Privacywetgeving
De privacywetgeving in Nederland bestaat uit de AVG, UAVG en aanvullende regels voor onder meer politie, justitie, de BRP en sectorale samenwerking. Dit artikel vertaalt de belangrijkste kaders naar praktische aandachtspunten voor zorgvuldige gegevensdeling in zorg en veiligheid.
Wie werkt met inwoners, cliënten, leerlingen of verdachten krijgt te maken met persoonsgegevens. De privacy wetgeving in Nederland bestaat daarbij niet uit één enkele wet. De Algemene verordening gegevensbescherming (AVG) vormt de belangrijkste basis. De Uitvoeringswet AVG (UAVG), regels voor rechtshandhaving en specifieke wetten vullen dat kader aan.
Voor professionals in zorg en veiligheid is vooral de vraag van belang welke gegevens nodig zijn, met welk doel ze mogen worden gebruikt en hoe de samenwerking zorgvuldig wordt ingericht. Dit artikel zet de belangrijkste kaders op een rij en vertaalt ze naar aandachtspunten voor gegevensdeling in de praktijk.
Wat betekent privacy wetgeving in Nederland?
Privacywetgeving regelt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en delen. Persoonsgegevens zijn gegevens die rechtstreeks over iemand gaan of waarmee iemand indirect te herkennen is, bijvoorbeeld door verschillende gegevens met elkaar te combineren.
De regels beschermen de persoonlijke levenssfeer en geven mensen invloed op informatie die over hen wordt verwerkt. Voor organisaties betekent dit dat zij duidelijk moeten kunnen maken welke gegevens zij gebruiken, waarom dat gebeurt en hoe zij die gegevens beveiligen. Voor professionals betekent het dat gegevensdeling altijd onderdeel is van een doelgerichte en controleerbare werkwijze.
De belangrijkste kaders zijn:
- de AVG voor de algemene verwerking van persoonsgegevens;
- de UAVG, die in Nederland onderdelen van de AVG nader uitvoert;
- de Richtlijn gegevensbescherming bij rechtshandhaving (RGR), met Nederlandse uitwerking in onder meer de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg);
- de Wet basisregistratie personen (Wet BRP) voor het gebruik van gegevens uit de BRP;
- aanvullende regels voor specifieke sectoren en situaties.
De AVG en UAVG als algemene basis
De AVG is de Europese privacywet die in Nederland de algemene regels geeft voor de verwerking van persoonsgegevens. Verwerken betekent meer dan alleen delen. Ook verzamelen, vastleggen, raadplegen, wijzigen, bewaren en vernietigen vallen eronder.
De UAVG maakt de algemene regels op onderdelen toepasbaar binnen de Nederlandse rechtsorde. Samen vormen de AVG en UAVG het vertrekpunt voor veel organisaties, waaronder gemeenten, zorginstellingen en maatschappelijke organisaties. Bij samenwerking moet vervolgens worden nagegaan of aanvullende wetgeving of beroepsregels van toepassing zijn.
Een organisatie moet de verwerking kunnen verbinden aan een duidelijk doel en een passende grondslag. Ook moet zij niet meer gegevens gebruiken dan nodig is voor dat doel. Informatie over de verwerking moet begrijpelijk zijn voor de mensen op wie de gegevens betrekking hebben. Beveiliging en een zorgvuldige toegang tot dossiers horen daar eveneens bij.
In de zorgketen kunnen gezondheidsgegevens extra aandacht vragen. Bespreek daarom vooraf welke informatie voor het overleg werkelijk nodig is en wie deze informatie nodig heeft. Meer achtergrond over AVG gezondheidsgegevens zorg helpt bij het onderscheiden van algemene persoonsgegevens en gezondheidsgegevens.
Wanneer gelden andere privacyregels?
De AVG is niet voor iedere verwerking het enige kader. De Autoriteit Persoonsgegevens noemt naast de AVG en UAVG onder meer de RGR, de Kieswet en de Wet BRP als belangrijke wetten waarop zij toezicht houdt. De keuze voor het juiste kader hangt af van de organisatie, de taak en het doel van de verwerking.
Rechtshandhaving en politiegegevens
Voor bevoegde autoriteiten die persoonsgegevens verwerken om strafbare feiten te voorkomen, onderzoeken, opsporen of vervolgen, geldt de RGR. In Nederland is deze richtlijn onder meer verwerkt in de Wpg, de Wjsg, het Wetboek van Strafvordering en de Politiewet.
