Privacywetgeving voor zorg en veiligheid

Privacywetgeving bepaalt onder welke voorwaarden organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en delen. Voor professionals in zorg en veiligheid gaat het niet alleen om de AVG. Ook de Uitvoeringswet AVG (UAVG), regels voor politie en justitie en sectorspecifieke voorschriften kunnen een rol spelen.

Een goede werkwijze begint daarom niet met de vraag of gegevensdeling wenselijk is, maar met een duidelijke analyse van het doel, de betrokken personen, de grondslag en de noodzakelijke gegevens. In dit artikel leest u welke kaders samenkomen en hoe u ze toepast in een casusoverleg, samenwerking of informatiesysteem.

Wat betekent privacywetgeving in Nederland?

Privacywetgeving is het geheel van wetten, verordeningen en regels dat de verwerking van persoonsgegevens beschermt. Verwerken heeft een brede betekenis. Het gaat om meer dan opslaan: ook verzamelen, raadplegen, combineren, doorgeven, aanpassen en vernietigen vallen eronder.

De belangrijkste kaders zijn:

• De AVG: de Europese basis voor de bescherming van persoonsgegevens bij organisaties binnen de Europese Economische Ruimte.
• De UAVG: de Nederlandse uitvoeringswet die de AVG op onderdelen aanvult en uitwerkt.
• De regels voor rechtshandhaving: voor bevoegde autoriteiten die persoonsgegevens verwerken met het oog op het voorkomen, onderzoeken of vervolgen van strafbare feiten. In Nederland zijn deze regels onder meer terug te vinden in de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg).
• De Wet BRP: regels voor de registratie en verstrekking van persoonsgegevens uit de Basisregistratie Personen.

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de AVG, de UAVG en verschillende andere regels voor de verwerking van persoonsgegevens. Het juiste kader hangt af van de organisatie, de taak en het doel waarvoor de gegevens worden gebruikt.

Wanneer geldt de AVG?

De AVG geldt zodra een organisatie persoonsgegevens verwerkt. Persoonsgegevens zijn gegevens die direct over iemand gaan of waarmee iemand indirect herkenbaar kan worden. Een combinatie van gegevens kan dus ook tot een identificeerbare persoon leiden.

In zorg en veiligheid gaat het bijvoorbeeld om:

• contactgegevens en identificerende gegevens;
• informatie over hulpverlening, gezondheid of gezinssituatie;
• meldingen, observaties en risico-inschattingen;
• gegevens over strafbare feiten of politiecontacten;
• gegevens uit gemeentelijke registraties of een casusdossier.

Gezondheidsgegevens en gegevens over strafbare feiten vragen extra zorgvuldigheid. Niet elke organisatie mag deze gegevens voor elk doel verwerken. Controleer daarom eerst welke taak de organisatie uitvoert en welk wettelijk kader daarop van toepassing is. Een grondslag gegevens delen is pas bruikbaar als ook aan de overige voorwaarden van de privacywetgeving is voldaan.

De zes grondslagen van de AVG

Een organisatie mag persoonsgegevens alleen verwerken als daar een grondslag voor is. De AVG kent zes grondslagen:

1. toestemming van de betrokkene;
2. noodzakelijkheid voor de uitvoering van een overeenkomst;
3. noodzakelijkheid om aan een wettelijke verplichting te voldoen;
4. bescherming van vitale belangen;
5. uitvoering van een taak van algemeen belang of uitoefening van openbaar gezag;
6. een gerechtvaardigd belang van de organisatie of een derde.

Voor professionals in het publieke domein is een wettelijke taak of een taak van algemeen belang vaak relevanter dan toestemming. Dat betekent niet automatisch dat gegevens mogen worden gedeeld. De organisatie moet kunnen uitleggen waarom de verwerking noodzakelijk is voor die taak en waarom de gekozen gegevens daarvoor nodig zijn.

Toestemming is evenmin een algemene oplossing. Zij moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. In een afhankelijkheidsrelatie, bijvoorbeeld tussen een inwoner en een overheidsorganisatie, is het niet altijd aannemelijk dat iemand vrij kan weigeren. Leg de gekozen grondslag daarom vast voordat u gegevens uitwisselt.

Welke beginselen sturen de verwerking?

De AVG koppelt aan iedere verwerking meerdere beginselen. Deze beginselen helpen om een praktische beslissing te nemen en vormen de basis voor verantwoording achteraf.

Doelbinding

Bepaal vooraf waarvoor u gegevens nodig hebt. Gebruik verzamelde informatie niet later zonder meer voor een ander doel. Een e-mailadres dat voor een afspraak is verkregen, mag niet vanzelf voor een ander doel worden ingezet. In een casusoverleg moet duidelijk zijn welke gezamenlijke opgave de gegevensdeling ondersteunt.

