Privacy en persoonsgegevens

Privacy betekent dat mensen zeggenschap houden over hun persoonlijke leven en over informatie die naar hen te herleiden is. Voor professionals in zorg en veiligheid gaat het daarom niet alleen om digitale beveiliging. Het gaat ook om de vraag welke informatie nodig is, wie die informatie mag gebruiken, met welk doel en hoe lang gegevens beschikbaar blijven.

In complexe casuïstiek werken gemeenten, zorginstellingen, veiligheidshuizen en andere partners vaak samen. Juist dan vraagt privacy om een vaste werkwijze. Deze uitleg beschrijft wat privacy inhoudt, hoe privacy en persoonsgegevens samenhangen en welke aandachtspunten helpen bij rechtmatige gegevensdeling.

Wat betekent privacy?

Privacy is het recht om persoonlijke informatie en aspecten van het eigen leven af te schermen en daarover invloed te houden. Dat recht beschermt bijvoorbeeld medische gegevens, contactgegevens, informatie over gezin en wonen, locatiegegevens en informatie over gedrag of hulpverlening.

Privacy heeft meerdere kanten:

• Persoonlijke levenssfeer: ruimte om het eigen leven vorm te geven zonder ongewenste bemoeienis.
• Informatieve privacy: invloed op het verzamelen, gebruiken, bewaren en delen van persoonsgegevens.
• Lichamelijke privacy: bescherming van het lichaam en de persoonlijke integriteit.
• Digitale privacy: controle over gegevens die via websites, apps, apparaten en digitale dossiers worden verwerkt.

Privacy overlapt met informatiebeveiliging, maar de begrippen zijn niet hetzelfde. Beveiliging gaat vooral over bescherming tegen verlies, onbevoegde toegang of misbruik. Privacy gaat daarnaast over de rechtvaardiging en inrichting van de verwerking. Een dossier kan technisch goed beveiligd zijn en toch te veel informatie bevatten of voor een onduidelijk doel worden gebruikt.

Waarom is privacy belangrijk?

Privacy geeft mensen ruimte om zichzelf te zijn en beslissingen te nemen zonder voortdurende controle. Wie niet weet wie welke informatie gebruikt, kan terughoudend worden in het zoeken van hulp, het delen van zorgen of het deelnemen aan de samenleving.

De Autoriteit Persoonsgegevens beschrijft privacy als een grondrecht en als een voorwaarde voor vrijheid. Zij wijst ook op risico's van ondoorzichtige gegevensverwerking, profilering, discriminatie, uitsluiting en identiteitsfraude. Mensen kunnen hun privacy bovendien niet altijd zelfstandig beschermen. Zij weten niet altijd welke organisaties gegevens verwerken en kunnen soms niet kiezen of zij gegevens verstrekken.

In zorg en veiligheid heeft privacy een directe relatie met vertrouwen. Een inwoner moet erop kunnen rekenen dat een hulpvraag niet zonder duidelijke reden door een hele keten wordt verspreid. Tegelijkertijd moeten professionals kunnen handelen wanneer het delen van bepaalde informatie noodzakelijk en toegestaan is. Zorgvuldigheid betekent dus niet dat organisaties nooit gegevens delen. Het betekent dat zij kunnen uitleggen waarom, met wie en onder welke voorwaarden zij dat doen.

Privacy en persoonsgegevens

Persoonsgegevens zijn gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon. Dat kan rechtstreeks, zoals bij een naam of adres, maar ook indirect, bijvoorbeeld door een combinatie van leeftijd, woonplaats en een specifieke situatie.

Voorbeelden zijn:

• naam, adres, telefoonnummer en e-mailadres;
• cliëntnummer, dossierinformatie en afspraken;
• informatie over inkomen, wonen, gezin of school;
• locatie- en apparaatgegevens;
• beelden, geluidsopnamen en online identificatoren.

Sommige gegevens zijn extra gevoelig. Gezondheidsgegevens, informatie over ras of etnische afkomst, religie, biometrie en strafrechtelijke gegevens vallen onder bijzondere bescherming. Dat betekent niet automatisch dat verwerking onmogelijk is. Wel moet de organisatie extra zorgvuldig vaststellen welke wettelijke voorwaarden gelden.

