Besluit van het college van burgemeester en wethouders van de gemeente Oegstgeest houdende regels voor privacy jeugdhulp Privacy protocol jeugdhulp Oegstgeest 2015

Ondertekening

Toelichting Protocol informatie beheer jeugdhulp

1. Inleiding

Het Privacy protocol maakt de gegevensverwerking in het kader van de Jeugdwet inzichtelijk voor de gehele keten van betrokkenen bij de jeugdhulp. Met name gaat het om medewerkers van de gemeente, vakinhoudelijk medewerkers van het Jeugd- en gezinsteam, en jeugdhulp aanbieders werkzaam bij gecontracteerde instellingen of vrij gevestigde specialisten.

In het kader van de uitvoering van Jeugdwet verwerken de gemeente en de zorgaanbieders persoonsgegevens. Voor de gemeente en de zorgaanbieders geldt dat zij daarbij de wettelijk gestelde de privacy regels in acht moet nemen.

In het Protocol worden eerst de algemene uitgangspunten voor de verwerking van persoonsgegevens aangegeven. Vervolgens komen taken van de gemeente en van alle andere betrokkenen ( jeugdhulp- en zorgaanbieders ) voor zover deze van belang zijn voor gegevensverwerking aan de orde.

De gemeentelijke taken en de mogelijke verwerkingen van persoonsgegevens van natuurlijke personen in samenwerking met de betrokkenen zijn in de Tabel verwerking persoonsgegevens weergegeven. ( art. 6 Protocol )

2. Algemene uitgangspunten gegevensbescherming

De algemene waarborgen ten aanzien van gegevensverwerking vloeien voort uit de Jeugdwet en de Wet bescherming persoonsgegevens (Wbp). Samengevat komen deze waarborgen op het volgende neer:

1. Informatieplicht

De gemeente heeft op grond van artikel 33 en artikel 34 Wbp een informatieplicht. Zij moet op eigen initiatief de betrokkenen in ieder geval op de hoogte stellen van het bestaan en het doel van de gegevensverwerking door middel van brochures en folders. In het Protocol is daartoe art. 3, lid 3 opgenomen: de betrokkene wordt via een brochure op de hoogte gesteld van het bestaan en het doel van de gegevensverwerking.

2. Rechtvaardigingsgronden: noodzaak, proportionaliteit, subsidiariteit

Persoonsgegevens mogen slechts worden verwerkt indien er een rechtvaardigingsgrond aanwezig is (artikel 8 Wbp). In het geval dat de gemeente persoonsgegevens verwerkt ter uitvoering van de Jeugdwet moet de verwerking noodzakelijk zijn voor de goede vervulling van de publiekrechtelijke taak die gemeenten op grond van de Jeugdwet hebben (artikel 8, onderdeel e, Wbp). In het kader van dit protocol vormen de taken die de gemeente heeft op basis van de Jeugdwet 2015 en de Verordening jeugdhulp Oegstgeest 2015 de basis voor de gemeente om persoonsgegevens over jeugdigen en hun ouders te mogen verwerken. Noodzaak van de gegevensverwerking vertaalt zich ook in het uitgangspunt dat er zoveel informatie moet worden verwerkt als nodig is en zo weinig als mogelijk. Naast noodzaak is ook proportionaliteit van de gegevensverwerking van belang: hoe verhouden het doel (in het bijzonder de hulpvraag) en de daarvoor noodzakelijke gegevensverwerking zich tot de inbreuk op de persoonlijke levenssfeer van de betrokkene? De gegevensverwerking moet ook voldoen aan de eis van subsidiariteit: is het doel ook te bereiken met een minder ingrijpende werkwijze?

3. Toestemming

Aan betrokkene moet toestemming worden gevraagd voor het verwerken van persoonsgegevens. ( art. 8, aanhef en onder a Wbp )

De Wbp onderscheidt ondubbelzinnige en uitdrukkelijke toestemming

Met “ondubbelzinnig” wordt bedoeld dat bij de verantwoordelijke elke twijfel uitgesloten moet zijn over de vraag of de betrokkene toestemming heeft gegeven en voor welke specifieke verwerkingen.Uitdrukkelijke toestemming betekent dat de betrokkene expliciet zijn wil moet

hebben geuit. Een stilzwijgende of impliciete toestemming is onvoldoende: de betrokkene dient in woord, schrift of gedrag uitdrukking te hebben gegeven aan zijn wil toestemming te verlenen aan de hem betreffende gegevensverwerking. Dat is dus (nog) sterker dan de ondubbelzinnige toestemming als omschreven in art. 8, aanhef en onder a Wbp.

In het geval van de Jeugdwet mag het college of een door het college daartoe gemandateerde persoon persoonsgegevens verwerken omdat dit noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak (artikel 8, onderdeel e, van de Wbp). De publiekrechtelijke taak is gelegen in de Jeugdwet 2015 en Verordening jeugdhulp Oegstgeest 2015, op basis waarvan het college moet beoordelen of een jeugdige jeugdhulp nodig heeft en vervolgens de noodzakelijke voorziening moet treffen. Deze beoordeling kan leiden tot persoonsgegevensverwerking.

