Privacywetgeving AVG in zorg en veiligheid

De privacywetgeving AVG bepaalt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en delen. Voor gemeenten, zorginstellingen, veiligheidshuizen en andere ketenpartners is de AVG het algemene kader. Bij politietaken en andere vormen van rechtshandhaving kunnen daarnaast specifieke regels gelden.

In de praktijk gaat naleving niet alleen over een privacyverklaring. Een organisatie moet kunnen uitleggen waarom zij gegevens verwerkt, welke gegevens nodig zijn, wie toegang heeft en wanneer de gegevens worden verwijderd. Dit artikel zet de belangrijkste uitgangspunten op een rij voor professionals in zorg en veiligheid.

Wat regelt de privacywetgeving AVG?

De Algemene verordening gegevensbescherming, kortweg AVG, bevat regels voor de verwerking van persoonsgegevens. Verwerken is een breed begrip. Het omvat bijvoorbeeld verzamelen, vastleggen, raadplegen, combineren, delen, bewaren en vernietigen.

Persoonsgegevens zijn gegevens die direct over iemand gaan of waarmee iemand indirect te herkennen is. Een naam, adres of telefoonnummer valt eronder. Dat geldt ook voor een cliëntnummer, geluidsopname, beeldopname of een combinatie van gegevens waarmee een persoon herkenbaar wordt.

De AVG geldt voor overheden, bedrijven, verenigingen, stichtingen en zorgorganisaties. De regels gelden voor digitale informatie en voor papieren documenten. De aard en omvang van de verwerking bepalen welke maatregelen nodig zijn. Een organisatie die alleen contactgegevens bijhoudt heeft andere risico's dan een organisatie die gezondheidsgegevens combineert met informatie van meerdere ketenpartners.

Welke regels horen bij privacywetgeving?

De AVG is belangrijk, maar niet het enige wettelijke kader. In Nederland vult de Uitvoeringswet AVG, de UAVG, de Europese verordening op onderdelen aan. Voor gegevensverwerking door bevoegde autoriteiten met een taak op het gebied van rechtshandhaving geldt de Richtlijn gegevensbescherming bij rechtshandhaving. Deze richtlijn is in Nederland onder meer uitgewerkt in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens.

Dat onderscheid is relevant in een regionaal overleg. Een zorgprofessional, gemeente, politie-eenheid en justitiële partner kunnen ieder onder een ander kader werken. Bepaal daarom eerst welke organisatie welke taak uitvoert en welke gegevensverwerking daarbij hoort. Gebruik niet automatisch de AVG als enige grondslag voor iedere vorm van gegevensdeling.

Bij samenwerking tussen meerdere organisaties helpt het om verantwoordelijkheden vooraf te bespreken. Leg vast wie het doel van de verwerking bepaalt, wie gegevens aanlevert, wie toegang krijgt en hoe betrokkenen worden geïnformeerd. Meer achtergrond over gezamenlijke verwerking staat in onze toelichting op privacy bij ketensamenwerking.

De zes grondslagen voor verwerking

Een organisatie mag persoonsgegevens niet verwerken zonder geldige grondslag. De AVG kent zes grondslagen:

1. Toestemming van de persoon om wie het gaat.
2. Uitvoering van een overeenkomst, wanneer verwerking daarvoor nodig is.
3. Een wettelijke verplichting om gegevens te verwerken of te bewaren.
4. Bescherming van vitale belangen, bijvoorbeeld wanneer het leven of de gezondheid van iemand moet worden beschermd.
5. Een taak van algemeen belang of openbaar gezag.
6. Een gerechtvaardigd belang, waarbij het belang van de organisatie wordt afgewogen tegen de rechten en belangen van de betrokken persoon.

Kies de grondslag vóórdat gegevens worden uitgewisseld en leg de keuze vast. Toestemming is niet altijd de juiste oplossing. In een afhankelijkheidsrelatie kan het lastig zijn om te bepalen of iemand werkelijk vrij toestemming geeft. Bij een wettelijke taak of een wettelijke verplichting ligt een andere grondslag meer voor de hand.

Een grondslag alleen maakt een verwerking nog niet rechtmatig. Het doel moet duidelijk zijn, de gegevens moeten passend en noodzakelijk zijn en de verwerking moet uitlegbaar zijn aan de betrokken persoon.

Bijzondere persoonsgegevens vragen extra aandacht

Gezondheidsgegevens, gegevens over ras of etniciteit, politieke opvattingen, religie en andere gevoelige informatie vallen onder bijzondere persoonsgegevens. Voor deze gegevens gelden extra voorwaarden. Een organisatie moet dus niet alleen een grondslag uit de AVG kunnen aanwijzen, maar ook nagaan of de aanvullende regels voor deze categorie gegevens zijn vervuld.

