Privacywetgeving
Privacywetgeving bestaat uit meerdere Europese en Nederlandse kaders. Deze uitleg helpt professionals in zorg en veiligheid om de belangrijkste regels te herkennen en zorgvuldig toe te passen.
Privacywetgeving bepaalt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en delen. Voor professionals in zorg en veiligheid gaat het niet om één afzonderlijke wet. De belangrijkste kaders zijn de Algemene verordening gegevensbescherming (AVG), de Uitvoeringswet AVG (UAVG) en, voor rechtshandhaving, de Richtlijn gegevensbescherming bij rechtshandhaving (RGR). Daarnaast gelden specifieke regels, zoals de Wet politiegegevens en de Wet basisregistratie personen.
In deze uitleg leest u welke kaders samen de privacywetgeving vormen en welke vragen helpen bij samenwerking rond complexe casuïstiek.
Wat betekent privacywetgeving?
Privacywetgeving is het geheel van wetten, Europese regels en uitvoeringsregelingen dat de verwerking van persoonsgegevens begrenst. Verwerken betekent meer dan alleen gegevens opslaan. Ook verzamelen, raadplegen, combineren, verstrekken en vernietigen vallen eronder.
Persoonsgegevens zijn gegevens die direct over iemand gaan of waarmee iemand indirect herkenbaar wordt. Een combinatie van gegevens kan dus ook tot een identificeerbare persoon leiden. Dat is van belang in dossiers waarin informatie uit zorg, gemeente en veiligheid samenkomt.
De AVG vormt het algemene Europese kader voor de verwerking van persoonsgegevens. De AP houdt toezicht op de AVG en op andere regels voor gegevensverwerking. De UAVG vult onderdelen van de AVG in die ruimte laten voor nationale regels.
Welke wetten vallen onder de privacywetgeving?
De regels die voor een organisatie gelden, hangen af van de taak, de gegevens en de context. De volgende kaders zijn voor het zorg- en veiligheidsdomein belangrijk:
| Kader | Hoofdfunctie | Praktische betekenis |
|---|---|---|
| AVG | Algemene regels voor de verwerking van persoonsgegevens | Bepaal waarom gegevens nodig zijn, gebruik niet meer dan noodzakelijk en bescherm de informatie passend. |
| UAVG | Nederlandse uitwerking van onderdelen van de AVG | Controleer of Nederlandse aanvullingen of uitzonderingen van toepassing zijn. |
| RGR | Regels voor bevoegde autoriteiten bij het voorkomen, onderzoeken en vervolgen van strafbare feiten | Kijk of de verwerking onder rechtshandhaving valt en welk nationaal kader daarbij hoort. |
| Wpg | Regels voor politiegegevens | Pas dit kader toe bij verwerkingen door de politie en andere bevoegde politiediensten. |
| Wjsg | Regels voor justitiële en strafvorderlijke gegevens | Let hierop bij gegevens die justitie verwerkt voor opsporing, vervolging of bijvoorbeeld een verklaring omtrent het gedrag. |
| Wet BRP | Regels voor de basisregistratie personen | Volg de regels voor het opnemen, wijzigen en verstrekken van gegevens uit de BRP. |
De RGR is in Nederland onder meer uitgewerkt in de Wet politiegegevens, de Wet justitiële en strafvorderlijke gegevens, het Wetboek van Strafvordering en de Politiewet. Niet elke professional in een casusoverleg werkt dus onder hetzelfde wettelijke kader. De taak van de organisatie en het doel van de verwerking zijn bepalend.
Meer achtergrond staat in onze uitleg over privacyregels Nederland. Voor samenwerking waarin medische informatie voorkomt, is ook informatie over gezondheidsgegevens AVG zorg relevant.
De AVG als algemeen kader
De AVG geldt in de hele Europese Economische Ruimte. De verordening bevat de algemene regels voor organisaties die persoonsgegevens verwerken. De Nederlandse UAVG werkt de nationale ruimte verder uit, maar vervangt de AVG niet.
Bij een voorgenomen verwerking helpt het om de volgende punten vast te leggen:
- Doel: waarvoor zijn de gegevens nodig?
- Taak en verantwoordelijkheid: welke organisatie voert de taak uit en wie beslist over de verwerking?
- Noodzaak: kan het doel met minder gegevens of een minder ingrijpende werkwijze worden bereikt?
- Toegang: welke medewerkers of partners hebben de informatie daadwerkelijk nodig?
- Bewaartermijn: hoe lang blijven de gegevens nodig en wanneer worden ze verwijderd?
- Beveiliging: welke technische en organisatorische maatregelen beschermen de gegevens?
- Transparantie: hoe worden betrokkenen geïnformeerd over het gebruik van hun gegevens?
Deze punten maken zichtbaar waar een besluit op berust. Leg ook vast welke informatie wel en niet wordt gedeeld. Een algemene afspraak om alles met alle partners te delen past niet bij zorgvuldige gegevensverwerking.
Privacy en gegevensdeling in zorg en veiligheid
Samenwerking kan nodig zijn om hulp, bescherming of veiligheid te organiseren. Dat betekent niet automatisch dat iedere partner alle beschikbare informatie mag ontvangen. Bij elk verzoek om gegevensdeling moet duidelijk zijn welke taak wordt uitgevoerd, welk doel de verstrekking heeft en waarom de ontvanger de informatie nodig heeft.
Een praktisch overleg kan daarom deze volgorde hanteren:
- Beschrijf de concrete situatie en het doel van het overleg.
- Benoem welke persoonsgegevens nodig zijn om dat doel te bereiken.
- Bepaal welk wettelijk kader en welke taak bij de verwerking horen.
- Controleer of de voorgenomen verstrekking noodzakelijk en proportioneel is.
