Privacywetgeving

De privacywet is geen enkele Nederlandse wet met één vaste naam. In de praktijk verwijst de term naar een samenhangend geheel van Europese en Nederlandse regels voor het verwerken van persoonsgegevens. De AVG vormt het belangrijkste algemene kader. Voor zorg, gemeenten, veiligheidshuizen en politie kunnen daarnaast de UAVG, de RGR en sectorspecifieke wetten van toepassing zijn.

Voor professionals is vooral van belang dat gegevensdeling niet automatisch is toegestaan omdat meerdere organisaties aan dezelfde casus werken. Bepaal eerst welke gegevens u verwerkt, met welk doel, op basis van welke regel en met welke beveiliging. In dit artikel leest u hoe de belangrijkste kaders zich tot elkaar verhouden en welke aandachtspunten helpen bij zorgvuldig samenwerken.

Wat wordt bedoeld met de privacywet?

Met privacywet wordt meestal de AVG bedoeld, de Algemene verordening gegevensbescherming. Deze Europese verordening geldt sinds 25 mei 2018 en beschermt persoonsgegevens in de Europese Economische Ruimte. Persoonsgegevens zijn gegevens die direct over iemand gaan of waarmee iemand indirect kan worden herleid, bijvoorbeeld door verschillende gegevens met elkaar te combineren.

Verwerken is een breed begrip. Het omvat onder meer verzamelen, vastleggen, raadplegen, delen, bewaren en vernietigen. Daardoor vallen veel dagelijkse handelingen van zorg- en veiligheidsorganisaties onder de privacyregels, ook wanneer gegevensdeling slechts een klein onderdeel van een werkproces is.

De AVG vraagt organisaties onder meer om:

• duidelijk te maken welke persoonsgegevens zij gebruiken en waarom;
• persoonsgegevens niet langer te bewaren dan nodig is voor het doel;
• niet meer gegevens te verzamelen dan noodzakelijk;
• passende technische en organisatorische beveiliging te regelen;
• betrokkenen begrijpelijk te informeren;
• verzoeken van betrokkenen zorgvuldig af te handelen.

De privacyregels zorg en veiligheid vragen daarom om meer dan alleen een controle achteraf. De juridische grondslag, het doel en de inrichting van het proces horen vanaf het begin bij elkaar.

Welke wetten vallen onder privacywetgeving?

De AVG is het algemene Europese kader, maar de privacywetgeving in Nederland bestaat uit meerdere onderdelen. De belangrijkste kaders voor het publieke domein zijn de volgende.

AVG

De AVG bevat algemene regels voor de verwerking van persoonsgegevens. De verordening bepaalt onder meer welke beginselen organisaties moeten volgen, welke rechten betrokkenen hebben en hoe organisaties hun verantwoordelijkheid aantonen.

De AVG geldt voor overheden, zorginstellingen, bedrijven, verenigingen en andere organisaties die persoonsgegevens verwerken. Bij gezondheidsgegevens en andere gevoelige gegevens gelden aanvullende voorwaarden. Een organisatie moet dus niet alleen vaststellen dat gegevens relevant zijn, maar ook nagaan of de verwerking juridisch en praktisch zorgvuldig is ingericht.

UAVG

De Uitvoeringswet Algemene verordening gegevensbescherming vult de AVG in op punten waarop Europese ruimte bestaat voor nationale regels. De UAVG werkt ook bepaalde taken en bevoegdheden van de Autoriteit Persoonsgegevens uit.

De AVG en UAVG moeten in de praktijk samen worden gelezen. Een verwijzing naar alleen de AVG geeft daarom niet altijd het volledige Nederlandse kader weer.

RGR en regels voor rechtshandhaving

De Richtlijn gegevensbescherming bij rechtshandhaving, afgekort RGR, geldt voor bevoegde autoriteiten die persoonsgegevens verwerken om strafbare feiten te voorkomen, te onderzoeken, op te sporen of te vervolgen en om straffen uit te voeren. Deze regels hebben een ander toepassingsgebied dan de AVG.

In Nederland is de RGR onder meer verwerkt in:

• de Wet politiegegevens, de Wpg;
• de Wet justitiële en strafvorderlijke gegevens, de Wjsg;
• het Wetboek van Strafvordering;
• de Politiewet.

Een samenwerkingsverband waarin zorg- en veiligheidsorganisaties betrokken zijn, moet daarom goed onderscheiden welke organisatie welke taak uitvoert. De regels voor politiegegevens of justitiële gegevens zijn niet zonder meer gelijk aan de algemene regels voor zorggegevens.

Wet BRP

De Wet basisregistratie personen regelt het gebruik van gegevens in de BRP. De wet gaat onder meer over het opnemen en wijzigen van persoonsgegevens door gemeenten en over het verstrekken van gegevens uit de registratie.

De AVG bevat aanvullende regels voor situaties die niet volledig in de Wet BRP zijn geregeld. Gemeenten moeten bij gebruik van BRP-gegevens dus beide kaders betrekken.

Wat betekent dit voor gegevensdeling in zorg en veiligheid?

Gegevensdeling kan nodig zijn om passende zorg, bescherming of veiligheid te organiseren. Dat doel maakt een uitwisseling echter niet vanzelf rechtmatig. De betrokken organisaties moeten de verwerking kunnen onderbouwen en de uitwisseling beperken tot wat voor het afgesproken doel noodzakelijk is.

