Werk in een casusoverleg bijvoorbeeld met een vooraf bepaalde informatievraag. Noteer welke gegevens nodig zijn om die vraag te beantwoorden. Daarmee voorkom je dat gevoelige details worden gedeeld die geen rol spelen in de gekozen aanpak. Ook bij rapportages, exports en e-mailbijlagen is deze controle nodig.

4. Bewaar gegevens niet langer dan nodig

De AVG schrijft geen algemene, vaste bewaartermijn voor alle persoonsgegevens voor. De termijn hangt af van het doel en van eventuele wettelijke bewaarplichten. Leg per verwerking vast wanneer gegevens worden verwijderd, vernietigd of opnieuw beoordeeld.

Een bewaartermijn hoort niet alleen in een beleidsdocument te staan. Zorg dat de termijn ook uitvoerbaar is in dossiers, samenwerkingssystemen en gedeelde mappen. Controleer daarnaast of kopieën, e-mailbijlagen en lokale bestanden worden meegenomen.

5. Informeer betrokkenen duidelijk

Mensen moeten kunnen begrijpen welke gegevens een organisatie verwerkt, waarom dat gebeurt, hoe lang de gegevens worden bewaard en met wie de organisatie ze deelt. Een privacyverklaring is daarvoor een belangrijk middel. In complexe casuïstiek is ook de mondelinge uitleg aan de betrokkene van betekenis.

Transparantie betekent niet dat iedere situatie in dezelfde standaardtekst past. Pas de informatie aan op de verwerking en leg uit welke rol iedere betrokken organisatie heeft. Dat voorkomt onduidelijkheid over wie aanspreekbaar is.

6. Beveilig de verwerking passend

Organisaties moeten persoonsgegevens beveiligen tegen verlies, onbevoegde toegang en ongewenste verspreiding. De maatregel moet passen bij de aard en risico’s van de gegevens. Denk aan toegangsbeheer, actuele software, beveiligde verbindingen, logging en afspraken over het delen van bestanden.

Bij gezondheidsgegevens en informatie over veiligheid of strafbare feiten is extra zorgvuldigheid nodig. Beperk toegang tot medewerkers die deze voor hun taak nodig hebben. Bespreek ook hoe een organisatie handelt wanneer iemand van rol verandert of niet langer bij een casus betrokken is.

Gegevens delen in de zorg- en veiligheidsketen

Samenwerking begint niet met het uitwisselen van zoveel mogelijk informatie. Begin met de concrete casus, het doel en de rol van iedere partner. Beantwoord daarna per stap de volgende vragen:

1. Welke persoonsgegevens zijn nodig om het doel te bereiken?
2. Welke organisatie is verantwoordelijk voor de verwerking?
3. Welke wettelijke grondslag geldt voor iedere deelnemer?
4. Gaat het om gewone persoonsgegevens of om bijzondere gegevens, zoals gezondheidsgegevens?
5. Met welke ontvangers worden de gegevens gedeeld en waarom?
6. Welke informatie krijgt de betrokkene hierover?
7. Hoe worden toegang, beveiliging, bewaartermijn en vernietiging geregeld?

Bij gezondheidsgegevens gelden aanvullende regels. Raadpleeg daarom ook onze uitleg over AVG gezondheidsdata wanneer de verwerking informatie over gezondheid, behandeling of zorg bevat. Voor de dagelijkse praktijk kan daarnaast de toelichting over AVG zorgverleners helpen om verantwoordelijkheden, rechten en gegevensdeling te onderscheiden.

Maak afspraken niet alleen op organisatieniveau, maar ook op uitvoeringsniveau. Medewerkers moeten weten wie een verzoek beoordeelt, wie gegevens mag verstrekken en waar zij een twijfelgeval kunnen voorleggen. Een convenant of protocol kan helpen, maar het neemt de beoordeling per verwerking niet weg.

Rechten van mensen van wie gegevens worden verwerkt

De AVG geeft mensen verschillende rechten. Zij kunnen onder meer vragen om inzage, correctie of verwijdering. Ook bestaan er rechten op beperking van de verwerking, bezwaar en dataportabiliteit, voor zover de voorwaarden daarvoor zijn vervuld. Daarnaast hebben mensen recht op duidelijke informatie over het gebruik van hun persoonsgegevens.

Een organisatie moet een verzoek serieus en tijdig behandelen. In beginsel volgt binnen één maand een reactie. Bij een complex verzoek kan die termijn onder voorwaarden worden verlengd. Als een organisatie een verzoek niet uitvoert, moet zij kunnen uitleggen waarom.

Voor ketenpartners is een werkproces belangrijk. Leg vast via welk kanaal verzoeken binnenkomen, wie de identiteit controleert, welke organisaties moeten worden geraadpleegd en hoe het antwoord wordt gedocumenteerd. Zo voorkom je dat een verzoek blijft liggen omdat meerdere partijen betrokken zijn.

