Privacy!Impact!Assessment! In!verband!met!gegevensverwerking!! bij!de!uitvoering!van!de!jeugdwet!door!gemeenten!

Transcriptie

1 PrivacyImpactAssessment Inverbandmetgegevensverwerking bijdeuitvoeringvandejeugdwetdoorgemeenten Opdrachtgevers:DirectieJustitieelJeugdbeleid,MinisterievanV&JenMinisterievanVWS Uitgevoerddoor:PrivacyCare Versie:0.726oktober2014 Versie&v0.7

2 Inhoudsopgave 1. WerkwijzePIAenuitgangspunten Achtergrond WerkwijzePIA Leeswijzer Verantwoording Toetsingskader Inleiding Wetenregelgeving UitgangspuntenWbpendebijzonderewetten Belangrijkeuitgangspuntenvoordeprivacycompliancebijgemeenten Inleiding Gestructureerdeaanpakprivacy Onderscheidenvangegevensverwerkingen Verantwoordelijkheidgegevensverwerking Alleennoodzakelijkegegevens Werkprocessen Bevoegdheidenkwaliteit Medischegegevensenstrafrechtelijkegegevens WaarborgenvoorgegevensbeveiligingenICT Borgingvandesamenwerking DienstverleningvangekwalificeerdeICTTleveranciers Rechtenvanburgers PrivacyimpactopdeuitvoeringvandeJeugdwetendekeuzesdoorgemeenten Informatiebehoefte TakenJeugwet Preventie Gegevensverwerkingpreventie Gemeentelijkekeuzes Gegevensverwerkingvroegsignalering Detoegangstaakvangemeente Gemeentelijkekeuzes Toegangviadehuisarts,specialistenjeugdarts Gemeentelijkekeuzes Jeugdhulpplichtenfeitelijkejeugdhulpverlening Gemeentelijkekeuzes MeldingenaanRaadvoordeKinderbescherming Structurerenvandegegevensverwerking MeldingenaanhetAMHK Kinderbeschermingsmaatregelenenjeugdreclassering Dossierverplichting;persoonlijkdossier Eengezin,éénplan Financiering,persoonsgebondenbudgetenouderbijdrage Pleegzorg Ondertoezichtstelling(ots)engeslotenjeugdhulp...33 &Versie&v0.7&& 2

3 4.13 Verwijsindexrisicojongeren Verwerkenvanhetbsn Uitgangspunt Huidigesituatie Jeugdwet VerwerkenbsnopgrondvanWmo Controlevanhetnummer Bsninhetwijkteam Aanvullendeaanbevelingenbijwaargenomenrisico's Integraleaanpakenintercollegialetoetsing Casusoverleg Regievandecliënt Verderverwerkenvangegevensvoormonitoringenbeleid Gebruikvanmeetinstrumenten(ZRM) Inrichtenvanwijkteams Regelsinhetwijkteam Stappenoverzichtvoorgemeenten...44 &Versie&v0.7&& 3

4 1. WerkwijzePIAenuitgangspunten 1.1 Achtergrond Degemeentenzijnper1januariaanstaandebestuurlijkenfinancieelverantwoordelijkvoor uitvoeringvandejeugdwet.datbetekentdatdegemeenteereenflinkaantaltakenbijkrijgt. DeEersteenTweedeKamerhebbenuitdrukkelijkaandachtgevraagdvoordeprivacyaspecten bijdeinrichtingvandenieuwetakendoorgemeenten. DeverantwoordelijkheidvoordeinrichtingvandenieuwetakenligtbijhetcollegevanB&W. HetcollegevanB&Wlegthierverantwoordingoverafaandegemeenteraad. OpverzoekvandeKamerwordengemeentenhierbijondersteundmeteenPrivacyImpact Assessment(PIA)uitgevoerdopdeinrichtingsaspectenenvoorgenomengegevensverwerkingen diebijuitvoeringvandejeugdweteenrolgaanspelenbijdegemeenten. DezePIAwordtconformdemotieBergkamp,(TK31839,nr.398)voorgelegdaanhetCBPvoor advies. Indezerapportagewordthetkadervoordegegevensverwerkingendeprivacyimpactdaarop verwoord.dekennisvoordepiaisonderanderevergaardingesprekkenmetdiverse gemeentenendepiaismedegebaseerdopdereferentiemodellenzoalsdezedoorvngzijn opgesteld. 1 DekeuzesdiegemeentenkunnenmakenteruitvoeringvandeJeugdwetende betekenisvoordeverwerkingvanpersoonsgegevenswordenindezepiabesproken. 1.2 WerkwijzePIA IndePIAwordendetakenuitdeJeugdwet,dekeuzesdiedoorgemeentenkunnenworden gemaaktbijuitvoeringvandejeugdwetendeconsequentiesvoordegegevensverwerking daarbijtoegelicht. DeoorspronkelijkeopzetwasdatdePIAdegegevensmodellenvandeVNGtoetst.Omdatde modellennognietafzijn,iserdoordeopdrachtgevervoorgekozenomnaastelementenuitde modellen,degemeentelijketakenzoalsverwoordindejeugdwetmeetenemenindepia. Daarbijisuitgegaanvandekeuzemogelijkhedendiegemeentenhebbenbijdeinrichtingvandie takenendeprivacyaspectendiedaarbijeenrolspelen.daarnaastwordendeaandachtspunten bijeenaantalspecifiekeuitvoeringsrisico'sbesproken.andere3dwetgevingwordtindepia betrokkenwaarditnodigisinrelatietotdedeuitvoeringvandejeugdwet,terondersteuning vandepia. IndePIAwordteenbeschrijvinggegevenvan: hettoetsingskader; dewettelijktakenenverantwoordelijkhedenuitdejeugdwet; aspectenvanorganisatieinrichtingenaandachtspuntendaarbij; 1 ZieReferentieModellenGegevensuitwisselingJeugddomein,conceptVNG.Opditmomentisalleeneenconcept beschikbaar. Versie&v0.7

5 relevantesituatiesenelementenvandewerkwijzevangemeenten; privacyrisico sdiedaarinwordenwaargenomen; aanbevelingenvoormaatregelendiegesignaleerderisico skunnenbeperkenof ondervangen; destappendieaandachtbehoevenvangemeenten. Debelanghebbendenendeskundigendiehebbenmeegewerktaandekennismakingenmet gemeentenzijndirectbetrokkenbijdeinrichtingenontwikkelingvandewerkwijzevan gemeenten.daaronderookictafdelingenenbeheerdersvangemeentenenbetrokkenjuristen. 1.3 Leeswijzer Hoofdstuk2geefthettoetsingskadervoordePIA. Hoofdstuk3beschrijfteenaantalbelangrijkeuitgangspuntenvoordeprivacycompliance. Hoofdstuk4beschrijftdegegevensverwerkingenonderdeJeugdwetendeprivacyimpactopde keuzesdiegemeentenkunnenmakenbijdeuitvoeringvandejeugdwet. Hoofdstuk5gaatinopdeverwerkingvanhetbsn. Hoofdstuk6gaatinopaanvullendeaanbevelingenvoordepraktijkinverbandmet gesignaleerderisico s. Hoofdstuk7schetsttotsloteenkortstappenplanvoorgemeenten. 1.4 Verantwoording DePIAisuitgevoerddoorPrivacyCareinopdrachtvanhetministerievanVenJenhetministerie vanvwsgezamenlijk.derapportageisopgesteldinafstemmingmetdeprojectleiderprivacy jeugdtransitierijksoverheid.eenreviewisuitgevoerddoormedewerkersvandeministeriesvan VenJenVWS. &Versie&v0.7& 2

