Privacywetgeving

Wie in Nederland persoonsgegevens verwerkt, krijgt te maken met meer dan één privacyregel. De AVG vormt de belangrijkste basis, maar ook de Uitvoeringswet AVG, regels voor politie en justitie en de Wet basisregistratie personen kunnen van toepassing zijn. Voor professionals in zorg en veiligheid is vooral de vraag relevant welke gegevens mogen worden verwerkt, met welk doel en onder welke verantwoordelijkheid.

In dit artikel staat welke privacywetgeving in Nederland de basis vormt, hoe de regels zich tot elkaar verhouden en welke stappen helpen bij zorgvuldige gegevensdeling in complexe casuïstiek.

Welke privacywet geldt in Nederland

Er is niet één Nederlandse privacywet die iedere situatie volledig regelt. De belangrijkste regels voor de verwerking van persoonsgegevens zijn vastgelegd in de Algemene verordening gegevensbescherming, de AVG, en de Richtlijn gegevensbescherming bij rechtshandhaving, de RGR. De Autoriteit Persoonsgegevens houdt toezicht op de AVG, de RGR en andere regels voor het verwerken van persoonsgegevens.

De AVG geldt breed voor overheden, bedrijven, verenigingen en andere organisaties die persoonsgegevens verwerken. Verwerken betekent daarbij niet alleen opslaan. Ook verzamelen, raadplegen, gebruiken, combineren, verstrekken en vernietigen vallen eronder. Persoonsgegevens zijn gegevens die direct over iemand gaan of via een combinatie van gegevens naar die persoon te herleiden zijn.

De AVG geldt in de hele Europese Economische Ruimte. Nederland heeft op onderdelen aanvullende regels vastgesteld in de Uitvoeringswet AVG, meestal aangeduid als de UAVG. De UAVG vervangt de AVG niet. De wet werkt de ruimte uit die de Europese verordening aan lidstaten laat.

De belangrijkste onderdelen van privacywetgeving

Voor een eerste beoordeling helpt het om de wetgeving in vier lagen te bekijken.

AVG en UAVG

De AVG bepaalt de algemene kaders voor het verwerken van persoonsgegevens. Organisaties moeten onder meer duidelijk kunnen maken welke gegevens zij gebruiken en wat zij daarmee doen. Persoonsgegevens moeten passend worden beveiligd en mogen niet zomaar voor een ander doel worden gebruikt.

De UAVG vult de AVG op nationaal niveau aan. Bij een privacyvraag in een Nederlandse organisatie zijn de AVG en de UAVG daarom vaak het eerste vertrekpunt. De concrete situatie bepaalt vervolgens of aanvullende wetgeving geldt.

Regels voor politie en justitie

Voor verwerking door bevoegde autoriteiten met een taak op het gebied van rechtshandhaving geldt naast de AVG de RGR. Deze richtlijn gaat over het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten en over de uitvoering van straffen.

In Nederland is de RGR onder meer verwerkt in de Wet politiegegevens, de Wet justitiële en strafvorderlijke gegevens, het Wetboek van Strafvordering en de Politiewet. Een organisatie die met politie of justitie samenwerkt, moet daarom eerst vaststellen welke taak en welke gegevensverwerking aan de orde zijn. Niet iedere uitwisseling met een overheidsorganisatie valt automatisch onder dezelfde regels.

Wet basisregistratie personen

De Wet basisregistratie personen, de Wet BRP, regelt het gebruik van persoonsgegevens in de basisregistratie personen. De wet beschrijft onder meer hoe gemeenten gegevens opnemen en wijzigen en onder welke voorwaarden zij gegevens verstrekken. De AVG bevat aanvullende regels voor situaties die de Wet BRP niet zelf regelt.

Artikel 10 van de Grondwet

Artikel 10 van de Nederlandse Grondwet beschermt het recht op eerbiediging van de persoonlijke levenssfeer. Het artikel draagt de wetgever ook op om regels te stellen over het vastleggen en verstrekken van persoonsgegevens. Daarnaast gaat het over kennisneming van vastgelegde gegevens en verbetering van onjuiste gegevens.

Dit grondrecht vormt een belangrijk kader onder de gewone privacywetgeving. Wie de betekenis voor gegevensdeling wil plaatsen, kan ook meer lezen over artikel 10 privacy en de relatie met persoonsgegevens.