De Wpg regelt de verwerking van politiegegevens door onder andere de politie, bijzondere opsporingsdiensten, de Koninklijke Marechaussee en de Rijksrecherche. De Wjsg ziet op justitiële en strafvorderlijke gegevens, waaronder gegevens die worden gebruikt bij de afhandeling van strafbare feiten en bij een verklaring omtrent het gedrag.
Deze regels zijn niet zonder meer uitwisselbaar met de algemene AVG-regels. Een professional die met politie- of justitiële gegevens werkt, moet daarom eerst vaststellen welke taak en welk wettelijk kader van toepassing zijn.
De basisregistratie personen
De Wet BRP regelt het juiste gebruik van persoonsgegevens in de basisregistratie personen. Daarbij gaat het onder meer om het opnemen en wijzigen van gegevens door gemeenten en om het verstrekken van BRP-gegevens. De AVG bevat daarnaast regels voor situaties die niet in de Wet BRP zelf zijn geregeld.
Voor gemeentelijke professionals is het daarom belangrijk om onderscheid te maken tussen informatie uit de BRP en gegevens uit andere dossiers. De herkomst van gegevens, het doel van gebruik en de wettelijke taak bepalen samen welke vervolgstap mogelijk is.
Zorg, onderwijs en jeugdhulp
In zorg, onderwijs en jeugdhulp werken naast de AVG andere regels door. Denk aan de Jeugdwet, onderwijswetgeving, de Wet geneeskundige behandelingsovereenkomst en beroepscodes voor professionals met een zorgverlenende of hulpverlenende taak.
Bij structurele samenwerking kan een privacyconvenant helpen om taken, verantwoordelijkheden en afspraken over gegevensuitwisseling vast te leggen. Het Nederlands Jeugdinstituut beschrijft bijvoorbeeld een convenant voor gemeenten, scholen, samenwerkingsverbanden passend onderwijs en jeugdhulppartners. Een uitvoeringsplan vertaalt zulke afspraken vervolgens naar beleid, procedures en werkafspraken voor professionals.
Welke rechten hebben betrokkenen?
De AVG geeft mensen zoveel mogelijk controle over hun eigen persoonsgegevens. Zij kunnen onder meer:
- inzage vragen in de gegevens die over hen zijn verzameld;
- onjuiste gegevens laten corrigeren;
- onder voorwaarden om verwijdering vragen;
- gegevens laten overdragen;
- bezwaar maken tegen bepaalde vormen van gebruik;
- informatie vragen over wat een organisatie met hun gegevens doet en waarom;
- onder voorwaarden beperking van de verwerking vragen.
Een organisatie moet in beginsel binnen één maand reageren op een verzoek. Bij een complex verzoek kan die termijn worden verlengd tot maximaal drie maanden. Een organisatie kan een verzoek ook niet uitvoeren wanneer zij bijvoorbeeld wettelijk verplicht is bepaalde gegevens te bewaren. De reden daarvoor moet duidelijk worden uitgelegd.
Deze rechten sluiten aan bij artikel 10 van de Grondwet. Dat artikel beschermt de persoonlijke levenssfeer en draagt de wetgever op regels te stellen over het vastleggen en verstrekken van persoonsgegevens, inzage en verbetering van gegevens.
Gegevens delen in zorg en veiligheid
Gegevensdeling is soms nodig om passende zorg, ondersteuning of bescherming te organiseren. De privacywetgeving verbiedt samenwerking niet, maar vraagt wel om een onderbouwde werkwijze. Gebruik deze vragen voordat informatie in een overleg of samenwerkingsverband wordt gedeeld:
- Wat is het doel? Beschrijf het concrete probleem of de wettelijke taak waarvoor gegevens nodig zijn.
- Welke grondslag geldt? Leg vast op welke wettelijke basis de verwerking en eventuele uitwisseling steunen.
- Welke gegevens zijn noodzakelijk? Deel alleen de informatie die nodig is voor het afgesproken doel.
- Wie heeft toegang? Maak duidelijk welke organisaties en medewerkers de informatie mogen ontvangen.
- Welke aanvullende regels gelden? Controleer of bijvoorbeeld politiegegevens, gezondheidsgegevens, beroepsgeheim of sectorale wetgeving een rol speelt.
- Hoe worden afspraken vastgelegd? Beschrijf verantwoordelijkheden, beveiliging, bewaartermijnen en de manier waarop betrokkenen worden geïnformeerd.
Bij complexe casuïstiek helpt een vaste werkwijze om niet pas tijdens een overleg over de juridische basis te beginnen. Lees ook over privacy bij complexe casussen en leg vooraf vast welke informatie nodig is voor besluitvorming.