6 2. Toetsingskader 2.1 Inleiding Per2015wordendeJeugdwet,denieuweWetmaatschappelijkondersteuning(Wmo)ende Participatiewetvantoepassing.DegemeentekrijgtdezorgvoorJeugdhulp,maatschappelijke ondersteuning,preventieenparticipatie.nietallesdaaraanisnieuw.degemeentezalbijde uitvoeringvandewettenmetdehulpenzorgaanbiedersenanderewettelijkeactorenzoalsde RaadvoordekinderbeschermingenhetAMHKsamenwerken. DeinvoeringvandeJeugdwet(waaropdezePIAbetrekkingheeft)endedaarmeegepaard gaandedecentralisatieleidttoteenveranderendeinformatievoorzieningrondomhetverlenen vanjeugdhulpenverwantepreventie,zorgverleningofondersteuning.degemeentenworden bestuurlijkenfinancieelverantwoordelijkvoordejeugdhulp:hulpenondersteuningaan jeugdigenenouders,alsmededepreventievetaken.daarnaastwordendegemeenten verantwoordelijkevoordeuitvoeringvandejeugdbeschermingenjeugdreclasseringdoor gecertificeerdeinstellingen.daarbijzaldegemeentemetdiversesoortenzorgaanbieders, jeugdhulpaanbieders,degecertificeerdeinstellingenenanderebetrokkenpartijen samenwerken.hetverwerkenvanpersoonsgegevensvancliëntenblijftvoor jeugdhulpaanbiedersgrotendeelsvergelijkbaarmetdehuidigegegevensverwerking.maarinde samenwerkingteruitvoeringvandenieuwetakenzullenbepaaldegegevensmetdegemeente enandereactorenindenieuwewetgevingmoetenwordengedeeldenveelanderegegevens (uitdehulpverleningsrelatie,medischegegevensuithetdossier)inbeginselnietmogenworden gedeeld.hetisvangrootbelangomditgoedvormtegeven,wanthierschuilteengroot privacyrisicoalsbovenmatigwordtuitgewisseldofteruimetoegangwordtgegeven.degrote veranderingzitindenieuwerolenverantwoordelijkheidvandegemeenteende informatiebehoeftediedatmetzichmeebrengt.metdeverantwoordelijkheidvoorde Jeugdwetzullengemeentennieuweofanderepersoonsgegevensgaanverwerken. Gemeenten,jeugdhulpaanbiedersengecertificeerdeinstellingenzulleninhetkadervande hulpverleningdagelijksdiversegegevensvanjeugdigenenoudersvastleggen.diegegevenszijn afkomstigvandejeugdigeenouderszelf,maarookvananderen,zoalsbijvoorbeeldderaad voordekinderbescherming,jeugdhulpverlenersofandereprofessionalsdiebijdejeugdige betrokkenzijn.hetvastleggenvanbepaaldegegevensisvoordegemeentenoodzakelijkomde wettelijkopgedragentakentekunnenuitvoeren.voordejeugdhulpverlenerzijnbepaalde gegevensnoodzakelijkomverantwoordeenkwalitatievejeugdhulptekunnenleveren.ookde gecertificeerdeinstellingheeftgegevensnodigomhaartakentekunnenuitvoeren. 2.2 Wetenregelgeving Hetverwerkenvangegevensvandeinwonersvaneengemeenteinverbandmetdejeugdhulp valtonderdewerkingvandewetbeschermingpersoonsgegevens(wbp).dezewetgeving vormtdebasisvoorinrichtingvandegegevensverwerking.debijzonderewettengevendaaraan eenspecifiekeinvulling.dejeugdwetbevatopeenaantalpunteneenaanvullingen concretiseringvandealgemenenormenvandewbp. &Versie&v0.7& 3

7 NaastdeWbpendeJeugdwetwordthetkadergevormddoordeWetopdegeneeskundige behandelingsovereenkomst(wgbo)endewetbig,waarino.a.dedossierplichtenhet beroepsgeheimvoorzorgprofessionalsgeregeldis.dezebepalingengeldenvoorzorgverleners inhetkadervanbehandeling,respectievelijkbiggeregistreerdehulpverleners.daarbijkan gedachtwordenaandearts,deverpleegkundige,depsychiater,depsycholoogof psychotherapeut,dehuisarts,endeggdarts.dezewettenblijvenvantoepassing.inde Jeugdwetzijnvergelijkbarebepalingenopgenomenwaarmeededossierplichtende geheimhoudingvoorjeugdhulpverlenersengecertificeerdeinstellingengeregeldwordt.dewet publiekegezondheid(wpg)bepaaltinaanvullingopdedossierplichtdatinde jeugdgezondheidszorgersprakemoetzijnvandigitaledossiervorming. OokindeWmo2015wordtdegeheimhoudingsplichtendeverplichtingtothetvastleggenvan gegevensbijdeuitvoeringvandewmoinalgemenezinwordtgeregeld.ditisaanpalendvan belang. DenieuwewetgevingbiedtookeenbasisvoorhetlokaalbeherenvandeVerwijsindex Risicojongeren(VIR)doordegemeente(regievoerderVIR)enhetgebruikervandoor professionals,alsmedeeenmeldrechtinhetkadervanhetamhk.viadewbpzijnde geheimhoudingsverplichtingenuitanderebijzonderewettengekoppeldaanhetwbpregime. Degeheimhoudingsverplichtingenspeleninhetjeugddomeineenbelangrijkerol.De verplichtingisnietabsoluut,maarkenteenaantaluitzonderingsgrondendiein2.3worden besproken. Naastwetenregelgevingspeeltnatuurlijkookgemeentelijkeregelgevingeenrolviade verordeningenperrechtsgebied.deverordeningengevennadereinvullingaande3d wetgevingdoormiddelvanonderandereinrichtingskeuzes. Daarnaastkunnenookberoepscodesnogeenrolspelenbijbepaaldhandelen.Bijvoorbeeldals deondersteuningdooreenmaatschappelijkwerkerswordtverleendenergeensprakeisvan jeugdhulp.daarvoorgeldtdeberoepscodevanmaatschappelijkwerkers.uitdiecodevolgtdat eencliëntdossierwordtbijgehoudenendatdemaatschappelijkwerkergeheimhoudingoverde gegevensverplichtis. VoorpsychologeniserdeNIPgedragscode.Ditisrelevantingevallendatdepsycholooggeen BIGgerisennietalsjeugdhulpaanbiederkwalificeert,maartochbetrokkenisbijdejeugdhulp. Degeheimhoudingendedossierplichtuitdecodeswerkenindepraktijkopdezelfdemanierals dewettelijkeverplichtingendiehierbovenbeschrevenzijn.beroepscodesspelenaanvullendeen rol.decodemoetaltijdinovereenstemmingmetdewetwordenuitgelegd. 2.3 UitgangspuntenWbpendebijzonderewetten DeWbpisvantoepassingvoorzoverhetgaatomhetverwerkenvanpersoonsgegevens.Een persoonsgegevenis elkgegevenbetreffendeeengeïdentificeerdeofidentificeerbare natuurlijkepersoon.daarbijgaathetookomgegevensdieinhunonderlingesamenhangofop zichzelf,indirecttoteenpersoonteherleidenzijn.voorbeleidofbeheerkanmet geaggregeerdedatagewerktworden,ofzonodigmetpseudoniem.inhetlaatstegevalkanniet herleidbaar gevolgd worden. &Versie&v0.7& 4