Toestemming is één van de wettelijke rechtvaardigingsgronden voor de verwerking van persoonsgegevens. Privacy toezichthouders stellen dat toestemming op dusdanige wijze moet worden verkregen dat er geen twijfel mogelijk is dat degene wiens gegevens worden verwerkt hier daadwerkelijk mee instemt. Alleen toestemming die expliciet is gegeven of die door een actieve handeling is aangegeven, is geldig. Stilte of passiviteit kan nooit leiden tot geldige toestemming.

Toestemming moet worden gegeven voordat de verwerking van persoonsgegevens start of vóór elk nieuw gebruik van gegevens. Privacy toezichthouders benadrukken ook dat het recht om de toestemming in te trekken gegarandeerd moet zijn. Daarnaast is het nodig om mensen goed te informeren over de verwerking van hun persoonsgegevens, zodat zij een bewuste keuze kunnen maken. Dit is vooral belangrijk voor mensen die niet (volledig) handelingsbekwaam zijn, zoals minderjarigen.

4. Verwerking verenigbaar met doeleinden

Voor de informatie-uitwisseling, afstemming en samenwerking tussen personen die vanuit hun beroepsmatige achtergrond hulp aan jeugdigen verlenen bieden in algemene zin de artikelen 8, 9 en 21 van de Wbp de basis en rechtvaardiging voor de verwerking van (bijzondere) persoonsgegevens. Het is niet toegestaan gegevens te verzamelen zonder dat het doel waarvoor dat gebeurt, duidelijk is bepaald. In het Protocol is dat in artikel 6 uitgewerkt.

De gemeente mag persoonsgegevens verwerken in het kader van haar publiekrechtelijke taak (artikel 8, onderdeel e, Wbp). De gegevens mogen uitsluitend worden verwerkt voor het doel waarvoor ze zijn verzameld of een daarmee verenigbaar doel (artikel 9, Wbp). Gezien de verschillende taken, moet ervoor worden gezorgd dat gegevens die in het kader van een bepaalde taak worden verzameld niet zonder meer worden gebruikt voor de uitoefening van een andere taak («doelbinding»). Daarbij is immers een ander doel in het geding. De gemeente mag persoonsgegevens dus niet verder verwerken op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen (artikel 9 Wbp).

Artikel 21 Wbp bevat de uitzondering op het verbod in artikel 16 Wbp om persoonsgegevens in verband met de gezondheid te verwerken. Het verbod is onder meer niet van toepassing voor de verwerking van gegevens door hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, voor zover dat met het oog op een goede behandeling of verzorging van de betrokkene, dan wel het beheer van de betreffende instelling of beroepspraktijk noodzakelijk is. Het verbod ex artikel 16 geldt onder andere ook niet indien de verwerking van persoonsgegevens geschiedt met uitdrukkelijke toestemming van de betrokkene of indien de gegevens door de betrokkene duidelijk openbaar zijn gemaakt.

5. Geheimhoudingsplicht

De Wbp (artikel 9, vierde lid) bepaalt dat de verwerking van persoonsgegevens achterwege blijft voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift dit voorschrijft.

Voor de medewerkers van de gemeente geldt een ambtelijke geheimhoudingsplicht op basis van artikel 2.5 Algemene wet bestuursrecht (Awb). De deskundige van de gemeentelijk georganiseerde toegang ( Centrum voor Jeugd en Gezin of het Jeugd- en gezinsteam ) kan wel gegevens verstrekken als dat noodzakelijk is voor de uitvoering van zijn publiekrechtelijke taak.

Voor artsen betrokken bij de jeugdhulpverlening geldt de geheimhoudingsplicht uit artikel 7:457 BW. Verder geldt voor BIG-geregistreerde professionals artikel 88 van de Wet BIG. Op grond van dit artikel is eenieder die zorg verleent op het gebied van de individuele gezondheidszorg verplicht tot geheimhouding van datgene wat hem in de uitvoering van het beroep is toevertrouwd.

Artikel 7.3.11, tweede lid, Jeugdwet bevat een uitzondering op deze geheimhoudingsplicht: de hulpverlener heeft geen toestemming nodig van de betrokkene als hij inlichtingen verstrekt aan personen die rechtstreeks betrokken zijn bij de verlening van de jeugdhulp en degene die optreedt als vervanger van de hulpverlener, voor zover de verstrekking noodzakelijk is voor de door hen in dat kader te verrichten werkzaamheden. Voor wat de specifieke geheimhoudingsverplichting betreft kan de gemeente niet aangemerkt worden als rechtstreeks betrokken bij de hulpverlening tenzij het college zelf de jeugdhulp verstrekt. De Jeugdwet geeft ook in die zin geen verruiming van de mogelijkheden voor inzage in het dossier of het delen van persoonsgegevens.