Wat betekent dit voor gegevensdeling in zorg en veiligheid

In een zorg- of veiligheidsnetwerk werken vaak meerdere zelfstandige organisaties aan één casus. Iedere partij kan daarbij een eigen wettelijke taak, verantwoordelijkheid en informatiepositie hebben. Een gezamenlijk doel maakt het delen van persoonsgegevens daarom niet vanzelf rechtmatig.

Een zorgvuldige beoordeling begint met het doel van de samenwerking. Beschrijf concreet welk probleem de professionals willen aanpakken en welke beslissing of interventie daarvoor nodig is. Verzamel vervolgens alleen de gegevens die voor dat doel relevant zijn. Een brede vraag om het volledige dossier past meestal niet bij een gerichte gegevensbehoefte.

Leg daarna per betrokken organisatie vast:

• welke persoonsgegevens worden verwerkt;
• met welk doel de verwerking plaatsvindt;
• welke wettelijke basis de organisatie daarvoor gebruikt;
• wie de gegevens mag ontvangen en gebruiken;
• hoe lang de informatie nodig is;
• hoe de gegevens worden beveiligd;
• hoe betrokkenen worden geïnformeerd en hoe verzoeken worden behandeld.

Juist bij complexe casuïstiek is het nodig om aannames zichtbaar te maken. Noteer bijvoorbeeld waarom een gegeven relevant is, welke organisatie verantwoordelijk is voor de verstrekking en welke afspraken gelden als het doel verandert. Zo ontstaat een controleerbaar besluit in plaats van een mondelinge veronderstelling.

Praktische voorbeelden van gegevensdeling zorg en veiligheid kunnen helpen om rollen, regie en samenwerking rond een casus te ordenen.

Rechten van mensen op hun persoonsgegevens

Privacywetgeving geeft mensen verschillende mogelijkheden om controle te houden over hun persoonsgegevens. De Rijksoverheid noemt onder meer de volgende rechten:

• inzage in de gegevens die een organisatie over iemand heeft;
• correctie van onjuiste gegevens;
• verwijdering wanneer gegevens niet meer nodig zijn, voor zover de wet dat toelaat;
• overdraagbaarheid van gegevens in de situaties waarin dit recht geldt;
• bezwaar tegen bepaald gebruik van persoonsgegevens;
• duidelijke informatie over welke gegevens worden gebruikt en waarom;
• beperking van de verwerking in de gevallen waarin dat recht geldt.

Een organisatie moet een verzoek over persoonsgegevens in beginsel binnen één maand beantwoorden. Bij een complex verzoek kan de termijn worden verlengd tot maximaal drie maanden. De organisatie moet dan uitleggen waarom meer tijd nodig is. Soms kan een verzoek niet worden uitgevoerd, bijvoorbeeld wanneer een wettelijke bewaarplicht zich daartegen verzet.

Voor professionals betekent dit dat verzoeken niet alleen bij een privacyfunctionaris thuishoren. Ook medewerkers die dossiers beheren, informatie delen of een casusoverleg voorbereiden moeten weten waar zij een verzoek doorzetten en welke registratie daarbij nodig is.

Een werkbare controle voor professionals

Gebruik vóór een overleg of gegevensverstrekking deze korte controle. De lijst vervangt geen juridische beoordeling, maar helpt om de belangrijkste vragen op tijd te stellen.

1. Doel - Is duidelijk welk concreet doel de verwerking heeft?
2. Gegevens - Zijn alle gevraagde gegevens nodig voor dat doel?
3. Bevoegdheid - Kan iedere betrokken organisatie uitleggen vanuit welke taak of grondslag zij handelt?
4. Ontvangers - Is vastgelegd wie welke informatie ontvangt en waarvoor die informatie mag worden gebruikt?
5. Transparantie - Is duidelijk hoe de betrokkene wordt geïnformeerd?
6. Beveiliging - Zijn toegang, verzending en opslag passend beschermd?
7. Vastlegging - Is het besluit over de gegevensdeling navolgbaar gedocumenteerd?
8. Bewaartermijn - Is bepaald wanneer de gegevens niet meer nodig zijn?

Deze controle voorkomt niet iedere fout. Wel maakt zij zichtbaar waar een overleg moet stoppen voor aanvullend advies. Dat is vooral belangrijk als informatie afkomstig is uit verschillende domeinen of als een casus een veiligheidsbelang raakt.

Veelgemaakte fouten bij de privacywet in Nederland

Een veelvoorkomende fout is privacy behandelen als een algemene reden om niets te delen. De andere uiterste fout is gegevensdeling toestaan omdat de samenwerking maatschappelijk wenselijk lijkt. Beide benaderingen slaan de noodzakelijke beoordeling over.

