Privacy in het sociale domein

Wat wij doen

De gemeenten zijn verantwoordelijk voor het uitvoeren van taken op sociaal domein. Dit zijn
Dit zijn taken op het gebied van de Jeugdwet, de Bijstandswet (Wmo), de Participatiewet, de Wet gemeentelijke schuldhulpverlening en de Wet passend onderwijs. De gemeenten verwerken hiervoor veel data. Hieronder vallen ook gevoelige gegevens, zoals medische en strafrechtelijke gegevens. Dit brengt een privacy risico met zich mee.

De gemeenten voeren hun taken op sociaal domein op verschillende manieren uit en werken samen met verschillende organisaties. Deze nieuwe manier van werken creëert nieuwe privacy risico’s.

Het belang van privacy in de sociale sfeer is het waarborgen van vrije toegang tot basisvoorzieningen. De drempel om hulp te vragen mag niet te hoog zijn. Vertrouwen in overheid en hulp behouden is een basisvoorwaarden.

Vragen omtrent privacy? Neem dan contact met ons op!

Privacy in het sociale domein als onderdeel van Sociaal Domein

Deze pagina hoort bij onze bredere expertise Sociaal Domein. Binnen het sociaal domein voeren gemeenten taken uit op grond van de Jeugdwet, de Wet maatschappelijke ondersteuning 2015 (Wmo 2015), de Participatiewet en de Wet gemeentelijke schuldhulpverlening. Bij vrijwel al die taken worden persoonsgegevens verwerkt, vaak van kwetsbare inwoners en vaak van bijzonder gevoelige aard. Privacy is daardoor geen sluitstuk, maar een rode draad door het hele sociaal domein. Onze advocaten en bedrijfsjuristen kijken juist vanuit die invalshoek mee: hoe blijft hulpverlening menselijk en effectief, terwijl de gegevensverwerking aantoonbaar rechtmatig is?

Het wettelijk kader: AVG, UAVG en de sectorwetten

De verwerking van persoonsgegevens in het sociaal domein wordt beheerst door de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG). Daarnaast bevatten de sectorwetten eigen bepalingen over gegevensverwerking: de Jeugdwet (onder meer hoofdstuk 7), de Wmo 2015 (onder meer hoofdstuk 5) en de Participatiewet. Deze sectorwetten vormen vaak de wettelijke grondslag voor verwerkingen die de gemeente niet zonder meer op toestemming kan baseren.

Op grond van artikel 6 AVG heeft elke verwerking een grondslag nodig. In het sociaal domein zijn de meest gebruikte grondslagen het voldoen aan een wettelijke verplichting (artikel 6, eerste lid, onder c, AVG) en de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag (artikel 6, eerste lid, onder e, AVG). Het college van burgemeester en wethouders is in de regel de verwerkingsverantwoordelijke. Of u nu een gemeente, een zorgaanbieder, een welzijnsorganisatie of een ondernemer bent die met de gemeente samenwerkt: het bepalen van de juiste grondslag is de eerste stap die wij met u zetten.

Bijzondere persoonsgegevens: medische en strafrechtelijke gegevens

In het sociaal domein worden regelmatig bijzondere categorieën van persoonsgegevens verwerkt, zoals gezondheidsgegevens, en gegevens van strafrechtelijke aard. Voor bijzondere persoonsgegevens geldt op grond van artikel 9 AVG een verwerkingsverbod, dat alleen doorbroken mag worden als een specifieke uitzondering van toepassing is. Strafrechtelijke gegevens kennen een eigen regime in artikel 10 AVG en de UAVG. Voor jeugdhulp, schuldhulpverlening en Wmo-maatwerkvoorzieningen betekent dit dat de gemeente extra zorgvuldig moet onderbouwen waarom en hoe deze gevoelige gegevens verwerkt worden. Onze juristen toetsen of die uitzonderingsgrond er daadwerkelijk is, want hier gaat het in de praktijk vaak mis. Zie ook onze expertise over AVG in de zorg.

Doelbinding en dataminimalisatie: need to know, geen nice to know

Twee AVG-beginselen botsen in het sociaal domein het hardst met de praktijk van integraal werken: doelbinding en dataminimalisatie (artikel 5 AVG). Doelbinding betekent dat gegevens die voor het ene doel zijn verzameld, niet zomaar voor een ander doel mogen worden gebruikt. Delen tussen domeinen of wijkteams vraagt dus telkens om een hernieuwde toets van grondslag en doel. Dataminimalisatie betekent dat alleen die gegevens worden verwerkt die noodzakelijk zijn: het onderscheid tussen need to know en nice to know. Wij helpen organisaties dit beginsel concreet te maken aan de hand van subsidiariteit (de minst ingrijpende route), proportionaliteit (het middel past bij het doel) en effectiviteit.