In zorg en veiligheid is dat onderscheid dagelijks relevant. Een casusoverleg kan informatie bevatten over behandeling, psychische gezondheid, verslaving, gezinssituatie of strafbare feiten. Deel niet de volledige achtergrond wanneer een beperkter gegeven volstaat. Bespreek per doel welke informatie noodzakelijk is en welke informatie achterwege kan blijven.

Wie meer wil weten over dit onderwerp, vindt in onze uitleg over gezondheidsgegevens privacy praktische context voor gegevensverwerking in de zorg.

Zo past een organisatie de AVG praktisch toe

Een werkbare aanpak begint met inzicht in de verwerking. Gebruik de volgende controlepunten als basis voor een interne bespreking:

1. Breng de gegevensstromen in kaart

Noteer welke persoonsgegevens worden verzameld, uit welke bron ze komen, waarvoor ze worden gebruikt, met wie ze worden gedeeld en hoe lang ze worden bewaard. Neem ook gegevens mee die op papier staan of in e-mail, dossiers en samenwerkingssystemen voorkomen.

2. Bepaal doel en grondslag

Formuleer per verwerking een concreet doel en kies de passende grondslag. Een algemeen voornemen om informatie beschikbaar te stellen is onvoldoende. De vraag is steeds welke verwerking nodig is voor welke taak of welk doel.

3. Beperk de gegevens tot wat nodig is

Verwerk niet meer gegevens dan noodzakelijk. Spreek in een casusoverleg af welke informatie iedereen nodig heeft om zijn eigen rol te vervullen. Een brede toegang tot een compleet dossier is niet vanzelfsprekend gerechtvaardigd.

4. Informeer betrokkenen helder

Mensen moeten kunnen begrijpen welke gegevens worden verwerkt, waarom dat gebeurt, met wie gegevens worden gedeeld en hoe lang de verwerking duurt. Gebruik begrijpelijke taal en maak de informatie gemakkelijk vindbaar.

5. Regel toegang en beveiliging

Beperk toegang tot medewerkers die deze voor hun taak nodig hebben. Beveilig systemen en documenten tegen ongeoorloofde inzage, verlies en verspreiding. Beveiliging is niet alleen een technische kwestie. Ook autorisaties, werkafspraken, scholing en zorgvuldig omgaan met print en e-mail horen erbij.

6. Leg afspraken met verwerkers vast

Schakelt een organisatie een andere partij in die persoonsgegevens verwerkt, maak dan afspraken over de verwerking, geheimhouding, beveiliging en ondersteuning bij privacyrechten. De verantwoordelijkheid voor een zorgvuldige verwerking verdwijnt niet doordat een andere partij de gegevens technisch beheert.

7. Houd een verwerkingsregister bij wanneer dat vereist is

Een verwerkingsregister geeft overzicht van de verwerkingen, doelen, categorieën gegevens, bewaartermijnen en ontvangers. Het register helpt om keuzes te onderbouwen en om wijzigingen in een proces tijdig te beoordelen.

8. Beoordeel risico's vooraf

Bij verwerkingen die waarschijnlijk een hoog privacyrisico opleveren kan een data protection impact assessment, oftewel DPIA, verplicht zijn. Denk aan het verwerken van bijzondere persoonsgegevens, het volgen van mensen in de openbare ruimte of het combineren van gegevens voor profilering. Een DPIA maakt risico's zichtbaar voordat een systeem of werkwijze in gebruik wordt genomen.

9. Ontwerp privacy vanaf het begin

Privacy by design betekent dat gegevensbescherming al bij het ontwerp van een proces, product of systeem wordt meegenomen. Privacy by default betekent dat de standaardinstellingen privacyvriendelijk zijn. Een nieuw registratiesysteem moet dus niet eerst zo veel mogelijk gegevens verzamelen om later te worden beperkt.

10. Richt procedures voor incidenten en verzoeken in

Maak duidelijk wat medewerkers doen bij een mogelijk datalek of een verzoek van een betrokkene. Mensen kunnen onder meer vragen om inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar. Een organisatie reageert in beginsel binnen één maand. Bij een complex verzoek kan die termijn worden verlengd, binnen de grenzen van de regels.

Gegevens delen in zorg en veiligheid

Gegevensdeling is geen doel op zichzelf. De rechtmatigheid hangt samen met de taak, het doel, de noodzaak en de gekozen werkwijze. Een professioneel overleg begint daarom niet met de vraag welke informatie beschikbaar is, maar met de vraag welk probleem moet worden aangepakt en welke informatie daarvoor nodig is.