Wat moet een organisatie praktisch regelen?

Een goede AVG-aanpak bestaat uit meer dan een privacyverklaring. Gebruik deze controlelijst als startpunt:

• Maak een overzicht van verwerkingen, doelen, categorieën gegevens, ontvangers en bewaartermijnen.
• Leg per verwerking de wettelijke grondslag vast.
• Beschrijf verantwoordelijkheden tussen samenwerkingspartners.
• Sluit een verwerkersovereenkomst als een partij persoonsgegevens namens een andere organisatie verwerkt.
• Richt toegangsbeheer en beveiliging in op basis van het risico.
• Maak een procedure voor rechtenverzoeken en datalekken.
• Beoordeel vooraf of een Data Protection Impact Assessment, een DPIA, nodig is bij een hoog privacyrisico.
• Controleer of een functionaris voor gegevensbescherming verplicht of wenselijk is.
• Train medewerkers in zorgvuldig registreren, delen en bewaren.
• Evalueer afspraken wanneer het doel, de partners, de technologie of de wettelijke taak verandert.

De verantwoordingsplicht loopt door in de praktijk. Een organisatie moet niet alleen zorgvuldig werken, maar ook kunnen aantonen hoe zij tot een keuze is gekomen. Leg daarom besluiten, risico’s, maatregelen en evaluaties vast.

Wat bij een datalek?

Een datalek kan ontstaan door verlies van een laptop, verzending naar de verkeerde ontvanger, een verkeerd ingestelde autorisatie of een cyberaanval. Reageer snel en leg ieder datalek vast, ook wanneer uiteindelijk geen melding bij de AP nodig is.

Beoordeel eerst wat er is gebeurd, om welke gegevens het gaat, wie geraakt kan zijn en welke maatregelen verdere schade beperken. Ernstige datalekken moeten binnen 72 uur aan de AP worden gemeld. Informeer betrokkenen wanneer dat volgens de regels nodig is. Maak vooraf duidelijk wie de beoordeling uitvoert en wie contact onderhoudt met de AP en samenwerkingspartners.

Veelgestelde vragen over AVG privacy wetgeving

Geldt de AVG alleen voor digitale gegevens?

Nee. De AVG geldt ook voor papieren documenten en andere vormen van informatie, zolang het om persoonsgegevens gaat. De manier waarop de gegevens zijn opgeslagen bepaalt dus niet of de privacyregels van toepassing zijn.

Mag een gemeente persoonsgegevens altijd met een zorginstelling delen?

Nee. De betrokken organisaties moeten onder meer het doel, hun rol, de wettelijke grondslag, de noodzakelijke gegevens en de beveiliging beoordelen. Bijzondere persoonsgegevens kunnen aanvullende voorwaarden hebben. Een algemene afspraak om informatie te delen is niet genoeg.

Is toestemming altijd nodig voor gegevensdeling?

Nee. Toestemming is één van de mogelijke grondslagen. Welke grondslag passend is, hangt af van het doel, de taak en de omstandigheden. Als toestemming wordt gebruikt, moet deze vrij, specifiek, geïnformeerd en actief gegeven zijn. Leg ook vast hoe iemand de toestemming kan intrekken.

Wanneer is een DPIA nodig?

Een DPIA is bedoeld om privacyrisico’s vooraf te onderzoeken wanneer een verwerking waarschijnlijk een hoog risico voor mensen oplevert. De uitkomst helpt om passende maatregelen te kiezen. Beoordeel de noodzaak aan het begin van het ontwerp en niet pas nadat een systeem of werkwijze al in gebruik is.

Waar past politie-informatie binnen de privacywetgeving?

Voor gegevensverwerking door bevoegde autoriteiten met het oog op rechtshandhaving gelden naast of in plaats van het algemene AVG-kader specifieke regels. Denk aan de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Bepaal daarom eerst welke organisatie de informatie verwerkt en voor welke taak.

Conclusie

De AVG privacy wetgeving vraagt om een doelgerichte en aantoonbaar zorgvuldige werkwijze. Voor iedere gegevensverwerking moeten organisaties het doel, de grondslag, de noodzakelijke gegevens, de ontvangers, de beveiliging en de bewaartermijn kunnen uitleggen. In zorg en veiligheid komt daar de vraag bij welk aanvullend wettelijk kader van toepassing is.

Een praktische aanpak begint met een concrete informatievraag en duidelijke verantwoordelijkheden. Gebruik vervolgens privacyregels gegevensdeling om de afspraken over grondslag, beveiliging en samenwerking verder te toetsen. Zo blijft gegevensdeling mogelijk zonder dat privacy een sluitpost wordt.