8 Het'verwerken'omvatelkehandelingmetbetrekkingtotdepersoonsgegevens,zoalshet inzien,opslaanendelenvandegegevens.degenewienspersoonsgegevenswordenverwerktis de betrokkene indezinvandewbp.ookdejeugdwethanteerthetbegripbetrokkeneopdeze manier. Verantwoordelijke&en&bewerker& DenormenvandeWbprichtenzichgrotendeelstotde verantwoordelijke voorde gegevensverwerking.ditisvolgensdewbp degenediehetdoelendemiddelenvoorde verwerkingvanpersoonsgegevensvaststelt.nietalleenisdeverantwoordelijkedegenediede verplichtingenuitdewbpmoetopvolgen,ookishijhetaanspreekpuntvoorbetrokkenenmet betrekkingtotdegegevensverwerkingenhetuitoefenenvanderechtenvandebetrokkene.het moetwordenvastgelegdwelkepartijverantwoordelijkeisvoorde(onderdelenvande) gegevensverwerking.hetnietgoedregelenvanverantwoordelijkheidiseengrootcompliance risico. Wanneereenpartijdegegevensvastlegtinopdrachtenvoordoelstellingenvande verantwoordelijketreedtzijopals bewerker vandegegevensindezinvandewbp.ditis bijvoorbeeldaandeordebijhostingvaneendatabaseofinformatiesysteemdooreenderde dienstverlener,dienietzelfmedeverantwoordelijkeis. OnderdeWmo2015zalvooronderdelenvandegegevensverwerkingdegemeente verantwoordelijkzijnenvooranderedelendebetrokkenuitvoerdersvandewmozoalsde aanbiedersvanvoorzieningen.ditbepaaltdewet.betreffendedeuitvoeringvandejeugdwet, moetafhankelijkvandeinrichting,deverantwoordelijkheidbelegdwordenbijgemeenteof ketenpartners.gebeurtgegevensverwerkingvoordegemeentelijketaken,danishetlogischdat degemeentedaarvoordeverantwoordelijkeis.gebeurtgegevenverwerkingdoorde jeugdhulpaanbiederinhetdossiervandecliënttenbehoevevandezorg?danishetlogischdat deaanbiederverantwoordelijkheiddraagt.hijmoetimmersdegeheimhoudingsplichtook kunnenborgen.isdejeugdhulpverlenerindienstvandegemeentedanisdegemeentevoordat stukzelfjeugdhulpaanbieder. Grondslag& DeWbpvereisteengrondslagvoorelkepersoonsgegevensverwerkingopgrondvanartikel8 Wbp.Daarinwordtaangegevenvoorwelkedoeleindenpersoonsgegevensverwerktmogen worden. Alsdaarbijook bijzondere gegevenswordenverwerktzoalsbedoeldinartikel16wbp,danis eengrondslaguitartikel8wbpalleennietvoldoende.danisdaarnaasteenontheffingnodig zoalsopgenomenindeartikelen17t/m23wbp.hetgaatdanbijvoorbeeldomstrafrechtelijke gegevens,gezondheidsgegevensofgegevensovergodsdienst.indeuitvoeringvandejeugdwet (enandere3dwetgeving)zalhetverwerkenvanbijzonderegegevensvaakaandeordezijn. &Versie&v0.7& 5

9 Indeeersteplaatszalartikel8eWbp,noodzakelijkverwerkenvoordebestuursrechtelijketaak, vanbelangzijn.veelvandenoodzakelijkegegevensverwerkingzalonderdezegrondslag plaatsvindenomdatdetaakendeverantwoordelijkhedenvanhetbestuursorgaangemeentein dejeugdwetzijnvastgelegd.hierbijkanookgedachtwordenaandepreventietakendieuitde Jeugdwet,maarookuitdebestaandeWpgvolgen,voorzoverdezedoordegemeenteworden uitgevoerd.inveelgemeentenzaldeuitvoeringvandejeugdwet(deels)naastdeuitvoeringvan dewpggebeurenopéénplek. Sommigegegevensverwerkingzalooknodigzijnvanwegeeenwettelijkeverplichtingtothet verwerkenvangegevens.danisartikel8cwbpaandeorde.dezeverplichtingenworden afgeleiduitdebijzonderewetgeving.dezegrondslagisalleenaandeordealsde gegevensverwerkingalsverplichtinggeformuleerdis. Toestemmingiseengrondslagdieinhetkadervangegevensverwerkingdoordeoverheidmet terughoudendheidmoetwordenbekeken.deafhankelijkdieeenburgerheefttenopzichtevan deoverheidinhetalgemeenspeeltdaarbijeenrol.bijstructurelegegevensverwerking,die onafhankelijkvantoestemmingnodigisspeeltdezegrondslaggeenrol.toestemmingisalleen eengeldigegrondslagalsaandebeginselenvanvrijeenspecifieketoestemmingisvoldaan. Natuurlijkishetinhetkadervandebedoeldegegevensverwerkingookvanbelangtekijken naardegrondslagenvoorgegevensverwerkingdoorjeugdhulpverlenersdieniet doordegemeenteplaatsvindt,zoalsdoordejeugdhulpaanbiedersengecertificeerde instellingen.metnamedewettelijkeverplichting(dossierplicht)ensomsdetoestemming (behandelovereenkomst,geengedwongenkader)speleneenrol. Bijzondere&gegevens& Artikel16Wbpgaatuitvaneenalgemeenverbodophetverwerkenvanbijzonderegegevens, behoudensuitzonderingen.hetgaatompersoonsgegevensbetreffendeiemandsgodsdienstof levensovertuiging,ras,politiekegezindheid,gezondheid,seksuelelevenenpersoonsgegevens betreffendehetlidmaatschapvaneenvakvereniging.daarnaastgaathetomstrafrechtelijke persoonsgegevensenpersoonsgegevensoveronrechtmatigofhinderlijkgedraginverbandmet eenopgelegdverbodnaaraanleidingvandatgedrag. Gezondheidsgegevens& BijhetuitvoerenvandegemeentelijketakenonderdeJeugdwetzalhetregelmatigom gegevensbetreffendedegezondheid(zoalsmedischegegevens)vanbetrokkenenkunnengaan. Voordebeoordelingvaneenhulpvraagzijndezegegevens(zobeperktmogelijk)nodig.Ookbij dehulpverleningwordendezegegevensverzameldzovernoodzakelijkvoordegoedehulpaan betrokkene. DeWbpgeefteenontheffingvoorhetverwerkenvan gegevensbetreffendedegezondheid aanhulpverlenerseninstellingenwanneerdatnoodzakelijkisvoordegoedezorgverleningaan debetrokkene(artikel21lid1onderawbp). &Versie&v0.7& 6

