Privacywetgeving AVG voor zorg en veiligheid

Wie zoekt op avg privacy wetgeving, zoekt meestal naar houvast bij het verzamelen, gebruiken en delen van persoonsgegevens. De Algemene verordening gegevensbescherming, kortweg AVG, vormt daarvoor de belangrijkste basis in Nederland. Voor professionals in gemeenten, zorginstellingen, veiligheidshuizen en het sociaal domein is alleen de naam van de wet niet genoeg. De praktische vraag is steeds: welke gegevens zijn nodig, met welk doel, op welke grondslag en met welke waarborgen?

In dit artikel leest u hoe de privacywetgeving is opgebouwd, welke AVG-beginselen richting geven aan gegevensverwerking en hoe u een samenwerking zorgvuldig voorbereidt. De uitleg is algemeen. De juiste beoordeling hangt altijd af van de concrete casus, de betrokken organisaties en de taak waarvoor gegevens worden verwerkt.

Wat betekent privacywetgeving AVG?

De AVG is Europese privacywetgeving voor organisaties die persoonsgegevens verwerken. Persoonsgegevens zijn gegevens die rechtstreeks over iemand gaan of waarmee iemand indirect te herkennen is. Een naam, adres of telefoonnummer valt daaronder, maar ook medische informatie, een klantnummer, een beeldopname of een combinatie van gegevens die naar één persoon leidt.

Verwerken is een breed begrip. Het gaat niet alleen om opslaan. Ook verzamelen, raadplegen, analyseren, doorsturen, koppelen en vernietigen zijn vormen van verwerking. Daardoor krijgt vrijwel iedere organisatie die met inwoners, cliënten, patiënten, medewerkers of verdachten werkt met de AVG te maken.

De AVG heeft twee kanten. De wet beschermt mensen tegen onnodig of onzorgvuldig gebruik van hun gegevens. Tegelijk geeft zij organisaties een kader om gegevens rechtmatig te verwerken wanneer dat nodig is voor hun taak. Privacy betekent dus niet dat gegevens nooit mogen worden gedeeld. Het betekent dat een organisatie moet kunnen uitleggen waarom delen nodig en toegestaan is.

Welke wetten horen bij de privacywetgeving?

De AVG is het centrale kader, maar niet de enige regeling. In Nederland vult de Uitvoeringswet AVG, de UAVG, onderdelen van de Europese verordening aan. De Autoriteit Persoonsgegevens, de AP, houdt toezicht op de AVG, de UAVG en andere regels voor de verwerking van persoonsgegevens.

In het zorg- en veiligheidsdomein is ook het onderscheid met de regels voor rechtshandhaving belangrijk. De Richtlijn gegevensbescherming bij rechtshandhaving, afgekort RGR, is in Nederland onder meer uitgewerkt in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Voor politie- en justitietaken kunnen dus andere wettelijke kaders gelden dan voor reguliere hulpverlening of gemeentelijke dienstverlening.

Dat onderscheid voorkomt een veelgemaakte fout: ervan uitgaan dat één algemene privacyregel automatisch geldt voor alle partners aan tafel. Bepaal eerst welke organisatie welke taak uitvoert. Kijk daarna welke wet die taak regelt en wie voor de verwerking verantwoordelijk is. Bij een gezamenlijke aanpak kunnen meerdere kaders naast elkaar relevant zijn.