Andere aandachtspunten zijn:

• alleen toestemming noemen zonder de volledige wettelijke basis en taak te beoordelen;
• gegevens uit een zorgdossier zonder duidelijke afbakening in een breder overleg brengen;
• niet vastleggen welke professional toegang heeft gehad tot informatie;
• een convenant zien als zelfstandige toestemming om persoonsgegevens te delen;
• vergeten dat politiegegevens en justitiële gegevens onder specifieke regels kunnen vallen;
• een oude registratie blijven gebruiken terwijl het doel of de situatie is gewijzigd.

Een afspraak of convenant kan verantwoordelijkheden verduidelijken, maar neemt de wettelijke beoordeling per verwerking niet weg. Ook een mondeling akkoord in een overleg vervangt geen duidelijke administratie van doel, grondslag en ontvangers.

Wanneer is aanvullend juridisch advies nodig

Schakel een privacyfunctionaris, functionaris gegevensbescherming of juridisch adviseur in wanneer de taakverdeling onduidelijk is, meerdere wettelijke regimes samenkomen of de verwerking grote gevolgen kan hebben voor de betrokkene. Dat geldt ook bij nieuwe koppelingen tussen registraties, structurele uitwisseling tussen organisaties en situaties waarin politie- of justitiegegevens worden betrokken.

Een adviseur kan helpen om de gekozen grondslag, informatieplicht, beveiliging en bewaartermijnen afzonderlijk te beoordelen. De Autoriteit Persoonsgegevens is de onafhankelijke toezichthouder. Bij een vermoeden van een overtreding kan iemand een tip of klacht bij de AP indienen.

Voor organisaties die de AVG praktisch willen toepassen, is een overzicht van privacyregels samenwerkingspartners een logisch vervolg. Het helpt om niet alleen naar de eigen organisatie te kijken, maar ook naar de verantwoordelijkheden van de andere partijen in de keten.

Veelgestelde vragen over privacywetgeving in Nederland

Wat is de belangrijkste privacywet in Nederland?

De AVG is de belangrijkste algemene regeling voor het verwerken van persoonsgegevens. De UAVG vult deze Europese verordening in Nederland op onderdelen aan. Afhankelijk van de situatie kunnen ook de RGR, de Wet politiegegevens, de Wet justitiële en strafvorderlijke gegevens of de Wet BRP gelden.

Geldt de AVG voor gemeenten en zorginstellingen?

Ja. Gemeenten en zorginstellingen verwerken persoonsgegevens en moeten daarom de AVG toepassen wanneer die verordening op hun verwerking van toepassing is. Voor een concrete gegevensuitwisseling moet daarnaast worden vastgesteld of aanvullende wetgeving en een specifieke taak een rol spelen.

Mag een organisatie persoonsgegevens altijd met een partner delen?

Nee. Een gedeeld maatschappelijk doel is op zichzelf niet genoeg. De organisaties moeten onder meer het doel, de noodzakelijke gegevens, de wettelijke basis, de ontvangers en de beveiliging beoordelen. Bij politie- en justitiegegevens kunnen specifieke regels gelden.

Hoe snel moet een organisatie reageren op een privacyverzoek?

In beginsel binnen één maand. Bij een complex verzoek mag de organisatie de termijn verlengen tot maximaal drie maanden. Zij moet de betrokkene daarover informeren.

Wat is de rol van de Autoriteit Persoonsgegevens?

De Autoriteit Persoonsgegevens houdt toezicht op de AVG, de RGR en andere wet- en regelgeving voor het verwerken van persoonsgegevens. De toezichthouder kan ingrijpen wanneer organisaties de regels niet naleven.

Conclusie

De privacywet in Nederland bestaat uit een samenhangend stelsel. De AVG en UAVG vormen de algemene basis, terwijl regels voor rechtshandhaving, de Wet BRP en grondrechtelijke bescherming aanvullende betekenis hebben. Voor zorg- en veiligheidsprofessionals begint rechtmatige gegevensdeling met een concreet doel, een passende wettelijke basis en een heldere afbakening van de informatie.

Leg besluiten vast, deel niet meer dan nodig en betrek tijdig deskundig advies bij complexe situaties. Zo ondersteunt privacywetgeving niet alleen de bescherming van mensen, maar ook betrouwbare samenwerking rond zorg en veiligheid.