Gemeenten verzamelen te veel persoonsgegevens bij uitvoering Wmo en Jeugdwet (Incl. Rapport AP)

Posted op februari 16, 2018 door doofpotwmoleudal in Indicatie, Landelijk Ongehoord Nieuws, Naslagwerk, Privacy, Rechten

Bron: AP | 15 februari 2017

Bij de uitvoering van de Wet maatschappelijke ondersteuning (Wmo) en de Jeugdwet verzamelen gemeenten meer persoonsgegevens van mensen dan noodzakelijk voor hun zorgvraag. Dit is in strijd met de privacywetgeving. De Autoriteit Persoonsgegevens (AP) onderzocht de manier waarop twee gemeenten persoonsgegevens verwerken in een zelfredzaamheidsmatrix (ZRM). Voorzitter Aleid Wolfsen: “Het gaat hier om persoonsgegevens van kwetsbare mensen. Het is belangrijk dat gemeenten hier zorgvuldig mee omgaan. Goede zorg en een zorgvuldige omgang met persoonsgegevens zijn onlosmakelijk met elkaar verbonden. Alle gemeenten die een ZRM gebruiken, moeten hun werkwijze hierop aanpassen.”

De ZRM is een instrument waarmee wordt gemeten hoe zelfredzaam mensen zijn. De matrix wordt in veel gemeenten als leidraad gebruikt bij contacten met burgers, zoals tijdens de zogeheten keukentafelgesprekken. Met een ZRM worden persoonsgegevens verzameld op een groot aantal domeinen, zoals lichamelijke en psychische gezondheid, financiën en justitie.

Gebruik zelfredzaamheidsmatrix

In de Wet bescherming persoonsgegevens is vastgelegd dat er niet meer persoonsgegevens mogen worden verzameld dan noodzakelijk voor het doel. Uit het onderzoek van de AP blijkt dat met een ZRM ook persoonsgegevens worden verzameld die niet relevant zijn voor de hulpvraag. Daarmee handelen gemeenten in strijd met de wet.

Zorgplicht gemeenten

De AP constateert dat instructies van de gemeenten op dit punt onvoldoende concreet en specifiek zijn. Daarmee voldoen de gemeenten niet aan hun zorgplicht. Gemeenten hebben een zorgplicht om te waarborgen dat professionals voldoende in staat zijn om te kunnen beoordelen welke persoonsgegevens noodzakelijk zijn voor de toeleiding naar zorg. Dat betekent dat zij daarvoor waarborgen moeten treffen, bijvoorbeeld door het organiseren van opleidingen en het opstellen van adequate handreikingen voor professionals.

Eerder onderzoek AP naar sociaal domein

In april 2016 heeft de AP op basis van onderzoek bij de 41 grootste gemeenten in Nederland geconcludeerd dat gemeenten géén duidelijk overzicht hebben voor welke doelen en op basis van welke grondslagen, welke persoonsgegevens in het sociaal domein mogen worden verwerkt.

De AP heeft naar aanleiding daarvan een overkoepelend rapport gepubliceerd waarin het juridisch kader voor de verwerking van persoonsgegevens in het sociaal domein is uitgewerkt. Het nieuwe onderzoek naar de twee gemeenten is een een vervolg op het onderzoek uit 2016.

Gerelateerd: (Inclusief Rapport & Bijlagen)

AP: Gemeenten onzorgvuldig bij uitwerking privacyregels sociaal domein

Nederlandse gemeenten weten onvoldoende welke persoonsgegevens van hun burgers zij in het sociaal domein mogen verwerken en welke regels daarvoor gelden. Bovendien informeren gemeenten hun burgers niet goed over het gebruik van hun persoonsgegevens. Dat constateert de Autoriteit Persoonsgegevens na onderzoek bij 41 gemeenten.