6. Bewaartermijnen

De persoonsgegevens mogen niet langer bewaard worden dan noodzakelijk is (artikel 10 Wbp). Deze algemene norm is voor wat betreft de jeugdhulpverlener ingevuld in artikel 7.3.8, derde lid, van de Jeugdwet. Dit artikel bepaalt dat zij het dossier gedurende vijftien jaar bewaren of zoveel langer als redelijkerwijs uit de zorg van een goed jeugdhulpverlener voortvloeit. Indien de gemeente geheel of gedeeltelijk zelf de jeugdhulp verleent en dus als jeugdhulpaanbieder optreedt, heeft de gemeente eveneens de plicht een bewaartermijn van 15 jaar aan te houden

7. Rechten van de betrokkene

• a.

  inzagerecht/afschrift

  Het recht op inzage vloeit voort uit de Wbp (art. 35). De betrokkene heeft het recht zich tot het college te wenden met het verzoek hem mede te delen of persoonsgegevens over hem worden verwerkt. Het college moet de betrokkene vervolgens schriftelijk binnen vier weken mededelen of dit zo is. Als gegevens inderdaad worden verwerkt, bevat die mededeling ook een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens. Voordat die mededeling gedaan wordt, checkt het college nog of een derde daartegen bezwaar zou kunnen hebben en stelt het college die derde in de gelegenheid zijn zienswijze naar voren te brengen indien de mededeling gegevens bevat die hem betreffen, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost. Indien betrokkene daarom verzoekt geeft het college ook informatie over de logica die ten grondslag ligt aan de geautomatiseerde verwerking van de gegevens over hem. De Jeugdwet bevat een zelfde soort bepaling (artikel 7.3.10) op basis waarvan op verzoek ook (deels) kopie van het dossier moet worden verstrekt. Voor het doen van een mededeling of het maken van een kopie kan overigens wel een vergoeding worden gevraagd.

• b.

  herziening/vernietigen

  Degenen over wie persoonsgegevens zijn verwerkt, kan verzoeken om herziening (verbeteren, aanvullen, verwijderen) van de persoonsgegevens (artikel 36, eerste lid, Wbp). Het college zal op zo’n verzoek moeten reageren. Op basis van de Jeugdwet kan betrokkene een verzoek doen om, indien de gemeente als jeugdhulpaanbieder optreedt, het dossier (deels) te vernietigen (artikel 7.3.9). De verplichting tot vernietiging geldt niet indien de bewaring van belang is voor een ander dan betrokkene of indien de wet zich tegen vernietiging verzet.

8. Dataminimalisatie

Artikel 11 Wbp regelt dat persoonsgegevens slechts worden verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verwerkt toereikend zijn, niet bovenmatig en ter zake dienend. De gemeente en de betrokkenen moeten dus alleen die persoonsgegevens verwerken die noodzakelijk zijn voor het te bereiken doel.

3. Taken gemeenten

In de Jeugdwet zijn voor de gemeenten de volgende taken opgenomen die kunnen leiden tot het verwerken van persoonsgegevens:

• 1.

  de toeleidingstaak (artikel 2.3, eerste lid);

• 2.

  de jeugdhulpplicht (artikel 2.3, eerste lid);

• 3.

  het doen van een verzoek tot onderzoek aan de raad voor de kinderbescherming (artikel 2.4, eerste lid, en artikel 3.1);

• 4.

  de verantwoordelijkheid voor het uitvoeren van de kinderbeschermingsmaatregelen en de jeugdreclassering (artikel 2.4, tweede lid);

• 5.

  de financiering van de jeugdhulp, kinderbeschermingsmaatregelen en de jeugdreclassering (artikel 2.3 en artikel 2.4).

Ad. 1. De toegangstaak

De toeleiding naar jeugdhulp kan op verschillende manieren plaatsvinden. In het vrijwillige kader kunnen de jeugdige of diens ouders bij de door de gemeente georganiseerde toegang (bijvoorbeeld een CJG, Jeugd- en gezinsteam, een sociaal wijkteam, of een KCC/ gemeenteloket) aankloppen en via die weg terechtkomen bij de jeugdhulpaanbieder.

Er zal door de deskundige bij de gemeentelijk georganiseerde toegang een “bestand” worden aangelegd. De deskundige van de gemeente heeft de bevoegdheid om voor de toeleiding gegevens te verwerken op basis van artikel 7.4.1, tweede lid, Jeugdwet. Op deze persoon rust de geheimhoudingsplicht ingevolge artikel 2:5, Awb, artikel 12, tweede lid, en artikel 21, tweede lid, van de Wbp. Er mogen geen gegevens uit het door hem aangelegde “bestand” verstrekt worden aan anderen. Wel kan de deskundige gegevens verstrekken uit het “bestand” als dat nodig is voor de uitvoering van zijn publiekrechtelijke taak op basis van artikel 8e Wbp. Hierbij kan gedacht worden aan een consultatie van een deskundige, bijvoorbeeld een psychiater of een deskundige op het gebied van taalproblemen. De gegevens uit dit dossier mogen door de gemeente ook gebruikt worden voor de uitvoering van haar jeugdhulpplicht. Medewerkers van de gemeente die zich bezighouden met taken die zien op andere doelen (bijv. de inkoop van jeugdhulp of de betaling van facturen) hebben geen toegang tot dit “bestand”.