De belangrijkste AVG-beginselen voor gegevensdeling

De AVG werkt met beginselen die helpen om een voorgenomen verwerking te beoordelen. Voor een casusoverleg of samenwerking tussen zorg en veiligheid zijn vooral deze uitgangspunten praktisch bruikbaar:

• Rechtmatigheid, behoorlijkheid en transparantie: informeer betrokkenen duidelijk over wat u met gegevens doet, voor welk doel en op welke grond.
• Doelbinding: gebruik gegevens voor een welbepaald doel. Gebruik informatie die voor een hulpverleningstraject is verzameld niet zonder nadere beoordeling voor een ander doel.
• Dataminimalisatie: vraag en deel niet meer gegevens dan nodig is voor de taak. Een volledig dossier is niet automatisch noodzakelijk.
• Juistheid: werk met actuele en correcte informatie. Leg vast hoe u fouten herstelt en wie een correctie beoordeelt.
• Opslagbeperking: bewaar persoonsgegevens niet langer dan nodig. Houd rekening met eventuele wettelijke bewaartermijnen.
• Integriteit en vertrouwelijkheid: bescherm gegevens tegen ongeoorloofde toegang, verlies en verspreiding.
• Verantwoordingsplicht: documenteer keuzes en maatregelen. De organisatie moet kunnen aantonen dat zij de regels toepast.

Deze beginselen horen bij iedere stap in de gegevensketen. Ze gelden dus ook voor papieren dossiers, e-mail, registratiesystemen, spreadsheets en mondelinge overdracht als daardoor informatie over een persoon wordt verwerkt.

Wanneer mag een organisatie persoonsgegevens verwerken?

Voor iedere verwerking is een grondslag nodig. De AVG kent zes grondslagen. In de praktijk van zorg en veiligheid moet de organisatie onder meer beoordelen of de verwerking nodig is om een wettelijke verplichting na te komen, een taak van algemeen belang of openbaar gezag uit te voeren, een overeenkomst uit te voeren, een gerechtvaardigd belang te behartigen, een vitaal belang te beschermen of toestemming te gebruiken.

De gekozen grondslag moet passen bij de taak en de feitelijke situatie. Toestemming is bijvoorbeeld niet vanzelfsprekend geschikt wanneer iemand afhankelijk is van een overheidsorganisatie of hulpverlener. Ook is toestemming geen vervanging voor een ontbrekende wettelijke bevoegdheid om gegevens met een andere partij te delen.

Leg bij de beoordeling minimaal vast:

1. welk probleem of doel de verwerking ondersteunt;
2. welke organisatie als verwerkingsverantwoordelijke optreedt;
3. welke persoonsgegevens strikt noodzakelijk zijn;
4. welke grondslag geldt;
5. met welke partijen informatie wordt gedeeld;
6. hoe betrokkenen worden geïnformeerd;
7. hoe toegang, beveiliging en bewaartermijnen zijn geregeld.

Bij gezondheidsgegevens en andere gevoelige informatie is extra zorgvuldigheid nodig. Medische informatie zegt direct iets over een persoon. Controleer daarom niet alleen of er een algemene grondslag is, maar ook of aanvullende regels voor dit type gegevens van toepassing zijn. Een praktische verdieping over gezondheidsdata AVG helpt om grondslagen, toestemming en beroepsgeheim in de zorg afzonderlijk te bekijken.

Hoe werkt AVG gegevensdeling in een keten?

Gegevensdeling in een keten begint niet bij de vraag welk systeem toegang kan krijgen. Begin bij de gezamenlijke opgave en de afzonderlijke wettelijke taken. Een zorgprofessional, gemeente en veiligheidspartner kunnen rond dezelfde persoon werken, maar elk een andere verantwoordelijkheid hebben.

Gebruik deze werkwijze voor een overleg of samenwerkingsverband:

1. Beschrijf het doel van de samenwerking

Formuleer concreet wat de partners willen bereiken. Vermijd brede doelen zoals “de situatie integraal bekijken”. Beschrijf bijvoorbeeld dat partners een veiligheidsrisico moeten beoordelen of passende ondersteuning moeten organiseren. Een scherp doel voorkomt dat deelnemers meer informatie verzamelen dan nodig.

2. Breng de rollen en grondslagen in kaart

Noteer per partner welke taak wordt uitgevoerd, welke gegevens daarvoor nodig zijn en op welke grondslag de verwerking berust. Maak ook duidelijk wie beslist over middelen en doeleinden van de verwerking. Een convenant kan afspraken vastleggen, maar maakt een verwerking niet vanzelf rechtmatig.