10 Artikel21lid1subfWbpbiedtdaarnaasteenontheffingaangemeentenvoorhetverwerken vangezondheidsgegevensvoorbepaaldespecifiekedoeleinden.dewetsteltinverkorte bewoordingdateenontheffinggeldtvoor: Bestuursorganenofinstellingendietenbehoevedaarvanwerkzaamzijnvoorzoverdat noodzakelijkisvooreengoedeuitvoeringvanwettelijkevoorschriftendievoorzienin aansprakendieafhankelijkzijnvandegezondheidstoestandvandebetrokkene. Daarnaastkandeontheffingsomsvoortvloeienuitdeuitdrukkelijketoestemmingvande betrokkeneofenkeleuitzonderlijkeomstandigheden(vitaalbelangvanbetrokkene),zoals geregeldinartikel23wbp(restbepaling).ookkaneenontheffingzijngecreëerdinformele wetgeving,zoalsdejeugdwet(artikel7.4.4lid2jo.7.4.1lid2jeugdwet). Gegevensbetreffendedegezondheidmogenuitsluitendwordenverwerktdoorpersonenop wieeengeheimhoudingsplichtrust,danwelaanwiedezecontractueelisopgelegd.ditiseen belangrijkpuntvanaandacht. Ookanderebijzonderegegevenskunnenwordenverwerktdoorhulpverlenerseninstellingen voormaatschappelijkedienstverleningalsdatinaanvullingopdegezondheidsgegevens noodzakelijkisvoordegoedebehandelingofverzorgingvanbetrokkenen.(artikel21lid3wbp) Strafrechtelijke&gegevens& Hetverbodomstrafrechtelijkepersoonsgegevensteverwerkenalsbedoeldinartikel16,isniet vantoepassingindiendeverwerkinggeschiedtdoororganendiekrachtensdewetzijnbelast metdetoepassingvanhetstrafrecht,alsmededoorverantwoordelijkendiedezehebben verkregenkrachtensdewetpolitiegegevensofdewetjustitiëleenstrafvorderlijkegegevens (artikel22wbp). Ookishetverbodnietvantoepassingopdeverantwoordelijkediedezegegevensvoorzichzelf verwerktter: beoordelingvaneenverzoekvanbetrokkeneomeenbeslissingoverhemtenemenofaan hemeenprestatieteleverenof beschermingvanzijnbelangenvoorzoverhetgaatomstrafbarefeitendiezijngepleegd,ofop grondvanfeitenenomstandighedennaarverwachtingzullenwordengepleegd,jegenshemof jegenspersonendieinzijndienstzijn. Indeartikelen17t/m20wordendaarnaastspecifiekeontheffingengegevenvoorhet verwerkenvananderebijzonderegegevens. & Artikel7.4.1,tweedelid,joartikel7.4.4vandeJeugdwetbiedendaarnaasteenspecifieke wettelijkebasisvoordegemeenteom(bijzondere)persoonsgegevensteverwerkendiezijnodig heeftvoordetoegangtotjeugdhulp. Verder&verwerken&van&gegevens&& Artikel9lid4Wbpregeltdateenverdereverwerkingachterwegemoetblijvenwanneereen geheimhoudingsplichtaanhet(verder)verwerkenindewegstaat.degeheimhoudingsplicht &Versie&v0.7& 7

11 volgt(zoalsonder2.2uitgebreiderbesproken)inhetkadervanjeugdhulpuitdejeugdwet (artikel7.3.11),dewgbo(7:457bw)endewetbig(artikel88).degeheimhoudingsplichtis nietabsoluut.uitzonderingenwordengevormddoordevrijeenspecifieketoestemmingvande cliëntofeenwettelijkeverplichtingomgegevensteverstrekkenoverdecliëntofuithetdossier. Daarnaastmagdetoestemmingvandecliëntwordenaangenomenalshetgaatomhetdelen vanuitsluitendnoodzakelijkegegevensmetdiegenedieberoepsmatigrechtstreeksbijde behandelingsovereenkomst,danweldejeugdhulpverlening,betrokkenis.ditlaatsteis behoudensbezwaardaartegenvandecliëntenvoorzovernodigvoordetaakvandebetrokken persoon.omeventueelbezwaartekunnenmakendientdecliëntopdehoogteteworden gebrachtvanvoorgenomengegevensverwerking. Hetberoepsgeheimkaninbijzonderegevallenookdoorbrokenwordenalssprakeisvaneen conflictvanplichten,eennoodsituatiedieinhetbelangvandedirecteveiligheidvandecliënt ofeenanderdandecliëntrechtvaardigddatbepaalde,voorhetafwendenvanhetgevaar noodzakelijkegegevenswordengedeeldmeteenander.voorditsoortsituatiesisinspecifieke gevallenookeenmeldrechtvoorprofessionalsverankerdindewetgevinginhetkadervande VerwijsindexRisicojongeren(VIR)eninhetkadervanhetAMHK. Alsdegeheimhoudingsplichtnietaaneenverdereverwerkingindewegstaat,ishetoverigevan artikel9wbpnogvanbelang.daarinwordtgeregelddatverzameldegegevensnietverder mogenwordenverwerktvooranderedoeleindendienietverenigbaarzijnmethetdoeleinde vanverkrijging. Persoonsnummers& Artikel24Wbpbeperkthetgebruikvanwettelijkepersoonsnummers. Ditisonderanderevantoepassingophetverwerkenvanhetburgerservicenummer(bsn).Wet algemenebepalingenbsn(wabb)regelthetgebuikvanhetbsn.aanvullendesectorale bepalingenvolgenvoorde3dinrichtinguitdebijzonderewetgevingjeugdwet,wmo, ParticipatiewetendeWetgebruikbsnindezorg. Bewaren&van&gegevens& Persoonsgegevensmogenslechtswordenverwerktalszijvoorhetspecifiekedoeleindevan verwerkennoodzakelijkzijnennietlangerwordenbewaarddannoodzakelijk.(artikel10en11 Wbp). Dezealgemenenormisvoordejeugdhulpverlenerendegecertificeerdeinstellingingevuld. Artikel7.3.8,derdelidJeugdwet,bepaaltdathetdossiergedurendevijftienjaarmoetworden bewaard,ofzoveellangeralsuitdezorgvaneengoedhulverlenervoortvloeit. Artikel7:454BW(WGBO)regelthetzelfdevoorhetdossiervandezorgaanbiederdieonderde WGBOvalt.Debewaartermijnenlatenonverlethetrechtvanbetrokkeneomteverzoeken gegevenstecorrigerenoftevernietigen. & &Versie&v0.7& 8