Gebruik bij een casusoverleg bijvoorbeeld deze volgorde:

1. Beschrijf het doel. Leg vast welk probleem de samenwerking moet oplossen en welk resultaat wordt nagestreefd.
2. Bepaal welke gegevens nodig zijn. Kies gegevens die bijdragen aan dat doel. Laat informatie weg die niet nodig is.
3. Breng de rollen in kaart. Noteer welke organisatie verantwoordelijk is voor de verwerking en welke partij eventueel in opdracht verwerkt.
4. Controleer het toepasselijke kader. Ga na of de AVG, UAVG, Wpg, Wjsg, Wet BRP of een andere sectorspecifieke regeling geldt.
5. Leg afspraken vast. Beschrijf wie gegevens mag ontvangen, hoe lang gegevens worden bewaard en hoe inzage en correctie worden afgehandeld.
6. Beveilig de uitwisseling. Stem toegang, verzending, opslag en logging af op de risico's van de gegevens.
7. Evalueer de werkwijze. Controleer regelmatig of de gegevens nog nodig zijn en of de afspraken in de praktijk worden gevolgd.

Bij complexe problematiek zijn duidelijke werkafspraken extra belangrijk. Lees ook hoe u privacy bij complexe casussen kunt verbinden aan verantwoordelijkheden en samenwerking.

Welke rechten hebben betrokkenen?

De AVG geeft mensen meer controle over hun persoonsgegevens. Afhankelijk van de situatie kunnen zij onder meer:

• inzage vragen in de gegevens die een organisatie verwerkt;
• onjuiste gegevens laten corrigeren;
• verzoeken om gegevens te wissen wanneer daar een recht op bestaat;
• gegevens laten overdragen;
• bezwaar maken tegen bepaalde verwerkingen;
• informatie vragen over het gebruik en de reden van de verwerking;
• vragen om de verwerking tijdelijk te beperken.

Een organisatie moet op een verzoek in beginsel binnen één maand reageren. Bij een complex verzoek kan die termijn worden verlengd tot maximaal drie maanden. De organisatie moet dan uitleggen waarom meer tijd nodig is. Een verzoek kan ook worden afgewezen wanneer een wettelijke verplichting of een andere uitzondering daarvoor aanleiding geeft.

Voor zorgorganisaties is het nuttig om verzoeken niet als losse administratieve handelingen te behandelen. Richt een herkenbaar proces in, wijs verantwoordelijkheden toe en controleer of informatie uit verschillende systemen hetzelfde beeld geeft.

Welke rol heeft de Autoriteit Persoonsgegevens?

De Autoriteit Persoonsgegevens, de AP, houdt toezicht op de naleving van de AVG, de UAVG en verschillende andere regels voor persoonsgegevens. De AP houdt ook toezicht op onder meer politiegegevens, justitiële gegevens en de Wet BRP, voor zover de wet dat bepaalt.

De AP kan optreden wanneer organisaties persoonsgegevens niet zorgvuldig verwerken. Mensen die vermoeden dat een organisatie de privacyregels overtreedt, kunnen bij de AP een tip of klacht indienen. Voor organisaties is toezicht een reden om keuzes over gegevensdeling aantoonbaar vast te leggen, niet om pas na een incident naar de regels te kijken.

Praktische controle voor professionals

Een korte controle vooraf helpt om privacy niet los te zien van de inhoudelijke samenwerking. Beantwoord voor iedere nieuwe gegevensverwerking ten minste deze vragen:

• Welk concreet doel heeft de verwerking?
• Welke persoonsgegevens zijn daarvoor echt nodig?
• Welke wettelijke basis past bij de verwerking?
• Welke organisatie neemt het besluit over doel en middelen?
• Wie krijgt toegang en waarom?
• Hoe worden betrokkenen geïnformeerd?
• Hoe lang blijven de gegevens beschikbaar?
• Wat gebeurt er bij een fout, verlies of datalek?
• Is aanvullende beoordeling nodig, bijvoorbeeld vanwege hoge privacyrisico's?

Documenteer de antwoorden in het werkproces. Een privacyverklaring voor betrokkenen is belangrijk, maar vervangt geen interne onderbouwing of goede afspraken tussen ketenpartners.

Veelgestelde vragen over de privacywet

Is de privacywet hetzelfde als de AVG?

In alledaags taalgebruik wordt met privacywet vaak de AVG bedoeld. Juridisch bestaat privacywetgeving uit meer regels dan de AVG alleen, zoals de UAVG, de RGR en Nederlandse sectorale wetten.

Mag een zorgorganisatie gegevens delen met een veiligheidspartner?

Dat kan alleen wanneer de verwerking en uitwisseling passen binnen een toepasselijke wettelijke basis, het doel duidelijk is en niet meer gegevens worden gedeeld dan noodzakelijk. Controleer ook de rollen, informatieplicht, beveiliging en eventuele geheimhoudingsregels.

Geldt de AVG ook voor gemeenten?

Ja. Gemeenten verwerken persoonsgegevens en moeten zich daarom aan de AVG houden. Voor gegevens uit de BRP gelden daarnaast regels uit de Wet BRP. De precieze beoordeling hangt af van het doel en de taak waarvoor de gemeente gegevens gebruikt.

Wat is het verschil tussen de AVG en de RGR?

De AVG bevat algemene regels voor persoonsgegevens. De RGR richt zich op verwerking door bevoegde autoriteiten voor rechtshandhaving. In Nederland is de RGR onder meer uitgewerkt in de Wpg en Wjsg.

Conclusie

De privacywet is een verzamelnaam voor regels die persoonsgegevens beschermen. De AVG vormt de basis, terwijl de UAVG, RGR, Wpg, Wjsg, Wet BRP en andere sectorspecifieke kaders het toepasselijke regime verder bepalen.

Voor zorg- en veiligheidsprofessionals begint zorgvuldige gegevensdeling met een helder doel, een passende wettelijke basis en een beperkte gegevensset. Leg rollen en afspraken vast, informeer betrokkenen en beveilig de uitwisseling. Zo blijft privacy een onderdeel van professioneel samenwerken en niet alleen een juridische controle achteraf.