CBP: nog steeds zorgen over privacy bij decentralisaties

(tekst: persbericht van College bescherming persoonsgegevens (CBP)
Het College bescherming persoonsgegevens (CBP) constateert dat het in de praktijk lastig blijkt om een vereiste grondslag te vinden voor iedere verwerking van persoonsgegevens in het sociaal domein. Vanaf 1 januari 2015 gaan gemeenten belangrijke taken uitvoeren op het gebied van jeugdzorg, werk en inkomen en de zorg aan langdurig zieken en ouderen. In het sociaal domein worden veel taken op verschillende manieren door verschillende partijen uitgevoerd. Gemeenten moeten steeds vaststellen op welke grondslag uit de Wet bescherming persoonsgegevens de gegevensverwerking kan worden gebaseerd. Dat is tijdrovend, ingewikkeld en soms zelfs onmogelijk. Zo ontbreekt een wettelijke basis als gemeenten – zoals nu blijkt uit de praktijk – persoonsgegevens willen uitwisselen voor taken die niet concreet terug te vinden zijn in de wetten over jeugdzorg, werk en inkomen en zorg voor langdurig zieken en ouderen. Het CBP adviseert daarom een deugdelijke wettelijke basis te creëren voor het werken met gegevens van burgers in het sociaal domein. Hiermee worden de rechtszekerheid en transparantie voor gemeenten en burgers over het doel, de noodzaak en de rechtmatigheid van de verwerking van persoonsgegevens bevorderd.

Privacytoets jeugddomein
Het CBP is door de staatssecretarissen van Volksgezondheid, Welzijn en Sport en Veiligheid en Justitie gevraagd om een privacy impact assessment (PIA) voor het jeugddomein te beoordelen. Het CBP constateert dat de getoetste modellen en de PIA kunnen helpen bij het opbouwen van een beeld van de privacyrisico’s bij de uitvoering van de Jeugdwet. Maar tegelijkertijd signaleert het CBP dat een belangrijk aspect onderbelicht blijft, te weten het ontbreken van een deugdelijke wettelijke basis voor de verwerking van persoonsgegevens bij de nieuwe werkwijzen in het sociaal domein. Zonder wettelijke grondslag is de verwerking van persoonsgegevens niet toegestaan. Als de wettelijke grondslag niet duidelijk is kan onvoldoende worden bepaald welke risico’s verwerking van persoonsgegevens met zich meebrengt en wat wel en niet mag.

Privacy in sociaal domein
Onduidelijkheid over de wettelijke basis heeft niet alleen invloed op de uitvoering van taken uit de Jeugdwet, maar ook op de andere sectoren van het gedecentraliseerde sociale domein. Het CBP constateert dat in de ‘lerende praktijk’ van gemeenten veel onduidelijkheid en problemen kunnen ontstaan. Handreikingen voor gemeenten om juridisch sluitende oplossingen voor het ontbreken van een deugdelijke wettelijke basis, ontbreken. Gezien de complexiteit van het probleem en de nog weinig uitgekristalliseerde werkwijzen van gemeenten, zijn dergelijke handreikingen ook niet goed te geven.

Eerdere adviezen CBP
Het CBP heeft eerder verschillende malen geadviseerd over de verwerking van persoonsgegevens bij de decentralisatie van taken in het sociaal domein naar gemeenten. Daarbij heeft het CBP het belang van naleving van de Wet bescherming persoonsgegevens en de onderliggende principes en waarborgen benadrukt.