Gemeenten schenden privacy sociaal domein
Nederlandse gemeenten weten onvoldoende welke persoonsgegevens van hun burgers zij in het sociaal domein mogen verwerken en welke regels daarvoor gelden. Bovendien informeren gemeenten hun burgers niet goed over het gebruik van hun persoonsgegevens. Dat constateert de Autoriteit Persoonsgegevens na onderzoek bij 41 gemeenten.
Gemeenten hebben sinds 1 januari 2015 nieuwe taken op het gebied van jeugdzorg, maatschappelijke ondersteuning, arbeidsparticipatie. Hierdoor zijn gemeenten meer persoonsgegevens van meer mensen gaan verwerken.
De Autoriteit Persoonsgegevens constateert dat veel gemeenten geen goed overzicht hebben van de voorwaarden waaronder verwerking van persoonsgegevens wel en niet mag. Nu vragen ze veelal toestemming aan burgers voor de verwerking van hun gegevens. Dat met toestemming gegevens altijd mogen worden verwerkt, is echter een misvatting.
Wettelijke grondslagen
Persoonsgegevens mogen op grond van de Wet bescherming persoonsgegevens slechts worden verwerkt indien:
a. de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend;
b. de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is,
of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst;
c. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de
verantwoordelijke onderworpen is;
d. de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene;
e. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, of
f. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de
verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.
Toestemming niet altijd vereist
Door toestemming te vragen wordt, zo geeft de Autoriteit persoonsgegevens aan, de suggestie gewekt dat de gegevens alleen mogen worden verwerkt als daarvoor toestemming is gegeven. Een gemeente mag echter als sprake is van een van de onder b t/m f genoemde gronden ook zónder toestemming van de burger zijn gegevens verwerken. Als gemeenten dan toch om toestemming van de burger vragen, moeten zij goed toelichten of zij de gegevens ook verwerken als daarvoor geen toestemming wordt verkregen, of dat ze daarvan afzien en wat dat voor de burger betekent.
Ondubbelzinnig
In situaties waarin er géén andere wettelijke grond is op basis waarvan de gegevens mogen worden gebruikt, is het vragen van toestemming ook geen zekere oplossing. Ondubbelzinnige toestemming
betekent dat elke twijfel is uitgesloten over de vraag of betrokkene zijn toestemming heeft gegeven en voor welke specifieke verwerkingen deze toestemming geldt. Uit het gedrag van de betrokkene
moet ondubbelzinnig blijken dat hij instemt met de desbetreffende gegevensverwerking.
Noodzakelijk
Daarnaast is ondermeer van belang dat óók met toestemming van betrokkene alleen noodzakelijke gegevens mogen worden verwerkt. De gemeente en/of de hulpverlener moet daarom afwegen of de inbreuk op de belangen van betrokkene niet onevenredig is in verhouding tot het met de verwerking te dienen doel (proportionaliteit) en of het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene minder nadelige wijze kunnen worden verwerkelijkt (subsidiariteit).
De juridische uitgangspunten bij het verwerken van persoonsgegeven in het sociaal domein zijn door de Autoriteit Persoonsgegeven opgenomen in een bijlage bij haar rapport. Voor de bijlage klik hier.
Verder onderzoek
De Autoriteit Persoonsgegevens is ook bezig met onderzoek naar de werkwijze van sociale wijkteams bij de integrale intake en naar de beveiliging van persoonsgegevens bij gemeenten.