Ad.2 Individuele beslissing

De gemeente is (ingevolge artikel 2.3, eerste lid, Jeugdwet) de aangewezen partij om de voorziening op het gebied van jeugdhulp te treffen indien de jeugdige of zijn ouders dit nodig hebben in verband met opgroei- en opvoedingsproblemen, psychische problemen en stoornissen. Artikel 7.4.1, tweede lid, van de Jeugdwet biedt de grondslag voor de gemeente om die gegevens te verwerken, die hiervoor noodzakelijk zijn. Op grond van artikel 2.11, eerste lid, Jeugdwet mag het college de uitvoering van deze wet, behoudens de vaststelling van de rechten en plichten van de jeugdige of zijn ouders, niet door derden laten verrichten. In de Verordening jeugdhulp Oegstgeest 2015 is de college bevoegdheid uitgewerkt.

Ad. 3. De jeugdhulpplicht – het feitelijk verlenen van jeugdhulp

Bij de uitvoering van de jeugdhulp zijn de instellingen die de jeugdhulp leveren gebonden aan de regels van het desbetreffende werkveld (jeugdhulp, waaronder geneeskundige behandeling). Als de deskundige van de gemeente ( vakinhoudelijk medewerker JGT ) bij de toeleiding of de arts een jeugdige en diens ouders hebben verwezen naar de jeugdhulpaanbieder, dan is in het gezinsplan, als bijlage bij de beschikking individuele jeugdhulpvoorziening aangegeven welke jeugdhulp, hoeveel (omvang) en voor hoelang (duur) nodig is. De uitvoering hiervan zal de jeugdhulpaanbieder zelf, mede gebaseerd op de voor zijn beroepsgroep geldende certificering, in overleg met de cliënt bepalen. Sommige wetten bevatten een aantal specifieke bepalingen over gegevensverwerking. Aan de bepalingen van de specifieke wet moet voldaan worden voor wat betreft de daar geregelde onderwerpen en voor het overige aan de Wbp.

In afdeling 7.5 van boek 7 van het Burgerlijk Wetboek (de overeenkomst inzake geneeskundige behandeling) is bijvoorbeeld een speciale regeling opgenomen over (onder meer) inzage in medische dossiers. Een arts moet zich bij het geven van inzage aan deze regeling houden. Voor het overige zijn de regels van de Wbp van toepassing: een arts mag bijvoorbeeld niet meer gegevens verzamelen dan noodzakelijk is voor zijn doel.

Ad 4. Verzoek aan de raad voor de kinderbescherming

Zodra het college tot het oordeel komt dat een maatregel met betrekking tot het gezag over een minderjarige die zijn woonplaats heeft binnen zijn gemeente overwogen moet worden, doet het college een verzoek tot onderzoek aan de raad voor de kinderbescherming (artikel 2.4, eerste lid Jeugdwet). Naast het college, zijn op grond van artikel 3.1 Jeugdwet ook de aangewezen jeugdhulpaanbieder, het AMHK en de gecertificeerde instelling bevoegd om een verzoek tot onderzoek te doen.

Ad 5/6. De verantwoordelijkheid voor het uitvoeren van de kinderbeschermingsmaatregelen en jeugdreclassering

Kinderbeschermingsmaatregelen en jeugdreclassering worden uitsluitend uitgevoerd door gecertificeerde instellingen.

Ad 7. Financiering

Inzake de financiering zal de gemeente gegevens verwerken in verband met de inkoop, bekostiging en betaling van jeugdhulp en de uitvoering van kinderbeschermingsmaatregelen en jeugdreclassering. Voor zover het daarbij om persoonsgegevens gaat, betreft het met name gegevens in het kader van de facturering.

Artikelsgewijze toelichting

Artikel 1 Begripsbepalingen

Onderdeel a persoonsgegeven 

Het begrip “persoonsgegevens” is afkomstig uit de Wbp. Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon moeten als persoonsgegevens worden beschouwd. Gegevens van rechtspersonen vallen dus niet onder de Wbp. Er wordt onderscheid gemaakt tussen algemene persoonsgegevens en bijzondere persoonsgegevens.

Onderdeel b verwerking van persoonsgegevens

Het object van het protocol is de verwerking van persoonsgegevens. Ook voor dit begrip is aangesloten bij omschrijving in de Wbp. Het is conform de richtlijn gedefinieerd als elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, uitwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. In plaats van het begrip “bewerking of elk geheel van bewerkingen” wordt gesproken van “handeling of elk geheel van handelingen” teneinde rekening te houden met de omstandigheid dat verwerkingen kunnen plaatsvinden door

verschillende personen, zoals de verantwoordelijke, bewerker en derde.