12 Beveiligingseisen& Opgrondvanartikel13Wbpdientdeverantwoordelijkepassendetechnischeen organisatorischemaatregelentetreffenompersoonsgegevenstebeveiligentegenverliesof tegenenigevormvanonrechtmatigeverwerking. Passend betekentinditverbanddatde beveiliginginovereenstemmingismethetrisicovandegegevensverwerking(inverbandmet onderanderedeaardvandegegevensenhetgebruik)endestandvandetechniek.hetcollege beschermingpersoonsgegevens(cbp),toezichthouderopdewbp,heeftinrichtsnoerende eisenomtrentbeveiligingnaderuitgewerkt. 2 Deopennormvanartikel13Wbpkanoppassendewijzewordeningevuld,doortevoldoenaan debestaande(nederlandseeninternationale)normenvoorinformatiebeveiliging.erzalmoeten wordenafgewogenwelke(aanvullende)maatregelennodigzijninverbandmetde bijzonderhedenenrisico svandeverwerking. Onderdeelvanbeveiligingishetregelenvandetoegangtotgegevens(autorisaties)voor gerechtvaardigdegebruikers.erdientdoordeverantwoordelijke(n)eenautorisatierichtlijnte wordenvastgesteldenonderhoudeneneendaaropgebaseerdautorisatieprofiel,waarmee inzichtelijkiswiewelkeautorisatieheeftompersoonsgegevensdieonderzijn verantwoordelijkheidwordenverwerktintezien,daarbijrekeninghoudendmetdespecifieke taak,rolenverantwoordelijkheidvandegebruikerofprofessional(zoalsomschreveninde werkprocessen). 3 Daarnaastisookdemethodeofhetmiddelvantoegangwaarmeedegebruikertoegangkrijgt vanbelangvoordebeveiliging,inverbandmetdezorgvuldigeidentificatieenauthenticatievan gebruikers. InverbandmetdeuitvoeringvandeJeugdwetishetbeveiligenenafschermenvan geheimhoudingsplichtigegegevensuitdezorgenhulpverleningsrelatiedoormiddelvande juisteautorisatieseenbelangrijkevoorwaardevoorrechtmatigheid.hetzelfdegeldtookvoor strafrechtelijkegegevensdiealleenaanspecifiekepersonenmogenwordenverstrekt.(denk bijvoorbeeldaanhetbesluitjustitiëleenstrafvorderlijkegegevens) Informatieplicht& Overeenkomstigartikel33en34vandeWbpbestaateeninformatieplichttegenoverde betrokkene.betrokkenenmoetenwordengeïnformeerdoverhetdoelvandeverwerking,de verantwoordelijkeenhetspecifiekegebruikvandegegevensindeteams.ditzorgtvoorde nodigetransparantieenisdaarmeeeenvoorwaardevoorhetkunnenuitoefenenvanrechten doordebetrokkene.& 2 CBPRichtsnoeren,Beveiligingvanpersoonsgegevens,CollegeBeschermingPersoonsgegevens,februari Hetisbelangrijkomookinkaarttebrengenhoeditbinnendetotalegegevensverwerkinginhetjeugdstelselpast, doorhetuitwerkenvaneengegevensverwerkingsmodel,waarin(wettelijktoegelatenennoodzakelijke) gegevensstromeninbeeldwordengebracht.(zieook3.1.en3.3) &Versie&v0.7& 9

13 Rechten&van&betrokkenen& Eenbetrokkeneheeftbehoudenswettelijkgeregeldeuitzonderingssituatieshetrechtinzageen eenoverzichtteverkrijgenvandeverwerkingvanzijnpersoonsgegevens.ookheefthijhet rechtopcorrectieofverwijderingvangegevens.ditwordtindewbpgeregeld,maarookinde bijzonderewetgeving.dejeugdwetgeeftaanvullenderechtenaanbetrokkenenencliënten.zo heeftdebetrokkeneinbeginselrechtopvernietigingvanhetdossierdatopgrondvande JeugdwetofdeWGBOdooreenzorgofhulpverlenerisvastgelegd. &Versie&v0.7& 10

14 &Versie&v0.7& Belangrijkeuitgangspuntenvoordeprivacycompliancebij gemeenten 3.1 Inleiding HetvoornaamstedoelvandeJeugdwetisdatallekinderengezondenveiligopgroeien,hun talentenontwikkelenenmeedoenindesamenlevingnaarvermogen.belangrijke uitgangspuntenvanhetnieuwestelselzijndat: ingezetwordtopmeerpreventieenbetereondersteuning; uitgegaanwordtvandeeigenkrachtvanjeugdigenenhunouders; betersamengewerktwordtrondgezinnen; problemenmindergemedicaliseerdworden; zorgopmaatverleendwordt; aansluitingvanhetgedwongenkaderopdegemeentelijkejeugdhulpwordtgerealiseerd. Voordejeugdhulpwordenveelgevoeligegegevensverwerkt.Nietalleenoverdejeugdigezelf, maarzonodigookoverfamilieenomgeving.degegevenszulleninverschillendesystemen wordenverwerktdoorverschillendeactorenentussenverschillendeactoren.eengrootdeel vandiegegevensvallenonderdegeheimhoudingsplichtvandebehandelaar(zoalsjeugdartsof psycholoog)ofjeugdhulpverlener,zodatstrengevoorwaardengeldenvoorhetdelenvan bepaaldegegevens,alsdatvoordehulpnoodzakelijkis.hetisaangemeentenom(samenmet dezepartijen)ervoorzorgtedragendatditopeenzorgvuldigeenrechtmatigewijzezal plaatsvindeninhetnieuwinterichtenstelsel. InformatieverwerkingisessentieelvoordegoedeuitvoeringvandeJeugdwet.Hetgaatdanom ondermeerpreventie,toeleidingenuitvoeringvanjeugdhulp,noodzakelijkecommunicatie tussenketenpartners,gegevensverwerkingtenbehoevevandegeslotenjeugdhulpencontrole, gegevensverwerkingvoorbeleidsdoeleindenensturing,voorfinanciëleafhandelingentoezicht. Eenkenmerkendelementbijdenieuweverdelingvantakenenwerkzaamhedenisdenieuwe rolvoordegemeenten.ruim400gemeentenmoetenzorgvuldigenbeheersbaaromgaanmet voorhennieuwetakeneneennieuweinfrastructuurvoordeuitwisselingvangegevens.omdat dewerkzaamhedenentakennieuwzijn,kannietwordenteruggevallenopeenbestaande structuur.ditiseengrootrisicovoordeprivacyvanbetrokkenen.gemeentenmoetendusop tijdzorgenvooreengoedoverzichtvandeinformatiebehoeftediezijhebbenopgrondvande inwerkingtredingvandejeugdwetper2015.takenmoetenzijningerichtenzonodig,opeen zorgvuldigewijzebijanderenzijnbelegd.vooralletakendienteengegevensverwerkingsmodel tewordengemaaktwaarindenoodzakelijkeenwettelijktoegelatengegevensuitwisselingmet debetrokkenactoreninkaartisgebracht,deverantwoordelijkheidendedoeleindenvoorde gegevensverwerkingenhelderzijnverwoordendegrondslagenzijnvastgesteld.voorelke gegevensstroommoetendenoodzakelijkegegevenswordenvastgesteld. 3.2 Gestructureerdeaanpakprivacy ElkeorganisatiediebinnenhetjeugdstelseloptreedtalsverantwoordelijkeindezinvandeWbp voorpersoonsgegevensverwerkingheeftbelangbijeengestructureerdeaanpakvande