Een nuttige eerste stap is daarom steeds de vraag: over wie gaat deze informatie en kan iemand door deze informatie direct of indirect worden herkend? Ook een combinatie van op zichzelf onschuldige gegevens kan naar een persoon leiden.

Meer achtergrond over de definitie persoonsgegevens helpt om die beoordeling in de praktijk consequent te maken.

De AVG als basis voor privacybeleid

De Algemene verordening gegevensbescherming, meestal AVG genoemd, stelt voorwaarden aan het verwerken van persoonsgegevens. Verwerken is een breed begrip. Het omvat onder meer verzamelen, vastleggen, raadplegen, wijzigen, delen, bewaren en verwijderen.

Een organisatie die persoonsgegevens verwerkt, moet onder andere kunnen onderbouwen:

1. Wat het doel is. Verzamel en gebruik gegevens voor een duidelijk omschreven doel.
2. Welke grondslag geldt. Een verwerking moet passen binnen een geldige wettelijke basis.
3. Welke gegevens nodig zijn. Gebruik niet meer gegevens dan nodig is voor het doel.
4. Hoe mensen worden geïnformeerd. Wees duidelijk over de verwerking en de rechten van betrokkenen.
5. Hoe gegevens worden beveiligd. Stem maatregelen af op de aard en gevoeligheid van de informatie.
6. Hoe lang gegevens worden bewaard. Verwijder of anonimiseer informatie wanneer bewaren niet meer nodig is.
7. Wie verantwoordelijk is. Leg rollen, afspraken en toezicht vast.

De AVG werkt samen met nationale regels en sectorspecifieke verplichtingen. In zorg en veiligheid kunnen bijvoorbeeld het beroepsgeheim, regels voor politie en justitie en voorschriften voor gemeentelijke taken een rol spelen. Een algemene verwijzing naar privacy is daarom niet genoeg. De concrete taak, het doel van de verwerking en de betrokken gegevens bepalen welke beoordeling nodig is.

Lees voor het Nederlandse kader ook meer over de privacyregels Nederland.

Wanneer mogen professionals gegevens delen?

Gegevensdeling is alleen zorgvuldig wanneer de betrokken organisatie eerst vaststelt waarom delen nodig is en op welke basis dat kan. Toestemming is niet de enige mogelijke grondslag en is in een afhankelijkheidsrelatie niet altijd een geschikte oplossing. Andersom is het bestaan van een samenwerking of convenant op zichzelf geen vrijbrief om alle beschikbare informatie te delen.

Gebruik bij een voorgenomen gegevensdeling deze vragen:

• Welk concreet probleem of risico moet de informatie helpen oplossen?
• Welke gegevens zijn daarvoor minimaal nodig?
• Is het doel verenigbaar met het doel waarvoor de gegevens oorspronkelijk zijn verzameld?
• Welke wettelijke grondslag en eventuele aanvullende regeling zijn van toepassing?
• Wie ontvangt de gegevens en heeft die partij ze echt nodig?
• Hoe wordt de betrokkene geïnformeerd, voor zover dat kan en moet?
• Welke afspraken gelden voor toegang, opslag, verdere verstrekking en verwijdering?
• Hoe wordt de beslissing vastgelegd, zodat achteraf controle mogelijk is?

Deze vragen maken het verschil tussen doelgerichte gegevensdeling en het uitwisselen van complete dossiers uit gemak. Bij gevoelige informatie is het verstandig de privacyfunctionaris, functionaris gegevensbescherming of juridisch deskundige tijdig te betrekken.

Privacy in de zorg en het veiligheidsdomein

In een zorg- of veiligheidsnetwerk hebben verschillende professionals elk een eigen taak, verantwoordelijkheid en beroepskader. Een behandelaar, wijkteammedewerker, gemeenteambtenaar en veiligheidspartner kijken mogelijk naar dezelfde situatie, maar mogen niet automatisch dezelfde gegevens inzien.