Beveiliging en toezicht
Persoonsgegevens moeten passend worden beveiligd tegen onbevoegde inzage, verlies en verspreiding. Dat vraagt niet alleen om technische maatregelen. Ook autorisaties, werkafspraken, scholing en een zorgvuldige inrichting van dossiers bepalen of informatie in de praktijk beschermd blijft.
De Autoriteit Persoonsgegevens houdt toezicht op de AVG, de RGR en verschillende aanvullende wetten. Als een organisatie de privacyregels niet naleeft, kan de toezichthouder ingrijpen. Mensen die vermoeden dat een persoon of organisatie de privacywetgeving niet naleeft, kunnen bij de Autoriteit Persoonsgegevens een tip of klacht indienen.
Gegevens doorgeven aan een land buiten de Europese Economische Ruimte vraagt extra aandacht. Dat mag alleen wanneer het land voldoende bescherming biedt of aan de daarvoor geldende voorwaarden wordt voldaan. Binnen de Europese Economische Ruimte gelden de AVG en de RGR als onderdeel van een gezamenlijk beschermingskader.
Veelgemaakte fouten bij gegevensdeling
In de praktijk ontstaan risico's vaak door een onduidelijk proces, niet doordat professionals onzorgvuldig willen handelen. Let vooral op deze situaties:
- een overleg begint zonder helder doel of zonder aangewezen verantwoordelijke;
- deelnemers delen het volledige dossier terwijl een beperkte samenvatting volstaat;
- organisaties nemen aan dat toestemming altijd de juiste oplossing is, zonder de wettelijke context te beoordelen;
- een convenant wordt gezien als vervanging van een grondslag of sectorale regel;
- afspraken over toegang, bewaren en verwijderen blijven mondeling;
- betrokkenen krijgen geen duidelijke uitleg over het gebruik van hun gegevens.
Een korte controle aan het begin van een casusoverleg voorkomt dat noodzakelijke samenwerking en privacy tegenover elkaar komen te staan. Werk met een vast format en laat afwijkingen motiveren en vastleggen.
Veelgestelde vragen over privacywetgeving in Nederland
Wat is de belangrijkste privacywet in Nederland?
De AVG is de belangrijkste algemene privacywet. De UAVG werkt onderdelen daarvan uit voor Nederland. Afhankelijk van de taak en de gegevens kunnen daarnaast de Wpg, Wjsg, Wet BRP en sectorale regels gelden.
Mag een gemeente persoonsgegevens delen met een zorginstelling?
Dat kan alleen wanneer het doel, de wettelijke grondslag, de noodzakelijkheid en de verantwoordelijkheden duidelijk zijn. De betrokken organisaties moeten ook rekening houden met aanvullende regels, zoals het beroepsgeheim of regels voor gezondheidsgegevens.
Is toestemming altijd nodig om persoonsgegevens te delen?
Niet iedere verwerking steunt op toestemming. De juiste grondslag hangt af van het doel, de taak en de toepasselijke wetgeving. Leg daarom eerst vast waarom de gegevens nodig zijn en welk juridisch kader geldt.
Wat is het verschil tussen de AVG en de Wpg?
De AVG bevat algemene regels voor persoonsgegevens. De Wpg regelt specifiek de verwerking van politiegegevens voor politietaken en bepaalde andere bevoegde diensten. De toepasselijke taak en het type gegevens bepalen welk kader voorrang heeft.
Waar kunnen professionals betrouwbare informatie vinden?
Begin bij de actuele wettekst en informatie van de Autoriteit Persoonsgegevens. Vul die aan met sectorale handreikingen, interne privacyprocedures en afspraken met samenwerkingspartners. Voor de zorg- en veiligheidsketen zijn vooral de rollen, grondslagen en werkafspraken per casus van belang.
Conclusie
Privacy wetgeving in Nederland bestaat uit een samenhangend geheel van algemene, nationale en sectorale regels. De AVG en UAVG vormen vaak het startpunt, maar bij politiegegevens, justitiële gegevens, de BRP, zorg en jeugdhulp kunnen aanvullende kaders gelden.
Voor zorg- en veiligheidspartners begint zorgvuldige gegevensdeling met een helder doel, een passende grondslag, minimale gegevensverwerking en duidelijke afspraken. Door die stappen vooraf vast te leggen, kunnen organisaties samenwerken met respect voor de persoonlijke levenssfeer én met oog voor de opgave die zij samen uitvoeren.