Dat vanaf 25 mei 2018 de Algemene Verordening Gegevensbescherming (AVG) geldt, is inmiddels alom bekend. Enige paniek over het al dan niet voldoen aan de AVG is ook voelbaar. Hoewel de AVG een aantal - soms ingrijpende - veranderingen met zich meebrengt, blijft veel ook hetzelfde. Verschillende AVG-regels zijn namelijk op een vergelijkbare manier opgenomen in de huidige Wet bescherming persoonsgegevens (Wbp). Een voorbeeld daarvan is de informatieplicht. Toch geeft de AVG concreter aan hoe deze plicht ingevuld moet worden.
De informatieplicht geldt voor de verantwoordelijke van de gegevensverwerking. In de uitvoering binnen het sociaal domein is dat het college van B&W (hierna: gemeente). De gemeente moet cliënten in het sociaal domein dus informeren over verwerking van hun persoonsgegevens. Deze informatieplicht volgt uit de Wbp. Maar de Wbp geeft niet aan wélke informatie aan cliënten gegeven moet worden. Dat doet de AVG wel.
Waarover informeren?
De AVG geeft puntsgewijs aan welke informatie cliënten moeten krijgen:
- contactgegevens gemeente of vertegenwoordiger gemeente
- contactgegevens functionaris gegevensbescherming (FG)
- doel waarvoor gegevens verwerkt worden
- grondslag voor de gegevensverwerking
- ontvangers van de persoonsgegevens
- bewaartermijn
- rechten van de betrokkene
- mogelijkheid om verleende toestemming op elk moment weer in te trekken
- recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP)
- of verstrekking van gegevens verplicht is, en wat de gevolgen zijn als cliënt dat niet doet
Bovengenoemde punten gelden als de informatie direct van de cliënt afkomstig is. Als de gemeente gegevens krijgt van anderen, dan moet de cliënt ook de volgende informatie krijgen:
- categorieën van verkregen persoonsgegevens (zoals soort bijzondere persoonsgegevens)
- bron waar de persoonsgegevens vandaan komen
Verder moet de gemeente cliënten informeren als persoonsgegevens verwerkt gaan worden voor een andere doel dan waarvoor ze verzameld zijn. Overigens zal binnen het sociaal domein daarvoor vaak toestemming nodig zijn.
Wanneer niet informeren?
In bepaalde situaties hoeft de cliënt niet geïnformeerd te worden. Dat is in ieder geval zo als de cliënt de informatie al gekregen heeft. En bij persoonsgegevens die van anderen verkregen zijn, is informeren ook niet altijd nodig. Zoals persoonsgegevens die verkregen zijn vanwege een wettelijke plicht of als een beroepsgeheim verlangt dat de gegevens vertrouwelijk blijven.
Hoe informeren?
Volgens de AVG moet informatie die bedoeld is voor cliënten ‘transparant’ zijn. Dit betekent dat de verstrekte informatie beknopt, begrijpelijk en gemakkelijk toegankelijk moet zijn. Ook moet dit in duidelijke en eenvoudige taal. Bij uitvoering van de Jeugdwet (en soms Wmo) is dit extra van belang, omdat ook een kind de informatie makkelijk moet kunnen begrijpen.
Een goede manier om cliënten te informeren over het gebruik van hun persoonsgegevens is via een privacyverklaring. Daarin kunnen alle punten per gebied in het sociaal domein benoemd worden. Dus afzonderlijk voor de Participatiewet, de Wet maatschappelijke ondersteuning (Wmo 2015), de Jeugdwet en de Wet gemeentelijke schuldhulpverlening.
De informatieplicht geldt op het moment dat de gemeente de gegevens van de cliënt krijgt.
Privacyverklaring
Voldoen aan de informatieplicht kan op allerlei manieren. Maar vaak zal dit in de vorm van een privacyverklaring gebeuren. Het is mogelijk een privacyverklaring te maken voor het sociaal domein als geheel. Maar het is natuurlijk ook mogelijk privacyverklaringen op te stellen per afzonderlijk gebied binnen het sociaal domein. Gemeenten kunnen hierin zelf een keuze maken. Wel moeten in beide gevallen de punten uit de AVG per gebied duidelijk zijn. Het is aan te raden de verklaring aan cliënten mee te geven bij de intake. De informatieplicht geldt namelijk op het moment dat de gemeente de gegevens van de cliënt krijgt. Door de privacyverklaring bij de intake te verstrekken, voldoen gemeenten aan hun informatieplicht volgens de AVG.