Een goede samenwerking begint daarom met een gezamenlijke probleembeschrijving. Bespreek eerst wat de opgave is en welke rol iedere partner heeft. Bepaal daarna welke informatie noodzakelijk is voor die rol. Houd feiten, professionele duiding en onbevestigde signalen herkenbaar van elkaar gescheiden.

Bij gezondheidsgegevens is extra aandacht nodig voor het medisch beroepsgeheim en de bijzondere regels die voor zorgverleners gelden. De vraag of informatie nuttig zou zijn voor een andere partner is niet hetzelfde als de vraag of die partner de informatie mag ontvangen. Praktische uitleg over AVG gezondheidsgegevens biedt hierbij verdere verdieping.

Voor een overleg helpt een vaste agenda met minimaal deze onderdelen:

• doel en aanleiding van het overleg;
• deelnemers en hun rollen;
• noodzakelijke gegevens per deelnemer;
• grondslag en afspraken over vertrouwelijkheid;
• besluit, actiehouder en vervolgdatum;
• registratie van verstrekte informatie en gemaakte afwegingen.

Een verslag hoeft niet meer persoonlijke informatie te bevatten dan nodig is om het besluit en de opvolging te begrijpen. Beperk verspreiding van het verslag en controleer regelmatig wie toegang heeft.

Privacy praktisch organiseren

Privacy wordt sterker wanneer de organisatie deze niet alleen in beleid beschrijft, maar in werkprocessen inbouwt. De volgende werkwijze is bruikbaar bij een nieuw dossier, een casusoverleg of de inrichting van een digitaal systeem.

1. Breng de verwerking in kaart

Noteer welke gegevens binnenkomen, waar ze worden opgeslagen, wie ze gebruikt en met welke partijen ze eventueel worden gedeeld. Kijk ook naar e-mail, notulen, chat, losse spreadsheets en lokale kopieën. Juist die nevenstromen blijven in de praktijk soms buiten beeld.

2. Beschrijf doel en noodzaak

Formuleer het doel in gewone taal. "Samenwerken aan de casus" is te algemeen. Beschrijf welke beslissing of interventie de informatie moet ondersteunen. Vraag vervolgens per gegeven of het werkelijk nodig is.

3. Leg verantwoordelijkheden vast

Maak duidelijk wie beslist over de verwerking, wie gegevens aanlevert, wie toegang krijgt en wie vragen van betrokkenen behandelt. Leg ook vast wie handelt bij een incident of verzoek om inzage.

4. Beperk toegang

Geef medewerkers toegang op basis van hun taak. Gebruik persoonlijke accounts, log toegang waar passend en bespreek periodiek of rechten nog nodig zijn. Een gedeelde map met brede toegang is geen neutrale oplossing voor een ingewikkelde samenwerking.

5. Maak afspraken over delen

Leg vast welke informatie wordt uitgewisseld, via welk kanaal, met welk doel en hoe de ontvanger ermee omgaat. Spreek ook af wanneer informatie wordt teruggekoppeld, verwijderd of vernietigd.

6. Evalueer de werkwijze

Controleer na een overleg of incident of de afspraken werkbaar waren. Kijk niet alleen naar fouten, maar ook naar onnodige gegevens, onduidelijke rollen en informatie die juist niet beschikbaar was. Zo wordt privacy onderdeel van leren en verbeteren.

Rechten van betrokkenen

Mensen van wie gegevens worden verwerkt hebben privacyrechten. Afhankelijk van de situatie kunnen zij onder meer vragen om informatie, inzage, correctie, verwijdering, beperking van de verwerking of overdracht van gegevens. Niet ieder verzoek kan altijd volledig worden ingewilligd. Andere wettelijke plichten, de aard van de verwerking en uitzonderingen kunnen van invloed zijn.

Een organisatie moet verzoeken herkenbaar registreren, de identiteit van de verzoeker zorgvuldig controleren en binnen de geldende termijn reageren. Het antwoord moet begrijpelijk zijn. Als een verzoek geheel of gedeeltelijk wordt afgewezen, leg dan uit waarom en welke vervolgmogelijkheid bestaat.