Gegevensdeling in wijkteams en samenwerkingsverbanden

Gemeenten werken samen met zorgaanbieders, welzijnsorganisaties, het onderwijs en soms politie en justitie. Juist die samenwerking creëert nieuwe privacyrisico’s. Een veelgehoord misverstand is dat de AVG gegevensdeling verbiedt; de Autoriteit Persoonsgegevens benadrukt echter dat delen onder voorwaarden vaak wél mag, mits de grondslag klopt en het deel-doel concreet is. Belangrijk daarbij: bij intake en doorverwijzing is toestemming meestal géén geldige grondslag, omdat de inwoner zich tegenover de overheid niet vrij voelt om te weigeren. Werken met anonieme casusbesprekingen, een heldere rolverdeling (welke “pet” draagt de professional) en goede afspraken in een convenant of samenwerkingsovereenkomst zijn dan de juiste route. Voor het vastleggen van afspraken met verwerkers stellen wij een sluitende verwerkersovereenkomst op.

DPIA, FG, datalekken en de rechten van inwoners

Verwerkingen in het sociaal domein zijn vaak grootschalig en raken bijzondere persoonsgegevens; daardoor is een gegevensbeschermingseffectbeoordeling (DPIA) op grond van artikel 35 AVG regelmatig verplicht voordat een nieuw systeem of werkproces in gebruik wordt genomen. Gemeenten zijn als overheidsorgaan verplicht een functionaris voor gegevensbescherming (FG) aan te stellen (artikel 37 AVG). Gaat het toch mis, dan gelden de regels rond datalekken: melden bij de Autoriteit Persoonsgegevens binnen 72 uur (artikel 33 AVG) en, bij hoog risico, ook aan de betrokkenen (artikel 34 AVG). Inwoners hebben bovendien rechten zoals inzage, rectificatie en verwijdering (artikelen 15 tot en met 22 AVG), die in het sociaal domein soms botsen met dossierplichten uit de sectorwetten.

Toezicht, handhaving en bezwaar

De Autoriteit Persoonsgegevens houdt toezicht en kan boetes en lasten onder dwangsom opleggen; zij waarschuwde gemeenten eerder dat zij bij de uitvoering van Wmo en Jeugdwet te veel persoonsgegevens verzamelen. Daarnaast loopt veel besluitvorming in het sociaal domein via het bestuursrecht: tegen besluiten over voorzieningen staan bezwaar en beroep open, tot aan de Centrale Raad van Beroep. Privacy en bestuursrecht lopen hier door elkaar heen. Onze advocaten staan zowel gemeenten als inwoners en ondernemers bij in handhavingstrajecten en procedures. Zie ook onze expertise over de Autoriteit Persoonsgegevens en onze brede expertise privacy en gegevensbescherming.

Wat MKB Juristen voor u doet

MKB Juristen werkt met gemengde teams van advocaten én bedrijfsjuristen. Dat betekent dat u op alle niveaus terecht kunt: van strategisch advies en procederen tot het praktisch inrichten van werkprocessen en het opstellen van overeenkomsten. Wij bedienen de hele breedte, van een internationaal concern dat met overheden samenwerkt tot de bakker op de hoek die met een gemeentelijke regeling te maken krijgt. Concreet helpen wij met: het bepalen van de juiste grondslag, het opstellen en beoordelen van DPIA’s, privacyprotocollen, convenanten en verwerkersovereenkomsten, het inrichten van veilige gegevensdeling in wijkteams, het afhandelen van datalekken en inzageverzoeken, en het voeren van procedures bij toezicht of bezwaar.

Veelgestelde vragen over privacy in het sociale domein

Mag een gemeente persoonsgegevens delen tussen wijkteams?
Dat mag, maar niet automatisch. Per keer moet worden getoetst of er een geldige grondslag is en of het delen noodzakelijk is voor een concreet doel. Doelbinding en dataminimalisatie staan voorop.

Is toestemming de juiste grondslag in het sociaal domein?
Meestal niet. Omdat inwoners zich tegenover de overheid niet vrij voelen om te weigeren, is toestemming bij intake en doorverwijzing vaak geen geldige grondslag. Een wettelijke taak of wettelijke verplichting is dan passender.

Wanneer is een DPIA verplicht?
Bij verwerkingen met een hoog privacyrisico, zoals grootschalige verwerking van bijzondere persoonsgegevens. In het sociaal domein is dat vaak het geval, zodat een DPIA op grond van artikel 35 AVG geregeld nodig is.

Wat moet ik doen bij een datalek?
Beoordeel het risico, documenteer het lek en meld het zo nodig binnen 72 uur bij de Autoriteit Persoonsgegevens. Bij hoog risico moeten ook de betrokkenen worden geïnformeerd. Wij begeleiden dit proces.

Neem contact op

Heeft u vragen over privacy in het sociale domein, of wilt u uw gegevensverwerking laten toetsen? Onze advocaten en bedrijfsjuristen denken graag met u mee, vanuit onze expertise Sociaal Domein. Neem gerust contact met ons op voor een eerste, vrijblijvend gesprek.