15 compliance.alleenopdiemanierkandeverantwoordelijkedaarinsuccesvolzijnenvoorkomen datderisico svanprivacyschending,reputatieschadeenhandhavingbewaarheidworden.het CBPvereistditookalsvoorwaardeomalsverantwoordelijke accountable tezijnvooreen zorgvuldigegegevensverwerkingenaantoonbaarheiddaarvanteborgen.ditgeldtnatuurlijkin deeersteplaatsvoordegemeentendievooreendeelvandegegevensverwerkinginhetstelsel deverantwoordelijkeindezinvandewbpzalzijn(zieook3.4oververantwoordelijkheid).inde RichtsnoerenBeveiligingvanpersoonsgegevensgaathetCBPinopdestappeninhetprocesdie noodzakelijkzijn.hetisvanbelangeenprivacybeleidteontwikkeleneneen keyholder aante wijzendiehiervoorindeorganisatieverantwoordelijkis.eenprivacyofficerofeenchief InformationOfficer(CIO)kunnendezerolbijvoorbeeldvervullen. Gegevensverwerkingdientvooraftewordengegaanvaneenrisicoen/ofimpactanalyse,op basiswaarvandejuisteafsprakenkunnenwordengemaaktoverdetoegestaneennoodzakelijke gegevensverwerkingenwaarborgenkunnenwordengetroffenvooradequatebeveiliging.om continuiteitindeprivacycomplianceteborgenishetnoodzakelijkomeenmanagementcyclus interichtenindeorganisatie,eenzogenaamdeplandocheckact(pdca)cyclus.hierinwordt geborgddatdeprivacycomplianceeendynamischendoorlopendprocesis,waarinevaluatieen toetsingvandegegevensverwerkingeenperiodiekeplaatsheeftenprivacymaatregelenupto dateblijven.het(laten)uitvoerenvanauditsencontrolesisonderdeelvanhetnoodzakelijk toezichtopdeeigencompliance. 3.3 Onderscheidenvangegevensverwerkingen Hetisvoorgemeentenenketenpartnersvangrootbelangdeverschillende(voorgenomen) gegevensverwerkingenteonderscheidenentekwalificeren.daarmeewordtbedoelddathet belangrijkisdegegevensverwerking(registratiesendeuitwisseling(gegevensstromen))inkaart tebrengenineengegevensverwerkingsmodel.inhetmodelwordenookdeinformatiesystemen onderscheidenendeuitwisselingdietussensystemenplaatsvindt. Inhetmodelwordendedoeleindenvandeverschillendegegevensverwerkingenvastgestelden gekekennaardebetrokkenactorenendegrondslagvoordeverwerkingvangegevensdooren tussenhen.daarbijisdevraagvoorwelkedoeleinden(taken)gegevenswordenverwerktdoor wie?envanwiedegegevenswordenverkregenofmetwiezemoetenwordengedeeld?zo wordendegegevensstromeninzichtelijkgemaaktenkunnenzebeoordeeldwordenophun rechtmatigheid.aandehandvandedoeleindenengrondslagenmoetwordenbepaaldwelke gegevensnoodzakelijkzijnvoorrealisatievandedoeleinden. 3.4 Verantwoordelijkheidgegevensverwerking Bijelkepersoonsgegevensverwerkingishetallereerstvanbelangvasttestellenwiedaarvoor wordtaangemerktalsdeverantwoordelijkeindezinvandewbp.deverantwoordelijkeis namelijkdegenediewordtaangesprokenopnalevingvandewetbijhetverwerkenvande gegevens.indejeugdwetzijnverschillendetakenenverantwoordelijkhedenbeschrevenen wordenverschillendeactorendaarbijbetrokken.degemeenteisoverkoepelend verantwoordelijkvoordeuitvoeringvandejeugdwetindegemeente.verschillendetakenzijn indewetbijandereactorenbelegd.ookkandegemeenteeenaantaltakendooranderenlaten uitvoeren.verantwoordelijkheidvoordeuitvoeringbetekentdaaromnietperdefinitie &Versie&v0.7& 12