“Gemeenten werken vaak met heel gevoelige gegevens van hun burgers. Van kwetsbare mensen die op gebieden als jeugdzorg, maatschappelijke ondersteuning en chronische ziekten afhankelijk zijn van hun gemeente. Om het vertrouwen van die mensen te behouden moeten gemeenten een volstrekt helder beeld hebben van het doel waarvoor persoonsgegevens worden verzameld en gebruikt”, zegt Wilbert Tomesen, vicevoorzitter van de Autoriteit Persoonsgegevens. “Nu loop je het risico dat gegevens worden verwerkt terwijl dat niet mag.”

Gemeenten hebben sinds 1 januari 2015 nieuwe taken op het gebied van jeugdzorg, maatschappelijke ondersteuning, arbeidsparticipatie. Hierdoor zijn gemeenten meer persoonsgegevens van meer mensen gaan verwerken.

Toestemmming

De Autoriteit Persoonsgegevens constateert dat veel gemeenten geen goed overzicht hebben van de voorwaarden waaronder verwerking van persoonsgegevens wel en niet mag. Nu vragen ze toestemming aan burgers voor de verwerking van hun gegevens. Dat met toestemming gegevens altijd mogen worden verwerkt, is een misvatting en kan problemen opleveren.

Verkeerde suggestie

Door toestemming te vragen wordt de suggestie gewekt dat de gegevens alleen mogen worden verwerkt als daarvoor toestemming is gegeven. Een gemeente mag ook zónder toestemming van de burger zijn gegevens verwerken, bijvoorbeeld omdat dit nodig is om een publiekrechtelijke taak uit te voeren. Als gemeenten dan toch om toestemming van de burger vragen, moeten zij goed toelichten of zij de gegevens ook verwerken als daarvoor geen toestemming wordt verkregen, of dat ze daarvan afzien en wat dat voor de burger betekent.

Onrechtmatige verwerking

In situaties waarin er géén andere wettelijke grond is op basis waarvan de gegevens mogen worden gebruikt, is het vragen van toestemming geen oplossing. De Wet bescherming persoonsgegevens (Wbp) bepaalt namelijk dat mensen zich vrij moeten voelen om toestemming te geven. In het sociaal domein zal van vrije toestemming over het algemeen geen sprake kunnen zijn, omdat burgers afhankelijk zijn van de gemeente voor hulp of ondersteuning. Als gemeenten in die gevallen tóch toestemming vragen en persoonsgegevens verwerken, is dat onrechtmatig. De Autoriteit Persoonsgegevens heeft al eerder op dit probleem gewezen.

Informeren

De AP constateert ook dat gemeenten hun inwoners niet goed informeren over het gebruik van hun gegevens, met name in situaties waarin die gegevens zonder hun toestemming worden verwerkt. Mensen kunnen hierdoor hun rechten niet goed uitoefenen, zoals inzage in hun gegevens. Bovendien kan het vertrouwen van mensen in hun gemeente worden geschaad door dit gebrek aan informatie en transparantie.

Aanbevelingen

De Autoriteit Persoonsgegevens doet gemeenten een aantal aanbevelingen. Zo raadt de toezichthouder aan om te specificeren welke gegevens voor welke specifieke doelen en op basis van welke grondslag noodzakelijk zijn voor de taken in het sociaal domein. Ook adviseert de AP om dit te vertalen in instructies voor de professionals op de werkvloer, zodat zij weten wat zij met welke gegevens mogen doen. Daarnaast wordt aangeraden burgers zorgvuldig te informeren over de gegevens die over hen worden verwerkt en wanneer en waarom toestemming wordt gevraagd.

Vervolg

De Autoriteit Persoonsgegevens gaat ervan uit dat gemeenten deze aanbevelingen gebruiken om snel te zorgen voor meer duidelijkheid over de persoonsgegevens die zij in het sociaal domein verwerken. De toezichthouder verwacht dat gemeenten op basis daarvan hun medewerkers beter ondersteunen en hun inwoners informeren. De Autoriteit Persoonsgegevens zal onderzoeken of gemeenten deze verbeteringen hebben doorgevoerd.

De AP is inmiddels ook bezig met onderzoek naar de werkwijze van sociale wijkteams bij de integrale intake en naar de beveiliging van persoonsgegevens bij gemeenten.