3. Bepaal de minimale gegevensset

Maak onderscheid tussen noodzakelijke informatie, context die nuttig kan zijn en gegevens die niet nodig zijn. Spreek af wie welke informatie inbrengt en hoe deelnemers omgaan met vragen waarop zij geen antwoord mogen geven. Dat voorkomt dat een overleg uitgroeit tot een brede dossieruitwisseling.

4. Regel informatie, toegang en beveiliging

Betrokkenen moeten in begrijpelijke taal kunnen lezen wat er met hun gegevens gebeurt, tenzij een wettelijke uitzondering geldt. Richt toegang in volgens het principe dat medewerkers alleen zien wat zij voor hun taak nodig hebben. Beveilig digitale systemen, controleer autorisaties en maak afspraken over veilige communicatie.

5. Leg bewaartermijnen en verwijdering vast

Bepaal wanneer gegevens niet meer nodig zijn voor het doel. Een vaste bewaartermijn geldt niet automatisch voor iedere verwerking. Kijk ook naar wettelijke bewaarplichten en naar de vraag of informatie in een dossier moet worden gecorrigeerd, afgesloten of verwijderd.

Voor samenwerkingsverbanden kan aanvullende wetgeving relevant zijn. Lees daarom ook over de wettelijke basis gegevensdeling en de verantwoordelijkheden die daarbij kunnen ontstaan.

Welke rechten hebben betrokkenen?

De AVG geeft mensen meer controle over hun persoonsgegevens. Afhankelijk van de situatie kunnen zij onder meer vragen om inzage, correctie, verwijdering, beperking van de verwerking of overdraagbaarheid. Ook kunnen zij bezwaar maken tegen bepaalde verwerkingen en moeten organisaties uitleg geven over het gebruik van persoonsgegevens.

Een organisatie moet verzoeken zorgvuldig beoordelen. Niet ieder verzoek leidt automatisch tot verwijdering. Een wettelijke bewaarplicht, een andere wettelijke taak of de rechten van anderen kan betekenen dat gegevens geheel of gedeeltelijk moeten worden bewaard. Informeer de betrokkene dan duidelijk over de beslissing en de reden daarvan.

In de regel reageert een organisatie binnen één maand. Bij complexe verzoeken kan die termijn onder voorwaarden worden verlengd. Richt daarom een herkenbaar proces in: registreer het verzoek, controleer de identiteit, verzamel de relevante informatie en leg de uitkomst vast.

Privacy by design en beveiliging

Privacy hoort al bij het ontwerp van een proces, formulier of informatiesysteem te worden meegenomen. Dat heet privacy by design. Privacy by default betekent dat de standaardinstellingen niet meer gegevens verzamelen of zichtbaar maken dan noodzakelijk.

Voor een zorg- of veiligheidsoverleg kan dit betekenen dat u:

• standaard alleen de afgesproken minimale gegevens toont;
• rollen en toegangsrechten vooraf instelt;
• gevoelige bijlagen niet automatisch meestuurt;
• logging gebruikt om toegang tot dossiers te kunnen controleren;
• een veilige omgeving kiest voor het delen van documenten;
• een procedure heeft voor incidenten en datalekken.

Een datalek kan ontstaan door een verloren apparaat, een verkeerd geadresseerde e-mail of ongeoorloofde toegang. Documenteer ieder incident en beoordeel snel of melding aan de AP nodig is. Ernstige datalekken moeten volgens de geldende regels binnen 72 uur worden gemeld. Wacht dus niet met beoordelen tot alle feiten volledig bekend zijn.