16 verantwoordelijkzijnvoorallegegevensverwerkingdiedaarbijkomtkijken.wie verantwoordelijkeisvoordegegevensverwerkingismedeafhankelijkvandeinrichtingdoor gemeenten.dieinrichtingbepaaltnamelijkvoorwiehetnodigisombepaalde persoonsgegevensteverwerkenomdeuittevoerentakennaarbehorentekunnenuitvoeren. Dieinrichtingbepaaltookvoorwelkdoeleindegegevensopeenbepaaldeplekmoetenworden verwerkt. AndersdanbijvoorbeeldindeWmo2015wordtindeJeugdwetnietvoorgeschrevenwievoor eenbepaaldegegevensverwerkingdeverantwoordelijkeis.dewbpisdusleidendomvastte stellenwieverantwoordelijkeisvoordegegevensverwerking. Hetisbelangrijkombijdeinrichtingvooruitteblikkennaardeverantwoordelijkheiddiemen creëert.nietelkeverantwoordelijkeisnamelijkopdezelfdemanierbevoegdombepaalde gegevensteverwerken,geletopdegrondslagendiedewbpgeeft.hetverwerkenvan bijzonderepersoonsgegevensisgebondenaaneenstrengerregime.hetverwerkenvan gegevensoveriemandsgezondheidofstrafrechtelijkegegevensisvoorbehoudenaanbepaalde verantwoordelijkenvoorbepaaldedoeleinden.deinrichtingdientdaaropaantesluiten. Bovendienmagdeinrichtingerniettoeleidendanbepaaldepersoonsgegevensonnodigop meerdereplekkenwordenverwerkt.datzoutotbovenmatigepersoonsgegevensverwerking leiden. Verantwoordelijkeisdegeneonderwiensbevoegdheiddegegevensverwerkingplaatsvindt.In beginselzaldepartijdievooreigendoeleindendegegevensverwerktdeverantwoordelijkein dezinvandewbpzijn.zozaldegemeentedievoorzijntakenzelfpersoonsgegevensverwerkt ofdoetverwerkendaarvoorverantwoordelijkezijn.terwijlbijuitbestedingvanbepaaldetaken, zoalshetverlenenvanjeugdhulp,aanderdendie&dat&uit&eigen&naam&doen,diederdende verantwoordelijke(n)zullenzijnvoordegegevensdievoordatdoeldoorhenworden vastgelegd.ditlaatstesluitgoedaanbijdeverantwoordelijkheiddiedederde(zorgverleneren jeugdhulpverlener)opgrondvandewgboofdejeugdwetzalhebbenomeendossierbijte houdenvancliëntenengeheimhoudingvancliëntgegevensteborgen. Deverantwoordelijkheidzaluiteindelijkaltijdgetoetstmoetenwordenaandewerkelijkheidvan depraktijk.hetisdegenediedoelenmiddelen,hethoeenwatvandegegevensverwerking vaststelt,dieverantwoordelijkeis.hetisdepartijdiewerkelijkdezeggenschapheeftoverde gegevensverwerking.datkunnenookpartijengezamenlijkzijn.ditkanbijvoorbeeldkomen omdateenregistratiesysteemwordtingerichtdatwordtgedeelddoorverschillendepartijen voorregistratie.eenvooruitziendeblikishierbijvanbelang.eenslimmeinrichtingzorgtvoor eensimpeleenoverzichtelijke compliance.partijenopwieeengeheimhoudingsplichtrust moetenzorgdragendatdeinrichtingvandeorganisatieendeinformatievoorzieningzodanigis datzijdezeverplichtinggoedkunnenborgen.eengedeeldinformatiesysteemmagerniettoe leidendatdeverantwoordelijkheidnietgoedkanwordennageleefd.bijgezamenlijke verantwoordelijkheiddientzorgvuldigtewordenbeschrevenwiewaarvoorverantwoordelijkis. Naardebetrokkenetoedientheldertezijnwiealsverantwoordelijkekanworden aangesproken. &Versie&v0.7& 13

17 3.5 Alleennoodzakelijkegegevens Eenzeerbelangrijkelementvanregelgevingoverhetverwerkenvanpersoonsgegevensisde zogenaamdenoodzakelijkheidstoets.dithoudtindatgegevensenkelverwerktmogenworden voorzoverditnoodzakelijkisvooreenbepaaldspecifiekgerechtvaardigddoel.deteverwerken gegevensmoetenterzakedienendzijnennietbovenmatig. Gemeentenenketenpartnersmoetenvoordegegevensverwerkingenwaarvoorzijde verantwoordelijkezijn,vaststellenwelkegegevensdaarvoorechtnoodzakelijkzijn. Denoodzakelijkheidstoetswordtingevulddoordevereistenvanproportionaliteiten subsidiariteit.proportionaliteitzietdaarbijopdeverhoudingtussendoelenmiddel:isde gegevensverwerkingproportioneelomhetdoeltebereiken.subsidiariteitzietopdevraagofer voordevoorzienegegevensverwerkingalternatievenzijndieminderinbreukmakenopde privacyvanbetrokkenenofdiemeerwaarborgenbieden. Degegevenssetvooreenvoorgenomengegevensverwerkingmoetwordenvastgesteldopbasis vandeverwachtenoodzaakvanbepaaldegegevens.doordatdeontwikkelingnogingangiszal debeoordelingvandenoodzaakombepaaldegegevensteverwerkennogkunnenwijzigen.de gegevenssetsdienenreguliergeëvalueerdenonderhoudentewordendoorde verantwoordelijke,zodatbovenmatigegegevensverwerkingsteedsvoorkomenwordt. Hethiergesteldebetekentnietdatallegegevensverwerkingaltijdgeheelgestandaardiseerdkan zijn.hetvaststellenvanwelkegegevens(aanvullend)noodzakelijkzijnvooropnameinhet dossierindeuitvoeringvaneenbehandelingoffeitelijkejeugdhulp,kanpasdoordebetrokken hulpverlenerwordenvastgesteld. 3.6 Werkprocessen Alsderechtmatigheidvangegevensverwerkingisvastgesteldendenoodzakelijke gegevensverwerkinginbeeldisgebrachtishetvangrootbelangdegegevensverwerkingin duidelijkewerkprocessenteverankeren.opdiemanierkanopeenzorgvuldigewijzeuitvoering wordengegevenaandetakenendegegevensverwerkingdiedaarbijhoort.naast werkprocessenkunnengedragsregelsofprivacyprotocollenhelpenommedewerkersde handvattentebiedenomopeenvoorzieneenzorgvuldigewijzetehandelen.daarnaastishet vanbelangbepaaldeafsprakencontractueelteborgenzodatdezeafdwingbaarzijn. Medewerkersdiepersoonsgegevensverwerkenmoeteneengeheimhoudingsverklaring ondertekenen. 3.7 Bevoegdheidenkwaliteit Indebijzonderewetgevingwordtookdebevoegdheidenbekwaamheiddievereistisvoor bepaaldhandelengeregeld.ditisvoordeinrichtingeenbelangrijkaandachtspunt.wanneer daarbijuitnaamvandegemeentegehandeldwordt,ishetmandaatvanhetbestuursorgaan gemeentedaarvoornoodzakelijk.ditwordtgeregeldineenmandaatsbesluit.alsnietuiteen eenovereenkomsteenopdrachtaaneenhulpaanbiederofhulpaanbiedersgezamenlijktothet verrichtenvanbepaaldewettelijketakenwaarvoordegemeentede zorgplicht heeftvolgt,dan zaleenmachtigingdoordegemeentenodigzijnomeenduidelijkegrondslagvoordeuitvoering vandezetakendoordegemachtigdetecreëren.datisookvoordetransparantienaarde &Versie&v0.7& 14