Onderdeel c dossier

Voor een definitie van het begrip “dossier” is aangesloten bij de definitie uit de Wbp.

Onderdeel d betrokkene

Voor de definitie van het begrip “betrokkene” is aangehaakt bij de uitleg die aan dit begrip wordt gegeven in hoofdstuk 7 van de Jeugdwet. Met betrokkene wordt gedoeld op degene aan wie jeugdhulp wordt verleend of ten aanzien van wie een kinderbeschermingsmaatregel of jeugdreclassering wordt uitgevoerd. Afhankelijk van de methode die in het specifieke geval wordt toegepast, zal dit of de jeugdige of de ouder zijn. Omdat dit van geval tot geval kan verschillen, is gekozen voor de term betrokkene.

Onderdeel e toestemming van de betrokkene

Voor de definitie van het begrip “toestemming van de betrokkene” is aangehaakt bij het begrip uit de Wbp. Om te kunnen spreken van een daadwerkelijk toestemming van de betrokkene zijn drie punten essentieel. Allereerst moet de betrokkene in vrijheid zijn wil kunnen uiten. Ten tweede moet de wilsuiting betrekking hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen en ten derde moet de betrokkene voor van een goede oordeelsvorming over de noodzakelijk inlichtingen beschikken.

Er wordt onderscheid gemaakt tussen ondubbelzinnige toestemming en uitdrukkelijke toestemming van de betrokkene. Bij ondubbelzinnige toestemming gegeven volgens de verantwoordelijke geldt dat bij de verantwoordelijke is elke twijfel uitgesloten over de vraag of de betrokkene toestemming heeft gegeven en voor welke specifieke verwerkingen deze toestemming geldt.

Gelet op artikel 1, onder h, van de richtlijn dient het te gaan om 'informed consent' het zal duidelijk moeten zijn dat de betrokkene het gebruik van gegevens daadwerkelijk zelf heeft gewild en voldoende geïnformeerd is geweest om de reikwijdte van zijn toestemming te overzien. Hij mag niet voor verrassingen worden gesteld. Dit sluit aan bij het algemene civiele recht. Artikel 3.36 BW en de daarop gebaseerde jurisprudentie kan blijkens artikel 3:59 BW ook op de toestemming op grond van het wetsvoorstel van toepassing worden geacht. Dit impliceert dat de betrokkene die op basis van aan hem verstrekte informatie in vertrouwen heeft ingestemd met een bepaalde verwerking of bepaalde verwerkingen, juridische bescherming geniet, indien achteraf de verstrekte informatie onjuist of onvolledig blijkt te zijn. Binnen deze randvoorwaarde kan de toestemming ook betrekking hebben op toekomstige gegevensverwerkingen.

Uitdrukkelijke toestemming betekent dat de betrokkene expliciet zijn wil moet

hebben geuit. Een stilzwijgende of impliciete toestemming is onvoldoende: de betrokkene dient in woord, schrift of gedrag uitdrukking te hebben gegeven aan zijn wil toestemming te verlenen aan de hem betreffende gegevensverwerking

Onderdeel f cliënt

Er is voor gekozen om een onderscheid te maken tussen “betrokkene” en “cliënt”. De betrokkene is degene ten aanzien van jeugdhulp wordt verleend of wordt voorgesteld. De cliënt is degene die daadwerkelijk gebruik maakt van een voorziening. De cliënt is dus wel altijd “betrokkene”, maar de betrokkene is niet altijd “cliënt”.

Onderdeel g betrokken partij

Met betrokken partijen worden alle partijen bedoeld op wie die protocol van toepassing is. Naast de betrokkene/cliënt zijn dat de medewerkers van de gemeente, de medewerkers van het Jeugd en Gezinsteam, de gecontracteerde instellingen en gecertificeerde en medisch specialisten (de aanbieders), de vrij gevestigde gecertificeerde hulpverleners en medisch specialisten, de huisartsen en het schoolmaatschappelijk werk.

Onderdeel h derde

De derde is degene, die niet de betrokkene, noch de verantwoordelijke, noch de bewerker en noch de persoon is die onder rechtstreeks gezag van de verantwoordelijke of de bewerker gemachtigd is om de gegevens te verwerken. Dit begrip is afkomstig uit de Wbp. Persoonsgegevens mogen niet aan een derde worden verstrekt, tenzij de betrokkene hier ondubbelzinnig toestemming voor heeft gegeven.

