Privacywetgeving
De term wet privacy verwijst naar een samenhangend geheel van regels. Lees hoe de AVG, UAVG, Grondwet en sectorspecifieke wetten gegevensdeling in zorg en veiligheid sturen.
Wie zoekt naar de wet privacy, zoekt meestal naar één duidelijke wettelijke regel voor het verzamelen, gebruiken en delen van persoonsgegevens. In Nederland bestaat echter niet één afzonderlijke privacywet. De belangrijkste kaders zijn de Algemene verordening gegevensbescherming (AVG), de Uitvoeringswet AVG (UAVG) en regels voor specifieke situaties, zoals rechtshandhaving en de Basisregistratie Personen (BRP).
Voor professionals in zorg en veiligheid is dat onderscheid belangrijk. De juiste regel hangt af van de organisatie, het doel van de verwerking en het soort gegevens. Deze uitleg zet de belangrijkste kaders op een rij en vertaalt ze naar aandachtspunten voor gegevensdeling in de praktijk.
Welke wet privacy geldt in Nederland?
De AVG vormt het algemene Europese kader voor de verwerking van persoonsgegevens. De UAVG vult de AVG op Nederlandse punten aan. Voor politie en justitie gelden daarnaast regels die voortkomen uit de Europese Richtlijn gegevensbescherming bij rechtshandhaving. In Nederland zijn die onder meer uitgewerkt in de Wet politiegegevens (Wpg), de Wet justitiële en strafvorderlijke gegevens (Wjsg), het Wetboek van Strafvordering en de Politiewet.
De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van deze regels. De AP ziet niet alleen toe op de AVG en UAVG, maar ook op andere wetgeving die het verwerken van persoonsgegevens regelt. De vraag welke wet van toepassing is, moet daarom altijd worden beantwoord vanuit de concrete verwerking en de taak van de organisatie.
Wat valt onder privacywetgeving?
Persoonsgegevens zijn gegevens die direct over iemand gaan of waarmee iemand indirect herkenbaar kan worden. Een combinatie van gegevens kan dus ook tot een persoon herleidbaar zijn. Het gaat niet alleen om namen en adressen. In een casus kunnen bijvoorbeeld contactgegevens, informatie over een gezinssituatie, registraties of gegevens over hulpverlening samen persoonsgegevens vormen.
Verwerken is een breed begrip. Het omvat alle handelingen die een organisatie met persoonsgegevens kan uitvoeren, van verzamelen en vastleggen tot raadplegen, delen, bewaren en vernietigen. Ook wanneer gegevens al eerder door een andere partner zijn verzameld, valt het nieuwe gebruik of de nieuwe verstrekking onder de privacyregels.
Voor een overleg over complexe problematiek betekent dit dat niet alleen de vraag telt of informatie beschikbaar is. Ook moet duidelijk zijn:
- over wie de informatie gaat;
- met welk doel de informatie wordt gebruikt;
- welke gegevens daarvoor noodzakelijk zijn;
- welke organisaties toegang krijgen;
- hoe lang de gegevens worden bewaard;
- en welke afspraken gelden voor beveiliging en verwijdering.
De AVG en de UAVG in de praktijk
De AVG stelt de algemene eisen aan een rechtmatige verwerking. Een organisatie moet kunnen uitleggen waarom zij gegevens verwerkt en waarom de gekozen gegevens nodig zijn voor dat doel. Daarbij zijn transparantie, passende beveiliging en een zorgvuldige omgang met de rechten van betrokkenen van belang.
De UAVG bevat Nederlandse uitwerkingen en aanvullingen bij de AVG. De wet staat daarom niet los van de AVG, maar vormt er samen mee het belangrijkste algemene kader in Nederland. Voor zorgorganisaties, gemeenten en samenwerkingsverbanden is het verstandig om beide kaders samen te bekijken voordat een nieuwe gegevensstroom wordt ingericht.
De AVG regels zorg vragen bovendien om aandacht voor aanvullende regels binnen de zorg. Bij gezondheidsgegevens kunnen de context, de rol van de professional en de relatie met de cliënt bepalend zijn voor de manier waarop informatie mag worden verwerkt of gedeeld.
Privacy is ook een grondrecht
Artikel 10 van de Grondwet beschermt het recht op eerbiediging van de persoonlijke levenssfeer. Het artikel draagt de wetgever ook op om regels te maken over het vastleggen en verstrekken van persoonsgegevens. Daarnaast moeten mensen kunnen weten welke gegevens over hen zijn vastgelegd en moeten zij onjuiste gegevens kunnen laten verbeteren.