Dataminimalisatie

Verwerk niet meer gegevens dan noodzakelijk. Vraag per gegeven wat het toevoegt aan de beslissing of interventie. Een volledig dossier delen is meestal minder goed te onderbouwen dan een gerichte samenvatting met relevante feiten, bronvermelding en datum.

Juistheid

Werk met actuele en controleerbare informatie. Maak onderscheid tussen feiten, signalen, interpretaties en veronderstellingen. Dat voorkomt dat een onjuiste aantekening zich door meerdere dossiers of organisaties verspreidt.

Bewaarbeperking

Bewaar persoonsgegevens niet langer dan nodig. De juiste termijn hangt af van het doel en eventuele wettelijke bewaarplichten. Leg vast wanneer een dossier wordt geëvalueerd, verwijderd of geanonimiseerd. Een algemene gewoonte om alles onbeperkt te bewaren is geen onderbouwing.

Beveiliging

Bescherm gegevens tegen verlies, onbevoegde toegang en onbedoelde wijziging. Denk aan toegangsrechten, logging, veilige communicatie, actuele software en duidelijke afspraken over mobiele apparaten en papieren dossiers. Beveiliging moet aansluiten op de gevoeligheid van de informatie en de risico's van de verwerking.

Gegevens delen in zorg en veiligheid

Samenwerking tussen zorg, gemeente en veiligheid vraagt om een afgebakend proces. De kern is niet alleen welke gegevens technisch kunnen worden gedeeld, maar vooral welke organisatie waarvoor verantwoordelijk is.

Gebruik bij een voorgenomen gegevensdeling deze volgorde:

1. Omschrijf de opgave. Welk probleem of welke wettelijke taak vraagt om samenwerking?
2. Bepaal de rollen. Wie is verwerkingsverantwoordelijke, wie levert gegevens aan en wie ontvangt ze?
3. Selecteer de grondslag. Leg uit waarom de verwerking rechtmatig is en waarom delen noodzakelijk is.
4. Beperk de gegevens. Deel alleen informatie die relevant is voor het afgesproken doel.
5. Controleer aanvullende regels. Denk aan het medisch beroepsgeheim, regels voor politiegegevens, bijzondere persoonsgegevens en sectorale wetgeving.
6. Maak afspraken. Leg toegang, beveiliging, bewaartermijnen, terugkoppeling en verantwoordelijkheden vast.
7. Informeer betrokkenen waar dat moet. Geef begrijpelijke informatie over het gebruik van hun gegevens en hun rechten, tenzij een wettelijke uitzondering geldt.
8. Evalueer de verwerking. Kijk of de gegevensdeling nog nodig, proportioneel en effectief is.

In een casusoverleg zorg en veiligheid helpt het om per bespreekpunt vast te leggen welke informatie nodig is en welke conclusie daarop volgt. Zo voorkomt u dat een overleg automatisch verandert in het uitwisselen van volledige dossiers.

Rechten van betrokkenen

De AVG geeft mensen verschillende rechten. Afhankelijk van de situatie kunnen zij onder meer vragen om inzage, correctie, verwijdering, beperking van de verwerking of overdraagbaarheid van gegevens. Ook kunnen zij bezwaar maken tegen bepaalde verwerkingen.

Een organisatie moet verzoeken herkenbaar behandelen, de identiteit van de verzoeker controleren en beoordelen of een wettelijke uitzondering geldt. Houd rekening met rechten van anderen, geheimhoudingsplichten en regels die gelden voor opsporing of toezicht. Een verzoek om verwijdering leidt dus niet in iedere situatie automatisch tot vernietiging.

Zorg dat medewerkers weten waar verzoeken binnenkomen en wie ze beoordeelt. Een duidelijke procedure voorkomt dat een vraag blijft liggen bij een behandelaar die niet bevoegd is om een besluit te nemen.

Verantwoordingsplicht en risicobeoordeling

Privacywetgeving vraagt niet alleen om een rechtmatige verwerking, maar ook om aantoonbare zorgvuldigheid. Houd daarom een actueel overzicht bij van verwerkingen. Beschrijf daarin ten minste het doel, de categorieën gegevens, de betrokken personen, ontvangers, bewaartermijnen en beveiligingsmaatregelen.

Bij verwerkingen met een hoog privacyrisico kan een Data Protection Impact Assessment (DPIA) nodig zijn. Dat geldt bijvoorbeeld wanneer een verwerking op grote schaal gevoelige gegevens gebruikt, mensen systematisch volgt of nieuwe technologie grote gevolgen kan hebben. Een DPIA brengt risico's en maatregelen vooraf in beeld. Het is geen eenmalige administratieve oefening, maar een hulpmiddel om het ontwerp en de werkwijze aan te passen.

