Mondelinge overdracht van persoonsgegevens kan ook verwerking zijn in de zin van de AVG
Het Europese Hof van Justitie heeft op 7 maart jl. in antwoord op door de Finse rechter gestelde prejudiciële vragen aangegeven dat mondelinge overdracht van persoonsgegevens ook een verwerking kan zijn onder de AVG. Aangezien de algemene gedachte is dat puur mondelinge overdracht van persoonsgegevens geen verwerking van persoonsgegevens is in de zin van de AVG, is het interessant te lezen waarom dat onder omstandigheden anders kan zijn.
Achtergrond
Bij invoering van de AVG heeft de overheid de Handleiding Algemene Verordening Gegevensbescherming gepubliceerd om duiding te geven. In deze handleiding staat over mondelinge overdracht van persoonsgegevens o.a.:
“Puur mondelinge overdracht van gegevens is geen verwerking van persoonsgegevens.”
Het vastleggen van de uitkomsten van een gesprek werd vervolgens wel als een verwerking beschouwd:
“Echter, in de meeste gevallen worden de uitkomsten van dergelijke gesprekken vastgelegd, waardoor er vaak alsnog een verwerking van persoonsgegevens plaatsvindt. Een hulpverlener bijvoorbeeld die met een collega mondeling de situatie van een cliënt bespreekt verwerkt geen persoonsgegevens in de zin van de AVG, maar als de diagnose of het plan van aanpak vervolgens wordt vastgelegd in een cliëntsysteem, dan is er
wel sprake van verwerking van persoonsgegevens.“
Hof van Justitie
Het Hof van Justitie oordeelt evenwel dat het mondeling verstrekken van persoonsgegevens zelf ook een verwerking van persoonsgegevens is in de zin van artikel 4, punt 2, van de AVG, “voor zover deze informatie in een bestand is opgenomen of bestemd is om daarin te worden opgenomen“. Onder een bestand moet worden verstaan “elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid“.
Gevolgen
Dat betekent dat als hulpverleners mondeling gegevens verstrekken uit een medisch dossier (lees: een bestand) of aantekening van een gesprek maken in het medisch dossier bij de mondelinge verstrekking tijdens het gesprek reeds persoonsgegevens verwerken in de zin van de AVG. Dat betekent dat ten aanzien van deze mondelinge communicatie niet alleen getoetst moet worden of deze verenigbaar is met het medisch beroepsgeheim (in de zin van de WGBO en de wet BIG), maar ook of deze mondelinge communicatie voldoet aan de voorwaarden van de AVG. Voor collegiale intervisie, als bedoeld in het voorbeeld in de Handleiding Algemene Verordening Gegevensbescherming, is dat geen probleem. Hiervoor kan de grondslag worden gevonden in artikel 6 lid 1 sub b AVG jo artikel 9 lid 2 sub h en lid 3 AVG jo artikel 30 lid 3 sub a UAVG. Voor andere situaties kan dan echter anders liggen. Het is derhalve zaak om bij mondelinge verstrekking van persoonsgegevens zorgvuldig te beschouwen of de AVG van toepassing en zo ja, of aan de voorwaarden van de AVG is voldaan.