Dat grondrecht maakt duidelijk waarom gegevensdeling niet alleen een administratieve handeling is. Het gebruik van informatie kan rechtstreeks ingrijpen in iemands privéleven. Een organisatie moet daarom niet alleen kijken naar wat technisch mogelijk is, maar ook naar de wettelijke basis, de noodzaak en de gevolgen voor de betrokkene.
De wet kan het recht op privacy onder voorwaarden beperken. Dat gebeurt bijvoorbeeld binnen bepaalde taken van politie en justitie. Zo'n beperking vraagt wel om een duidelijke wettelijke grondslag. De regels voor rechtshandhaving zijn daarom niet zonder meer gelijk aan de regels die gelden voor een gemeente, zorginstelling of welzijnsorganisatie.
Gegevens delen in zorg en veiligheid
In een zorg- en veiligheidsnetwerk werken organisaties met verschillende wettelijke taken en verantwoordelijkheden. De ene partij kan informatie nodig hebben voor hulpverlening, terwijl een andere partij werkt vanuit een publieke veiligheidstaak. Dat betekent niet automatisch dat alle partners dezelfde gegevens mogen ontvangen.
Een zorgvuldige werkwijze begint met een afbakening van het doel. Beschrijf eerst welk probleem het overleg moet oplossen en welke beslissing of ondersteuning nodig is. Bepaal daarna welke informatie minimaal nodig is. Deel geen volledig dossier wanneer een beperkte set gegevens volstaat.
Let in ieder geval op deze punten:
- Doel en taak Leg vast waarvoor de verwerking nodig is en welke taak van de organisatie daarbij hoort.
- Rechtsgrond Controleer op welke wettelijke basis de gegevens worden verwerkt en gedeeld.
- Noodzaak Beoordeel per gegeven of het echt nodig is voor het afgesproken doel.
- Betrokkenen informeren Maak duidelijk welke gegevens worden gebruikt, waarom dat gebeurt en met wie ze worden gedeeld, voor zover de wet een uitzondering niet toestaat.
- Toegang en beveiliging Geef alleen bevoegde medewerkers toegang en leg passende beveiligingsmaatregelen vast.
- Vastleggen en evalueren Noteer de gemaakte afwegingen en controleer regelmatig of de gegevens nog nodig zijn.
Meer achtergrond over privacyregels zorg veiligheid helpt om de verschillende kaders naast elkaar te leggen. Bij complexe casussen is daarnaast niet alleen de juridische basis van belang. Ook heldere rollen, een afgesproken overlegstructuur en een controleerbare besluitvorming voorkomen dat gegevens uit gewoonte worden gedeeld.
Bijzondere gegevens vragen extra zorg
Sommige persoonsgegevens zijn extra gevoelig. De bronnen beschrijven bijvoorbeeld informatie over religie, politieke overtuiging en seksuele voorkeur als bijzondere persoonsgegevens. Voor de verwerking daarvan gelden strengere voorwaarden. Hetzelfde geldt in de praktijk voor informatie die veel kan zeggen over iemands gezondheid, veiligheid of persoonlijke omstandigheden.
Een brede informatievraag is daarom geen goede standaard. Vraag gericht uit welke gegevens nodig zijn en beperk de verspreiding tot de professionals die ze voor hun taak moeten kennen. Een convenant of werkafspraak kan helpen, maar zo'n document vervangt de wettelijke beoordeling per verwerking niet.
Wat betekent de BRP voor gemeenten?
De Wet basisregistratie personen regelt het gebruik van persoonsgegevens in de BRP. Daaronder vallen onder meer het opnemen en wijzigen van gegevens door gemeenten en het verstrekken van gegevens uit de registratie. De AVG bevat aanvullende regels voor situaties die niet volledig in de Wet BRP zijn geregeld.
Voor gemeenten betekent dit dat een verzoek om informatie uit de BRP niet alleen een praktische vraag is. De organisatie moet nagaan of het verzoek past binnen de regels voor de registratie en binnen de taak waarvoor de gegevens worden gevraagd. Ook bij koppelingen met andere processen blijft een doelgerichte en controleerbare werkwijze nodig.