Betrek de functionaris voor gegevensbescherming (FG) wanneer die binnen de organisatie is aangewezen. De FG adviseert en houdt toezicht op de naleving, maar de organisatie zelf blijft verantwoordelijk voor haar keuzes.

Nieuwe technologie en privacywetgeving

Nieuwe toepassingen, zoals generatieve AI die aan interne documenten wordt gekoppeld, veranderen niet vanzelf de wettelijke eisen. Controleer vooraf welke persoonsgegevens in het systeem terechtkomen, wie toegang heeft, waar verwerking plaatsvindt en of de leverancier de gegevens voor andere doelen gebruikt.

Pas privacy by design en privacy by default toe. Dat betekent dat privacy al in het ontwerp en in de standaardinstellingen wordt meegenomen. Test bijvoorbeeld of een systeem alleen de noodzakelijke dossiers toont, toegangsrechten goed toepast en geen informatie langer bewaart dan nodig.

Een handige beoordeling bevat minimaal:

• het concrete doel van de toepassing;
• de gegevensstromen en betrokken partijen;
• de gekozen grondslag;
• de risico's voor betrokkenen;
• maatregelen voor toegang, beveiliging en verwijdering;
• een besluit over ingebruikname en periodieke evaluatie.

Praktische controlelijst voor professionals

Gebruik deze korte controle voordat u gegevens verzamelt of deelt:

• Is het doel concreet en rechtmatig beschreven?
• Is duidelijk welke organisatie en professional verantwoordelijk is?
• Is de grondslag vastgelegd?
• Zijn alleen noodzakelijke gegevens geselecteerd?
• Zijn bijzondere persoonsgegevens of strafrechtelijke gegevens betrokken?
• Zijn geheimhoudingsplichten en sectorale regels gecontroleerd?
• Zijn ontvangers, toegang en bewaartermijn bepaald?
• Weten betrokkenen wat er met hun gegevens gebeurt?
• Zijn beveiliging, logging en datalekprocedures geregeld?
• Is een DPIA of advies van de FG nodig?
• Kan de organisatie achteraf uitleggen waarom deze verwerking nodig was?

Deze vragen vervangen geen juridische beoordeling. Ze maken wel zichtbaar waar een casus of werkproces extra aandacht vraagt. Voor bredere privacyregels in Nederland is het nuttig om naast de AVG ook de UAVG en de regels voor politie, justitie en de BRP mee te nemen.

Veelgestelde vragen over privacywetgeving

Is privacywetgeving hetzelfde als de AVG?

Nee. De AVG is het belangrijkste Europese kader, maar privacywetgeving omvat ook de UAVG, regels voor rechtshandhaving, de Wet BRP en andere relevante voorschriften. Welk kader geldt, hangt af van de taak en het doel van de verwerking.

Mag een zorgorganisatie persoonsgegevens met de gemeente delen?

Dat kan alleen als de verwerking en verstrekking rechtmatig zijn. De organisatie moet onder meer een passende grondslag, een duidelijk doel en noodzakelijkheid kunnen onderbouwen. Ook het medisch beroepsgeheim, regels voor bijzondere gegevens en afspraken over verantwoordelijkheid kunnen bepalend zijn. Er is geen algemene toestemming om alle informatie uit een zorgdossier te delen.

Is toestemming altijd nodig voor gegevensdeling?

Nee. Toestemming is één van de mogelijke grondslagen. Een wettelijke taak, een wettelijke verplichting of een andere grondslag kan passend zijn. Gebruik toestemming alleen wanneer zij vrij, specifiek, geïnformeerd en ondubbelzinnig kan worden gegeven en ingetrokken.

Wat moet een organisatie doen bij een datalek?

Beperk het lek, beoordeel het risico, leg het incident vast en volg de interne procedure. Ernstige datalekken moeten binnen de daarvoor geldende termijn aan de AP worden gemeld. Informeer betrokkenen wanneer dat nodig is om hen tegen ernstige gevolgen te beschermen.

Conclusie

Privacywetgeving biedt het kader om persoonsgegevens zorgvuldig en rechtmatig te gebruiken. In zorg en veiligheid vraagt dat om meer dan een verwijzing naar de AVG. Beschrijf het doel, kies een passende grondslag, beperk de gegevens, controleer aanvullende regels en leg verantwoordelijkheden vast.

Wie deze stappen in het werkproces opneemt, maakt gegevensdeling beter uitlegbaar en beter uitvoerbaar. Gebruik de controlelijst bij nieuwe casuïstiek, samenwerkingsafspraken en digitale toepassingen. Zo blijft samenwerking mogelijk zonder de rechten en veiligheid van betrokkenen uit het oog te verliezen.