Transparantie begint overigens vóór een verzoek. Een duidelijke privacyverklaring en een begrijpelijke uitleg tijdens het contact helpen betrokkenen om hun rechten daadwerkelijk te gebruiken.

Veelgemaakte fouten rond privacy

Dezelfde knelpunten komen in verschillende organisaties terug:

• Alles delen voor de zekerheid. Meer informatie maakt een besluit niet automatisch beter en vergroot het risico op onnodige verspreiding.
• Toestemming als standaardoplossing gebruiken. Controleer eerst welke taak en grondslag van toepassing zijn en of toestemming echt vrij kan worden gegeven.
• Een convenant verwarren met een grondslag. Een samenwerkingsafspraak beschrijft verantwoordelijkheden, maar vervangt niet de juridische beoordeling.
• Feiten en interpretaties door elkaar halen. Noteer duidelijk wat is vastgesteld, wie iets meldt en welke professionele duiding wordt gegeven.
• Verouderde toegangsrechten laten bestaan. Controleer rechten bij functiewijziging, vertrek en veranderde taken.
• Alleen naar digitale beveiliging kijken. Ook papieren dossiers, printjes, telefoongesprekken en mondelinge overdracht vallen onder zorgvuldige omgang met informatie.
• Geen eigenaar aanwijzen. Zonder verantwoordelijke blijven privacyafspraken vaak algemeen en vrijblijvend.

Veelgestelde vragen over privacy

Wat is het verschil tussen privacy en informatiebeveiliging?

Privacy gaat over de zeggenschap, rechtmatigheid en zorgvuldigheid rond persoonsgegevens. Informatiebeveiliging beschermt gegevens tegen verlies, misbruik en onbevoegde toegang. Beveiliging ondersteunt privacy, maar kan een onnodige of onrechtmatige verwerking niet rechtvaardigen.

Zijn gezondheidsgegevens altijd verboden om te delen?

Nee. Gezondheidsgegevens zijn extra beschermd, maar delen kan onder voorwaarden mogelijk zijn. De organisatie moet onder meer kijken naar het doel, de grondslag, het beroepsgeheim, de noodzakelijkheid en de rol van de ontvanger.

Is toestemming altijd nodig voor gegevensdeling?

Nee. Toestemming is één mogelijke grondslag en niet in iedere situatie passend. De juiste beoordeling hangt af van de wettelijke taak, het doel, het soort gegevens en de verhouding tussen de betrokken partijen.

Hoeveel informatie mag in een casusoverleg worden besproken?

Alleen de informatie die noodzakelijk is voor het vooraf bepaalde doel en de taak van de deelnemers. Bespreek vooraf wie welke informatie nodig heeft en leg de afweging en uitkomst zorgvuldig vast.

Wat doet een organisatie bij een datalek?

Beperk eerst de gevolgen en stel vast wat er is gebeurd, welke gegevens betrokken zijn en wie risico loopt. Registreer het incident, informeer de verantwoordelijke privacyfunctionaris en beoordeel of melding of communicatie nodig is volgens de geldende regels.

Conclusie

Privacy is het uitgangspunt dat mensen controle houden over informatie over hun leven. Voor professionals in zorg en veiligheid betekent dit doelgericht werken: verzamel alleen wat nodig is, deel alleen wanneer dat rechtmatig en noodzakelijk is, beveilig gegevens passend en leg de afwegingen vast.

Een vaste werkwijze maakt samenwerking niet trager, maar voorspelbaarder. Wie doel, grondslag, noodzakelijkheid, rollen en bewaartermijnen steeds samen beoordeelt, kan beter verantwoorden waarom informatie wel of niet wordt gedeeld. Zo ontstaat ruimte voor effectieve hulp en veiligheid, met respect voor de persoon achter de gegevens.

Gebruikte bronnen

• Privacy - Wikipedia
• Privacybeleid van Google
• The importance of privacy - Autoriteit Persoonsgegevens