Onderdeel i verantwoordelijke

De definitie van het begrip “verantwoordelijke” knoopt aan bij het begrip uit de Wbp. Het begrip “verantwoordelijke” knoopt in eerste instantie aan bij de vaststelling van het doel van de verwerking. De vraag is wie uiteindelijk bepaalt of er gegevens worden verwerkt en zo ja, welke verwerking, van welke persoonsgegevens en voor welk doel. Het doel van de verwerking van persoonsgegevens in dit kader is het uitvoering geven aan de regels uit de Jeugdwet 2015 en de daaronder hangende regelingen. Dit is een taak van de gemeente. Voor de reikwijdte van dit protocol is de gemeente, en meer in het bijzonder het college van burgemeester en wethouders, dan ook verantwoordelijke.

Onderdeel j de beheerder 

De beheerder is degene die door het college is aangewezen om binnen de gemeentelijke organisatie toezicht te houden op de naleving van de regelgeving.

Onderdeel k de bewerker

De bewerker is degene die ten behoeve van de verantwoordelijke, het college, persoonsgegevens verwerkt in de gebruikte systemen en applicaties, zonder aan het rechtstreeks gezag van het college te zijn onderworpen. Het begrip komt uit de Wbp.

Onderdeel l verstrekker

Degene die bevoegd is persoonsgegevens ter beschikking te stellen en te verwerken, zoals genoemd in artikel 6.

Onderdeel m ontvanger

Degene aan wie persoonsgegevens worden verstrekt, zoals genoemd in artikel 6.

Artikel 2 Doel verwerking persoonsgegevens

Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld. Artikel 7 van de Wbp schrijft voor dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Artikel 8 bevat voorts een limitatieve opsomming van de gronden die een gegevensverwerking rechtvaardigen. Het artikel behelst bovendien dat bij elke verwerking moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Zoals reeds in het algemene deel van de toelichting is beschreven, mag de gemeente persoonsgegevens verwerken in het kader van haar publiekrechtelijke taak. In het kader van dit protocol behelst haar publiekrechtelijke taak het uitvoering geven aan het bepaalde in de Jeugdwet 2015 en de daaronder hangende regelingen. Elke verwerking van persoonsgegevens moet in overeenstemming zijn met het bepaalde in de Wbp, de Jeugdwet 2015 en de daaronder hangende regelingen.

Artikel 3 Voorwaarden persoonsgegevens verwerking

Lid 1

De betrokkene verleent ondubbelzinnig toestemming voor de verwerking van zijn persoonsgegevens. Met “ondubbelzinnig” wordt bedoeld dat bij de verantwoordelijke elke twijfel uitgesloten moet zijn over de vraag of de betrokkene toestemming heeft gegeven en voor welke specifieke verwerkingen.

De toestemming van de betrokkene moet betrekking hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen. Duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden, en als het daarbij gaat om een verstrekking aan derden, ook aan welke derden. De betrokkene kan slechts verantwoord zijn toestemming geven wanneer hij zo goed mogelijk is ingelicht. Het vragen van de toestemming van de betrokkene impliceert dat hij op de hoogte moet worden gesteld van de gang van zaken met betrekking tot de gegevensverwerking.

Lid 2

Er kunnen zich situaties voordoen waarin het verkrijgen van toestemming door de betrokkene niet kan worden afgewacht, of waarin verwerking van persoonsgegevens noodzakelijk is ondanks het feit dat door de betrokkene geen toestemming verleend is. In dat geval is het verplicht om de betrokkene op de hoogte te brengen van het feit dat zonder zijn toestemming persoonsgegevens zijn verwerkt en voor welk doel.

Lid 3

Zie onder 2.1 in de algemene toelichting.

Artikel 4 Verantwoordelijkheid verwerking persoonsgegevens

Ingevolge de Wbp is de verantwoordelijke het bestuursorgaan dat alleen, of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. In dit artikel wordt uitgewerkt dat het college van B&W verantwoordelijk is voor de verwerking van persoonsgegevens, zoals in dit protocol beschreven. Het kader waarbinnen de verwerking van persoonsgegevens plaatsvindt en de wijze waarop, wordt afgestemd met de betrokken partijen als bedoeld in dit protocol.

Artikel 5 Verwerken persoonsgegevens bij behandelen, toekennen en afrekenen van een individuele jeugdhulp voorziening in natura of pgb

Artikel 6 Tabel verwerking persoonsgegevens

Om de jeugdhulpvraag te kunnen behandelen en een besluit te kunnen nemen over de jeugdhulpvraag is het nodig persoonsgegevens van de aanvrager en informatie vanuit zijn omgeving te verzamelen. De wijze waarop dat gebeurt is verbonden aan de gegevensgebieden van betrokkenen.

Bij iedere stap in de behandeling van de hulpvraag is aangegeven om welke gegevens het kan gaan, wie de gegevens verstrekt en wie de ontvangen is. Tevens is aangegeven wat het doel van de gegevensverwerking is. Het doel is uitvoering geven aan een wettelijke plicht tot jeugdhulpverlening die door de gemeente verzorgd wordt.