Privacy en rechtshandhaving
De Richtlijn gegevensbescherming bij rechtshandhaving (RGR) is bedoeld voor bevoegde autoriteiten die persoonsgegevens verwerken om strafbare feiten te voorkomen, te onderzoeken, op te sporen of te vervolgen en om straffen uit te voeren. De richtlijn is in Nederland onder meer verwerkt in de Wpg en de Wjsg.
Dit aparte kader laat zien waarom het onderwerp wet privacy niet met alleen de AVG kan worden afgedaan. Een politieorganisatie of justitiële instantie werkt vanuit andere bevoegdheden dan een zorginstelling. Bij samenwerking moet daarom worden vastgesteld welke organisatie de gegevens verwerkt, voor welke taak en onder welk regime.
De AP heeft in 2026 bijvoorbeeld geoordeeld dat het wettelijke kader voor het Team Openbare Orde Inlichtingen van de politie tekortschiet. Volgens de berichtgeving ging het onder meer om de wettelijke basis voor het verzamelen van gegevens, de aansturing en de controle. De casus onderstreept dat een maatschappelijk doel niet vanzelf voldoende juridische basis oplevert.
Veelgemaakte fouten bij gegevensdeling
Bij privacyvraagstukken ontstaan problemen vaak doordat een stap in de onderbouwing wordt overgeslagen. Veelvoorkomende aandachtspunten zijn:
- toestemming gebruiken als standaardoplossing, terwijl de verhouding tussen partijen vrijwilligheid kan beperken;
- meer gegevens delen dan voor het doel nodig zijn;
- aannemen dat een samenwerkingsconvenant op zichzelf een wettelijke grondslag is;
- niet onderscheiden welke partij gegevens voor welke taak verwerkt;
- oude gegevens blijven gebruiken zonder opnieuw naar doel en noodzaak te kijken;
- mondelinge afspraken niet vastleggen, waardoor achteraf niet duidelijk is hoe de afweging is gemaakt.
Een korte privacycheck vooraf is meestal doelmatiger dan achteraf proberen te reconstrueren waarom informatie is gedeeld. Begin met de casus, beschrijf het doel, bepaal de minimale gegevensset en laat de verantwoordelijke privacy- of juridische functie meekijken wanneer de situatie complex is.
Veelgestelde vragen over de wet privacy
Is er één Nederlandse wet voor privacy?
Nee. De AVG is het algemene Europese kader en de UAVG vult dit in Nederland aan. Daarnaast gelden specifieke wetten voor onder meer politiegegevens, justitiële gegevens en de BRP. Welke regels van toepassing zijn, hangt af van de verwerking en de taak van de organisatie.
Wanneer zijn persoonsgegevens verwerkt?
Zodra een organisatie persoonsgegevens verzamelt, vastlegt, raadpleegt, gebruikt, deelt, bewaart of vernietigt, is sprake van verwerken. Het begrip is dus breder dan alleen het doorsturen van informatie.
Mag een organisatie persoonsgegevens altijd met een samenwerkingspartner delen?
Nee. Voor delen moet een passende wettelijke basis bestaan en de verstrekking moet passen bij een duidelijk doel. Ook moeten de gegevens noodzakelijk zijn en moet rekening worden gehouden met informatieplicht, beveiliging en de rechten van betrokkenen.
Is toestemming altijd nodig?
Toestemming is niet de enige mogelijke grondslag. De juiste basis hangt af van de situatie en de taak van de organisatie. Als iemand feitelijk onder druk staat, is het bovendien de vraag of toestemming wel vrijelijk wordt gegeven. Leg daarom eerst vast welke verwerking nodig is en welke wettelijke grondslag daarbij hoort.
Waar kan iemand terecht met een privacyklacht?
Wie vermoedt dat een persoon of organisatie de privacyregels niet naleeft, kan een tip of klacht indienen bij de Autoriteit Persoonsgegevens. De eigen organisatie moet daarnaast een duidelijk proces hebben voor vragen, inzageverzoeken en correcties.
Conclusie
De term wet privacy verwijst naar een samenhangend geheel van regels, niet naar één afzonderlijke wet. De AVG en UAVG vormen het algemene kader. De Grondwet beschermt privacy als grondrecht, terwijl aanvullende regels gelden voor onder meer rechtshandhaving en de BRP.
Voor professionals in zorg en veiligheid is de kern praktisch: bepaal het doel, controleer de wettelijke basis, deel niet meer dan nodig en leg de afweging vast. Zo wordt gegevensdeling niet alleen juridisch beter onderbouwd, maar ook voorspelbaarder voor de mensen om wie het gaat.