Bij verwerkingen met een hoog privacyrisico kan een Data Protection Impact Assessment, een DPIA, nodig zijn. Daarmee brengt een organisatie risico’s vooraf in kaart en bepaalt zij maatregelen om die risico’s te beperken. Denk aan grootschalige koppelingen, nieuwe analysetoepassingen of verwerking van gevoelige gegevens in een kwetsbare doelgroep.

Veelgemaakte fouten bij AVG privacy wetgeving

In de praktijk ontstaan problemen vaak niet doordat organisaties privacy negeren, maar doordat afspraken te algemeen blijven. Let vooral op deze valkuilen:

• “Er is een convenant, dus delen mag.” Een convenant beschrijft samenwerking, maar vervangt geen grondslag en proportionaliteitsbeoordeling.
• “De cliënt heeft toestemming gegeven, dus alles mag.” Toestemming moet vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn. Bovendien kan voor bepaalde verwerkingen een andere wettelijke basis nodig zijn.
• “Iedere partner heeft hetzelfde dossier nodig.” Beperk de gegevens tot wat iedere partner voor de eigen taak nodig heeft.
• “Een mondelinge afspraak is voldoende.” Leg doelen, rollen, toegang, bewaartermijnen en incidentprocedures schriftelijk vast.
• “De AVG geldt alleen voor digitale informatie.” Ook papieren documenten, telefoongesprekken en fysieke dossiers kunnen persoonsgegevens bevatten.
• “Een privacyfunctionaris lost de verantwoordelijkheid op.” Advies en toezicht helpen, maar het bestuur en de verantwoordelijke organisatie blijven verantwoordelijk voor de verwerking.

Een vaste werkwijze maakt het eenvoudiger om nieuwe casussen en systemen langs dezelfde criteria te beoordelen. Voor zorgorganisaties is het daarnaast nuttig om aandacht te besteden aan de regels voor AVG zorgverleners, waaronder rechten, grondslagen en praktische gegevensdeling.

Veelgestelde vragen over privacywetgeving AVG

Is de AVG de enige privacywet in Nederland?

Nee. De AVG is het belangrijkste algemene kader, maar de UAVG vult de verordening aan. Voor politie- en justitietaken gelden onder meer de Wpg en de Wjsg. Ook andere sectorale wetten kunnen specifieke regels bevatten.

Mag een gemeente altijd gegevens delen met een zorginstelling?

Nee. De gemeente moet per situatie vaststellen wat het doel is, welke taak wordt uitgevoerd, welke gegevens noodzakelijk zijn en welke grondslag geldt. De zorginstelling beoordeelt daarnaast haar eigen wettelijke en professionele verplichtingen.

Is een privacyverklaring genoeg om aan de AVG te voldoen?

Nee. Een privacyverklaring ondersteunt transparantie, maar organisaties moeten ook onder meer een grondslag hebben, gegevens beperken, beveiligen, bewaartermijnen bepalen en hun keuzes kunnen verantwoorden.

Wanneer is een DPIA nodig?

Een DPIA is nodig wanneer een voorgenomen verwerking waarschijnlijk een hoog privacyrisico oplevert voor betrokkenen. De organisatie moet dat risico vooraf beoordelen, maatregelen bepalen en de uitkomst documenteren.

Conclusie

De privacywetgeving AVG geeft professionals een kader om persoonsgegevens zorgvuldig en doelgericht te verwerken. In zorg en veiligheid vraagt dat om meer dan een algemene verwijzing naar privacy. Bepaal per samenwerking het doel, de wettelijke taak, de grondslag, de minimale gegevensset en de verantwoordelijkheden. Leg daarnaast vast hoe u betrokkenen informeert, gegevens beveiligt en bewaartermijnen toepast.

Zo wordt privacy geen blokkade voor samenwerking, maar een vaste voorwaarde voor rechtmatige gegevensdeling en vertrouwen tussen ketenpartners. Gebruik voor een concrete casus altijd de relevante wet- en regelgeving en laat complexe situaties beoordelen door de privacy- of juridische deskundige van uw organisatie.