- Deel alleen de gegevens die voor de afgesproken taak nodig zijn.
- Leg het besluit, de afweging en eventuele voorwaarden vast.
- Bespreek hoe de gegevens worden beveiligd, bewaard en verwijderd.
Bij complexe casussen helpt het om de juridische en organisatorische afspraken vooraf te beschrijven. Lees ook onze aandachtspunten voor gegevens delen zorg veiligheid. Zo wordt een privacyvraag niet pas besproken nadat informatie al is verspreid.
Rechten van mensen over hun persoonsgegevens
Privacywetgeving geeft mensen zeggenschap over informatie die over hen wordt verwerkt. Onder de AVG gaat het onder meer om deze rechten:
- inzage in de persoonsgegevens die een organisatie verwerkt;
- correctie van onjuiste gegevens;
- verwijdering wanneer gegevens niet langer nodig zijn, voor zover de wet geen bewaarplicht of andere uitzondering voorschrijft;
- overdraagbaarheid van gegevens in de situaties waarin dit recht geldt;
- bezwaar tegen bepaalde verwerkingen;
- duidelijke informatie over het doel en de manier van verwerken;
- beperking van de verwerking in de gevallen die de AVG noemt.
Een organisatie moet in beginsel binnen één maand reageren op een verzoek. Bij een complex verzoek kan die termijn worden verlengd. De organisatie moet dat binnen de eerste maand laten weten en uitleggen waarom meer tijd nodig is. De maximale termijn is drie maanden.
Voor professionals betekent dit dat informatie over een casus niet alleen inhoudelijk juist moet zijn. Ook de registratie, herkomst, toegang en bewaartermijn moeten beheersbaar zijn. Een onduidelijk dossier maakt het lastiger om een verzoek van een betrokkene zorgvuldig te behandelen.
Wanneer gelden regels voor rechtshandhaving?
De RGR richt zich op de verwerking van persoonsgegevens door bevoegde autoriteiten die strafbare feiten voorkomen, onderzoeken, opsporen of vervolgen, of straffen uitvoeren. In Nederland is deze richtlijn onder meer terug te zien in de Wpg en de Wjsg.
Dat kader is niet hetzelfde als het algemene AVG-kader. Een organisatie moet daarom eerst vaststellen vanuit welke wettelijke taak zij handelt. Een zorginstelling, gemeente, veiligheidshuis en politie kunnen bij dezelfde casus betrokken zijn, maar hun bevoegdheden en verantwoordelijkheden kunnen verschillen.
Het onderscheid is vooral relevant wanneer informatie uit een zorgtraject wordt besproken in een veiligheidscontext. Leg dan vast welke organisatie welke rol heeft, welk doel de verstrekking dient en onder welke regels de ontvanger de gegevens verder verwerkt.
Privacywetgeving praktisch toepassen
Een werkbare aanpak begint niet met de vraag welke informatie beschikbaar is, maar met de vraag welk doel de samenwerking heeft. Gebruik vervolgens een kort beoordelingsmoment voordat gegevens worden gedeeld:
- Is de persoon of groep om wie het gaat duidelijk afgebakend?
- Is het doel van de verwerking concreet en rechtmatig?
- Zijn de gekozen gegevens passend bij dat doel?
- Is de ontvanger bevoegd en heeft die de informatie nodig?
- Zijn er minder ingrijpende alternatieven?
- Zijn toegang, beveiliging, bewaartermijn en vervolggebruik geregeld?
- Is het besluit begrijpelijk vastgelegd voor collega’s en voor een eventuele controle achteraf?
Een convenant of privacyprotocol kan deze werkwijze ondersteunen, maar een document vervangt de inhoudelijke beoordeling per situatie niet. Wetgeving, taak, gegevenssoort en concrete omstandigheden blijven samen bepalend.
Veelgestelde vragen over privacywetgeving
Is privacywetgeving hetzelfde als de AVG?
Nee. De AVG is het belangrijkste algemene kader, maar privacywetgeving omvat meer. In Nederland horen ook de UAVG, regels voor rechtshandhaving en sectorspecifieke wetten bij het geheel.
Welke privacywet geldt bij samenwerking tussen zorg en veiligheid?
Dat hangt af van de taak van de betrokken organisatie, het doel van de verwerking en de soort gegevens. De AVG is vaak het algemene vertrekpunt. Bij politietaken of justitiële gegevens kunnen de Wpg, Wjsg en andere regels van toepassing zijn.
Moet voor iedere gegevensdeling toestemming worden gevraagd?
Niet iedere verwerking berust op toestemming. De organisatie moet eerst bepalen welk wettelijk kader en welke grondslag bij de taak passen. Toestemming is dus geen algemene oplossing voor iedere vorm van gegevensdeling.
Wat moet een organisatie doen bij een verzoek om inzage?
De organisatie moet het verzoek zorgvuldig beoordelen, nagaan welke gegevens onder het verzoek vallen en in beginsel binnen één maand reageren. Bij een complex verzoek kan de termijn onder voorwaarden worden verlengd tot maximaal drie maanden.
Conclusie
Privacywetgeving bestaat uit een samenhang van Europese en Nederlandse regels. De AVG en UAVG vormen het algemene kader. Voor rechtshandhaving gelden aanvullende regels, waaronder de RGR, Wpg en Wjsg. De Wet BRP regelt weer een specifiek onderdeel van gemeentelijke gegevensverwerking.
Voor zorg en veiligheid is vooral een zorgvuldige werkwijze belangrijk. Formuleer het doel, bepaal de juiste wettelijke context, deel niet meer dan nodig en leg de afweging vast. Zo blijft gegevensdeling mogelijk zonder de rechten van betrokkenen uit het oog te verliezen.