De AVG in de hulpverlening

Wat is het

De AVG geldt sinds 25 mei 2018 in de hele Europese Unie, voor iedereen die persoonsgegevens verwerkt: grote en kleine organisaties, en ook de overheid. De Autoriteit Persoonsgegevens (AP) houdt toezicht.

• Persoonsgegevens zijn alle gegevens over iemand die je kunt herkennen: een naam of een telefoonnummer, maar ook een foto of geluidsopname waarop iemand te herkennen is.
• Verwerken is alles wat je met die gegevens doet: verzamelen, opslaan, bekijken, doorsturen en wissen.
• Bijzondere persoonsgegevens zijn extra gevoelig. Gegevens over iemands gezondheid horen daarbij, en die kunnen ook in het dossier van een maatschappelijk werker staan.

Gezondheidsgegevens verwerken is verboden, tenzij de wet er een uitzondering voor maakt. Het mag bijvoorbeeld als het nodig is om iemand zorg of hulp te geven, en de basis staat dan meestal in een wet, zoals de Wet maatschappelijke ondersteuning (Wmo) 2015 of de Jeugdwet.

Voor alle gegevens geldt: verzamel ze alleen voor een vooraf bepaald doel. Verzamel niet meer dan nodig, bewaar ze niet langer dan nodig en beveilig ze goed. Je organisatie moet bovendien kunnen laten zien dat ze zich hieraan houdt.

Mensen mogen hun gegevens inzien, laten verbeteren, vragen om ze te verwijderen en bezwaar maken tegen het gebruik. Een organisatie moet binnen een maand op zo’n verzoek reageren, maar is het verzoek ingewikkeld, dan mag het uitvoeren tot drie maanden duren.

Waarom het ertoe doet

Je cliënt moet erop kunnen rekenen dat gegevens over de eigen gezondheid veilig zijn, want zulke gegevens zijn zo gevoelig dat het gebruik ervan grote gevolgen voor iemand kan hebben. Voor verschillende beroepen geldt bovendien een geheimhoudingsplicht.

Een bericht naar de verkeerde persoon is een datalek, net als een kwijtgeraakte telefoon met gegevens die niet versleuteld zijn. Chatbots met kunstmatige intelligentie (AI) zijn een nieuwer risico. In augustus 2024 bleek dat medewerkers gegevens van bijvoorbeeld patiënten in zo’n chatbot hadden gezet, bij een huisartsenpraktijk zelfs medische gegevens. Dat is riskant, want de meeste bedrijven achter chatbots slaan alles op wat je invoert.

Verwerkersovereenkomst en DPIA

Gebruik je een app met een cliënt, dan kunnen er gegevens naar de maker gaan. Verwerkt de maker de gegevens in opdracht van je organisatie? Dan is de maker een verwerker, en moet je organisatie een verwerkersovereenkomst sluiten: een contract over wat de maker met de gegevens mag doen. Daarin staat onder andere hoe de maker de gegevens beveiligt, en dat hij ze verwijdert of teruggeeft als de samenwerking stopt. Heeft de maker een datalek, dan moet hij je organisatie zo snel mogelijk inlichten.

Soms is ook een privacyonderzoek nodig, een data protection impact assessment (DPIA). De vuistregel is dat het moet bij twee of meer van negen risicokenmerken, en gezondheidsgegevens en gegevens over kwetsbare mensen, zoals patiënten, zijn er samen al twee.

Zo doe je het

1. Gebruik de kanalen die je organisatie heeft gekozen. Elke organisatie bepaalt zelf welke beveiliging nodig is, dus wat elders mag, hoeft bij jou niet te mogen.
2. Schrijf alleen op wat nodig is voor de hulp, in een bericht en in het dossier.
3. Denk na voordat je gezondheidsgegevens mailt. Het is niet verboden, maar er zijn veiligere manieren. Kies je toch voor mail, dan moet je dat goed kunnen uitleggen en moet de mail goed beveiligd zijn.
4. Vraag toestemming voordat je deelt buiten je organisatie. Door de geheimhoudingsplicht is die in de zorg nodig om gezondheidsgegevens te delen met hulpverleners van een andere praktijk of instelling. Soms geldt een uitzondering, bijvoorbeeld bij ernstig gevaar. Overleg dan eerst binnen je organisatie.
5. Zet geen gegevens van cliënten in een AI-chatbot. Ook als je organisatie het toestaat, is het vaak niet wettelijk toegestaan. Zijn er in je team nog geen afspraken over chatbots, zet het dan op de agenda van het teamoverleg.
6. Beveilig je apparaten. Zet tweestapsverificatie aan: naast je wachtwoord gebruik je dan bijvoorbeeld een code op je telefoon. Laat updates automatisch installeren, en gebruik onderweg de mobiele data van je telefoon in plaats van openbare wifi.
7. Maak of deel niet zomaar een foto van je cliënt. Staat iemand herkenbaar in beeld, dan geldt de AVG. Voor je werk heb je dan een geldige reden uit de AVG nodig, bijvoorbeeld toestemming van wie erop staat.
8. Meld een fout meteen binnen je organisatie. Sommige datalekken moet je organisatie binnen 72 uur melden bij de AP, en soms ook aan de mensen om wie het gaat. Elk datalek komt in het datalekregister, ook als melden niet hoeft.

Voorbeeld: wat er in het dossier komt

Je helpt een cliënt die haar post niet meer openmaakt. Samen maken jullie een netwerkkaart van wie haar daarbij kan helpen: haar broer, een buurvrouw en een oud-collega. In het dossier schrijf je alleen: “Broer wil één keer per week helpen met de post.” De rest van de kaart is niet nodig voor de hulp, en hoort er dus niet in.

Let op

• Vraag niet voor de zekerheid om toestemming. Meestal regelt de wet het al, en een extra toestemming maakt het onnodig ingewikkeld voor je cliënt. Is toestemming wél de basis, dan moet je cliënt vrij nee kunnen zeggen, zonder daar nadeel van te hebben. Bij een gemeente kan toestemming daarom meestal niet de basis zijn, want inwoners zijn vaak van de gemeente afhankelijk.
• Vraag het aan je functionaris gegevensbescherming (FG). Wat in jouw situatie mag, hangt af van je organisatie, je cliënt en het hulpmiddel, en dit stuk is geen juridisch advies. De FG houdt binnen je organisatie toezicht op de privacyregels en geeft advies. Is er geen FG? Vraag dan je leidinggevende wie over privacy gaat.

Meer weten

• De checklist privacy van een app: wat je nagaat voordat je een app gebruikt.
• Een digitaal hulpmiddel kiezen voor je cliënt: privacy is één van de punten.
• Een digitaal hulpmiddel invoeren in je team: ook over afspraken in je team.
• De Autoriteit Persoonsgegevens legt de regels uit.