Door de kolomindeling van de tabel wordt duidelijk welke gegevens rechtmatig kunnen worden gevraagd en verzameld. De opvolgende rijen laten zien welke persoonsgegevens naar een volgende fase van behandeling en bewerking kunnen gaan. De Tabel laat zien over welke persoonsgegevens het kan gaan: vanaf het moment dat de hulpvraag bij het JGT/de gemeente in behandeling komt tot de afhandeling van de declaratie van de toegekende individuele voorziening door de zorgaanbieder. Dus door de gehele keten van betrokkenen bij de jeugdhulp verlening.

Artikel 7 Verwerken van bijzondere persoonsgegevens

Lid 1

Dit artikel brengt een verbijzondering aan voor de verwerking van persoonsgegevens.

De aard van sommige persoonsgegevens brengt mee dat de verwerking ervan een grote inbreuk kan vormen op de persoonlijke levenssfeer van de betrokkene, omdat die gegevens gevoelige informatie over iemand verschaffen. De Wbp noemt deze gegevens bijzondere persoonsgegevens. Voor de verwerking van bijzondere persoonsgegevens geldt een strenger regime dan voor gewone persoonsgegevens.

Bijzondere persoonsgegevens zijn alle persoonsgegevens die informatie verschaffen over iemands: godsdienst of levensovertuiging; ras; politieke gezindheid;

gezondheid; seksuele leven; en lidmaatschap van een vakvereniging.

Verder zijn bijzondere persoonsgegevens strafrechtelijke persoonsgegevens; en

persoonsgegevens over onrechtmatig of hinderlijk handelen waarvoor een verbod is opgelegd (bijvoorbeeld een gebiedsverbod).

Lid 2

Op het verbod om bijzondere persoonsgegevens betreffende iemands gezondheid te verwerken, geldt een uitzondering wanneer het verwerken van deze persoonsgegevens nodig is met het oog op een goede behandeling van de betrokkene. Deze verwerking mag dan geschieden door hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening. Deze bepaling is gebaseerd op art. 21, lid 1, aanhef en onder a van de Wbp.

Lid 3

Dit artikellid is een vertaling van art. 21, lid 3 Wbp, op grond waarvan het verbod om andere bijzondere persoonsgegevens niet geldt wanneer deze verwerking noodzakelijk is in aanvulling op de verwerking van persoonsgegevens betreffende iemands gezondheid, met het oog op een goede behandeling of verzorging van de betrokkene.

Lid 4

Dit artikellid is gebaseerd op art. 23, lid 1, aanhef en onder a van de Wbp op grond waarvan verwerking van bijzondere persoonsgegevens is toegestaan voor zover dit geschiedt met uitdrukkelijke toestemming van de betrokkene.

Artikel 8 Afkomst persoonsgegevens

Persoonsgegevens mogen slechts worden verwerkt indien zij rechtmatig zijn verkregen. De eerste bron voor het verkrijgen van persoonsgegevens is de betrokkene zelf. Voorafgaand aan het daadwerkelijk verkrijgen van de informatie, deelt de verantwoordelijke zijn identiteit en de doeleinden van de verwerking waarvoor de gegevens zijn bestemd mede.

Gegevens mogen ook bij een ander dan de betrokkene worden verkregen. Dit moet aan de betrokkene worden medegedeeld op het moment van vastlegging van die gegevens. Daarnaast moeten de identiteit van de verantwoordelijke en de doeleinden van de verwerking aan de betrokkene worden medegedeeld.

Artikel 9 Verbod verstrekking van persoonsgegevens

Lid 1

Het is verboden om persoonsgegevens aan derden te verstrekken. In het protocol worden vier uitzonderingen onderscheiden op dit verbod: na toestemming van de betrokkene, op verzoek van de betrokkene, indien verstrekking op grond van een wettelijk voorschrift is vereist, of indien er dringende en gewichtige redenen voor zijn. Een voorbeeld van verstrekking op grond van een wettelijk voorschrift is bijvoorbeeld het verstrekken van inlichtingen aan de Raad voor de Kinderbescherming als bedoeld in art. 1:240 van het BW. Bij dringende en gewichtige redenen kun je denken aan een situatie waarin het voor het welzijn van de betrokkene noodzakelijk om persoonsgegevens aan een derde te verstrekken. In zo’n geval is toestemming niet vereist.

Lid 2

Het is niet toegestaan persoonsgegevens te verstrekken (aan wie dan ook) voor een doel dat niet verenigbaar is met het oorspronkelijke doel van de verwerking. Dit artikellid is gebaseerd op artikel 11 Wbp. Het artikel legt op degene die de gegevens verwerkt (en dus ook in geval van verstrekking) een continue verplichting tot toetsing of het doel waarmee de gegevens verwerkt (of in dit geval verstrekt) worden, met het oorspronkelijke doel verenigbaar zijn.

Lid 3

In dit artikellid is bepaald dat de verwerking van persoonsgegevens achterwege blijft voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift daaraan in de weg staat. Deze bepaling vloeit voort uit de Wbp en hiermee wordt buiten twijfel gesteld dat een ambts- of beroepsgeheim dan wel een wettelijke verplichting tot geheimhouding niet kan worden terzijde geschoven.