Een praktisch overleg kan deze volgorde volgen:

1. Beschrijf de concrete opgave en de rol van iedere partner.
2. Bepaal welke verwerking plaatsvindt en onder welk wettelijk kader.
3. Kies de grondslag en controleer of extra voorwaarden gelden voor bijzondere gegevens.
4. Deel alleen de informatie die noodzakelijk en proportioneel is.
5. Leg de afweging en afspraken vast.
6. Spreek af wie de gegevens mag inzien, hoe lang ze worden bewaard en wanneer de samenwerking wordt geëvalueerd.

Goede samenwerken zorg en veiligheid vraagt dus om zowel inhoudelijke afstemming als privacykennis. Verschillende wettelijke kaders hoeven samenwerking niet onmogelijk te maken, maar maken een duidelijke rolverdeling en onderbouwde afweging wel noodzakelijk.

Rechten van betrokkenen

De AVG geeft mensen meer controle over hun persoonsgegevens. Afhankelijk van de situatie kunnen zij onder meer:

• inzage vragen in hun gegevens;
• onjuiste gegevens laten corrigeren;
• verzoeken om gegevens te verwijderen;
• vragen om de verwerking te beperken;
• bezwaar maken tegen een verwerking;
• gegevens laten overdragen wanneer het recht op overdraagbaarheid van toepassing is;
• informatie vragen over het gebruik van hun persoonsgegevens.

Niet ieder verzoek leidt automatisch tot verwijdering of overdracht. Een organisatie kan bijvoorbeeld op grond van een wettelijke verplichting gegevens moeten bewaren. Beoordeel ieder verzoek daarom aan de hand van het toepasselijke kader en leg de beslissing begrijpelijk uit.

Veelgemaakte fouten bij AVG-naleving

In de praktijk ontstaan problemen vaak door een te algemene werkwijze. Let vooral op deze punten:

• Toestemming als standaardoplossing: toestemming past niet bij iedere publieke of professionele taak.
• Alles delen om niets te missen: beschikbaarheid van gegevens is geen noodzaak om ze te delen.
• Een privacyverklaring zonder interne werkwijze: informatie aan betrokkenen moet overeenkomen met wat medewerkers daadwerkelijk doen.
• Alleen digitale beveiliging: papieren dossiers, e-mail en gesprekken vallen eveneens onder zorgvuldig informatiebeheer.
• Geen onderscheid tussen wettelijke regimes: politie- en justitietaken kunnen onder specifieke regels vallen.
• Geen evaluatiemoment: gegevensdeling moet worden herzien wanneer het doel, de taak of de betrokken partners veranderen.

Veelgestelde vragen over privacywetgeving AVG

Geldt de AVG voor iedere organisatie?

De AVG geldt voor organisaties die persoonsgegevens verwerken, waaronder overheden, zorginstellingen, bedrijven, verenigingen en stichtingen. De maatregelen die nodig zijn verschillen per verwerking, doel en risico.

Mag een gemeente gezondheidsgegevens delen met een zorgpartner?

Dat mag niet automatisch. De gemeente en zorgpartner moeten onder meer bepalen wat het doel is, welke grondslag geldt, of aanvullende voorwaarden voor gezondheidsgegevens zijn vervuld en welke informatie noodzakelijk is. Ook de rol en het wettelijke kader van iedere partner moeten duidelijk zijn.

Is een mondelinge afspraak over gegevensdeling voldoende?

Een mondelinge afstemming kan onderdeel zijn van een samenwerking, maar belangrijke keuzes over doel, grondslag, toegang, beveiliging en bewaartermijn moeten controleerbaar worden vastgelegd. Dat ondersteunt de verantwoordingsplicht en voorkomt verschillende interpretaties.

Wanneer is een DPIA nodig?

Een DPIA is bedoeld voor verwerkingen die waarschijnlijk een hoog privacyrisico opleveren. De beoordeling hangt af van de aard, omvang, context en doelen van de verwerking. Bij bijzondere persoonsgegevens, grootschalig volgen of profilering kan een DPIA verplicht zijn.

Wat is het verschil tussen de AVG en de UAVG?

De AVG is de Europese verordening met algemene regels voor de verwerking van persoonsgegevens. De UAVG vult deze regels in Nederland op onderdelen aan. Voor specifieke politietaken en rechtshandhaving kunnen daarnaast andere wettelijke kaders gelden.

Conclusie

De privacywetgeving AVG vraagt om meer dan het afvinken van documenten. Organisaties moeten hun gegevensstromen kennen, een passende grondslag kiezen, gegevens beperken, risico's beoordelen en betrokkenen duidelijk informeren. In zorg en veiligheid komt daar een extra opgave bij: verschillende organisaties en wettelijke kaders moeten zorgvuldig op elkaar worden afgestemd.

Begin met één concrete gegevensstroom of casusoverleg. Leg doel, grondslag, noodzakelijke informatie, toegang en bewaartermijn vast. Zo wordt privacy geen losse juridische controle, maar een vast onderdeel van professioneel samenwerken.