Artikel 10 Geheimhoudingsplicht

Een ieder die vanuit zijn functie of werkzaamheden met persoonsgegevens aanraking komt, is op grond van zijn rechtspositie gebonden aan een geheimhoudingsplicht.

Voor de situaties waarin dit niet voldoende wordt geacht is te overwegen om aan het artikel een tweede lid toe te voegen met de volgende tekst:

“Alle personen die onder rechtstreeks gezag van de verantwoordelijke of de bewerker gemachtigd zijn om persoonsgegevens te verwerken, tekenen daartoe een geheimhoudingsverklaring.”

Artikel 11 Recht op inzage en afschrift betrokkene

Aan de betrokkene wordt op zijn verzoek zo spoedig mogelijk inzage in en afschrift van zijn dossier, of delen daarvan, gegeven De verstrekking blijft achterwege voor zover dit noodzakelijk is in het belang van de bescherming van de persoonlijke levenssfeer van een ander die in het dossier voorkomt. Dit vloeit voort uit de Wbp.

Artikel 12 Recht op verbetering, aanvulling, verwijdering of afscherming

Dit artikel regelt de rechten van de betrokkenen.

De betrokkene die in kennis gesteld is van verwerking van hem betreffende persoonsgegevens, kan (conform de Wbp) aan de verantwoordelijke schriftelijk verzoeken om verbetering, aanvulling, verwijdering of afscherming, indien de gegevens:

• a.

  feitelijk onjuist dan wel onvolledig zijn,

• b.

  voor het doel van verwerking onnodig of niet ter zake dienend zijn,

• c.

  in strijd met een wettelijk voorschrift worden verwerkt.

Artikel 13 Indienen bezwaar

De belanghebbende kan bezwaar maken. Het gaat om besluiten van de verantwoordelijke, de gemeente, over gegevensverwerking die belanghebbende beftreffen

Artikel 14 Beveiligen en beheren persoonsgegevens en 15 Beveiligingsniveau persoonsgegevens

Om invulling te kunnen geven aan de maatregelen die voorziet in de bescherming van de gegevens en privacy zal de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) als uitgangspunt worden genomen.

Deze Baseline betreft twee varianten, een Strategische- én een tactische baseline. De Strategische BIG kan gezien worden als de ’kapstok’ waaraan de elementen van informatiebeveiliging opgehangen kunnen worden. Centraal staan de organisatie en de verantwoording over informatiebeveiliging binnen de gemeente. De Strategische BIG geldt voor Nederlandse gemeenten waartoe gerekend worden alle gemeenten met de daaronder vallende diensten, bedrijven en instellingen, zoals werkpleinen. De Strategische BIG omvat de bedrijfsvoeringsprocessen, onderliggende informatiesystemen en informatie van de gemeente in de meest brede zin van het woord. De Strategische BIG heeft bovendien betrekking op alle informatie die daarbinnen verwerkt wordt. Als informatiesystemen niet fysiek binnen de gemeente draaien, is deze Strategische BIG overigens ook van toepassing.

De Tactische BIG is het normenkader dat de beschikbaarheid, integriteit en exclusiviteit van gemeentelijke informatie(systemen) bevordert. Deze Tactische BIG is een richtlijn die een totaalpakket aan informatiebeveiligingscontrols en -maatregelen omvat die voor iedere gemeente noodzakelijk is om te implementeren. Deze Tactische BIG is opgezet rondom bestaande normen; de NEN/ISO 27002:2007 en de BIR. Deze ISO-standaard vastgesteld voor de Nederlandse Overheid door het forum standaardisatie en algemeen aanvaard als de norm voor informatiebeveiliging. Voor specifieke maatregelen is in de Tactische BIG ook gebruik gemaakt van de Wbp, Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (de SUWI-wet), Gemeentelijke Basisadministratie (GBA en de opvolger BRP), Basisregistratie Adressen en Gebouwen (BAG) en de Wet Paspoortuitvoeringsregeling (PUN).

Artikel 16 Toegang tot gegevens

Personen zullen pas toegang krijgen na autorisatie door het college van burgemeester en wethouders van de gemeente in samenspraak met de organisatie waarvoor zij werkzaam zijn. Zij krijgen alleen toegang tot die gegevens die voor hun taakuitoefening van belang zijn, en uitsluitend voor zover dit past binnen de gestelde doelstellingen van de gegevensverwerking.

Artikel 17 Slotbepalingen

In het eerste lid van artikel 17 is opgenomen dat het protocol met terugwerkende kracht in werking zal treden op 1 januari 2015. Dit is gedaan omdat mogelijk niet alle colleges het protocol daadwerkelijk voor 1 januari 2015 hebben vastgesteld.

Hoewel dit niet is opgenomen in artikel 17, verdient het tot slot aanbeveling (de werking van) dit protocol na zekere tijd te evalueren.