18 burgervanbelang.uitvoeringdoorbuurtteamskanookindeverordeningvandegemeente wordenopgenomen.daarnaastishetaspectkwaliteit,waaraanindejeugdwetenenkele anderezorgwetteneisenzijngesteldeenbelangrijkevoorwaardebijdeinrichtingen vormgevingvandejeugdhulpbijgemeenten. 3.8 Medischegegevensenstrafrechtelijkegegevens EenbijzonderezorgvoordenalevingvandeprivacywetgevingbijdeuitvoeringvandeJeugdwet endeverwantedecentralisatiesishetverwerkenvanbijzonderepersoonsgegevens.bij uitvoeringvandejeugdwetgaathetindeeersteplaatsomgegevensoverdegezondheidvan betrokkenenensomsookomzogenaamdestrafrechtelijkegegevens.gezondheidsgegevens omvattenmedischegegevensdiebijvoorbeelddooreenpsychiaterwordenvastgelegdvoorde behandelingvaneenjeugdige.maarbijvoorbeeldookdeminimalegegevensdieafgeleiduit hulpofondersteuningwordenverwerktopeenfactuur.dezegegevenskenneneengrote gevoeligheid.omdatvoorhetverwerkenvandezegegevenseenstrengregimegeldtmoetdit metextrawaarborgenenzorgwordenomkleed. NubijdeuitvoeringvandeJeugdwetveelactorenbetrokkenzijn,waarbijhetpotentieelgaat omhetverwerkenvangegevensvanveleburgersishetrisicoop(onbedoeld)onzorgvuldig handeleneneenteruimegegevensverwerkinggroot.ditwordtverstrektdoordekorteperiode waarindeinrichting,hetbeleidendeprocessenmoetenwordenvormgegeven.maarookdoor denieuwerolvandegemeenteendemogelijkheidvoorgemeentenomdejeugdhulpverlening zelfuittevoeren(metinzetvanprofessionals)endusondereigenverantwoordelijkheid hulpverleningsgegevenstegaanverwerken.opdegegevensdieinhetkadervande hulpverleningterkenniskomenvandehulpverlenergeldtaltijdeenberoepsgeheimvoorde hulpverlener,welkemateriewetookvantoepassingis.deverantwoordelijkewanneerdateen anderisdandehulpverlener,zoalsdeaanbiederofdegemeenteheeftdaarnaastdezorgplicht omdegeheimhoudingsplichttewaarborgen. Voorgezondheidsgegevensgeldtbovendiendatzijaltijdmoetenwordenverwerktdoor personenopwieeengeheimhoudingsplichtrust.dezegegevensmogenalleenverderworden verwerktineenbeperktaantalgevallenzoalsinhetjuridischkaderistoegelicht.degegevens moetenbovendienmetmeerwaarborgenwordenbewaardenbeveiligd.detoegangtotde gegevensdientbeperkttezijntotdegeheimhoudingsplichtigediedegegevensvooruitvoering vanzijntaaknodigheeftenrechtmatigheeftverkregen.iedere&gemeente&zal&hier&veel&aandacht& aan&moeten&besteden.vooreengoedeuitvoeringishetvanbelangdatgemeentengoedweten welkegegevens gegevensbetreffendedegezondheid zijn.hetgaatdannietalleenom medischegegevenszelfmaarookompersoonsgegevensdieindecontextdaarvanvaneen betrokkenewordenverwerkt.hetgaatomallegegevendieopzichofinhunonderlinge samenhangietszeggenoverdegeestelijkeoflichamelijkegezondheidstoestandvande betrokkene.hetfeitdatiemandnaardepsycholoogisgeweest,iszo ngegeven.maarhetfeit datiemandjeugdhulpontvangtook. &Versie&v0.7& 15

19 3.9 WaarborgenvoorgegevensbeveiligingenICT HetCollegebeschermingpersoonsgegevens(CBP),toezichthouderopdeWbp,heeftin Richtsnoerenvoorbeveiligingvanpersoonsgegevensdeeisenomtrentbeveiligingnader uitgewerkt.hetcbpverlangthetuitvoerenvaneenrisicoanalysetenbehoevevaneen voorgenomenverwerking.deuitkomstvanderisicoanalysewordtgebruiktalsuitgangspunt voorhettreffenvanpassendetechnischeenorganisatorischebeveiligingsmaatregelen.de risicoanalysedienttewordenbezienindecontextvangangbarestandaardenennormenvoor informatiebeveiliging.erzijnalgemenenormenzoalsdeneniso/iec27000ensubnormen (27001en27002),maarvanbelangzijnooksectoralenormen,zoalsnormenvoor gegevensbeveiligingindezorgenstandaardenvoorbepaaldeaspectenvanbeveiligingzoals authenticatiemiddelen. Ookwordtinderichtsnoerenaandachtgegevenaanhetinrichtenvandejuisteprocessenvoor borgingvanadequatebeveiliging.dezeprocessenzijnvanbelangvoordecontinuïteitvan beveiliging.hierbovenishetinrichtenvaneenplandocheckactcyclus(pdca)algenoemd. Daarmeewordteenregulierecontrole,evaluatieenzonodigbijstellingvan beveiligingsmaatregelengeborgdinhetprimaireproces. Normen Deopennormvanartikel13Wbpkanoppassendewijzewordeningevuld,doortevoldoenaan debestaande(nederlandseeninternationale)normenvoorinformatiebeveiliging. VoordezorgsectorzijnerdeNEN7510ensubnormenNEN7512enNEN7513voor informatiebeveiligingindezorg.zorginstellingenmoetenvoldoenaandevoorschriftenvande NEN7510:2011.Maarookinderestvandezorgsectorbiedtdenormgoedehandvattenvoor inrichtenvandebeveiliging.intoekomstigewetgevingzalhetvoldoenaandenormbreder verplichtwordengesteld.numetde3dwetgevingookdegemeentenzichuitgebreidgaan bezighoudenmetzorgenhulpverleningzijndezenormenrelevantalstoetskadervoordeinte richtenbeveiliging.denormenzijninelkgevalrichtinggevendomhetniveauvanbeveiligingte beoordelenenvormtegeven. NEN&7512& DeNEN7512gaatinophetinrichtenvaneenvertrouwensketenvoordegegevensuitwisseling tussenzorgaanbieders.dezenormisinontwikkelingenpubliekbeschikbaaropinternet.naeen publiekeconsultatiefasezalde7512:2013denen7512:2005vervangen.dezenormisvrij technischvanaardengaatinopbeveiligdekanalenvoorberichtentussendebijdezorg betrokkenpartijenenberichtversleuteling.daarnaastgaatdenorminopdebenodigdewijze vanauthenticatievandepartijenwaarmeegecommuniceerdwordt,geletophetrisicovande soortgegevensverwerking.dezenormkaneeninspiratiebronzijnwanneerdebeveiligingvan gegevensuitwisselingaandeordeis. NEN&7513 DeNEN7513zietophetinrichtenvaneen'gebruikersregistratie'vanregistratiesystemeninde zorg.indegebruikersregistratiewordenallegebruikershandelingeninhetregistratiesysteem automatischvastgelegd(gelogd).daarmeewordtvoldaanaandecontroleerbaarheiddiede &Versie&v0.7& 16

20 beveiligingsnormenvereisenvoorgebruikvanhetsysteem.dezenormistoepasbaaralshet gaatomdeinformatiesystemenwaarindedossiersvan(jeugd)hulpverlenerswordenvastgelegd ofgegevensuitdiecontextwordenuitgewisseld.controleerbaarheidisnodigommisbruikin hetgebruikvansystementegentegaan,zoalsonbevoegdeinzage.loggingen controleerbaarheidvormenookonderdeelvandealgemenenormenvoorinformatiebeveiliging NENISO/IEC27000ensubnormen. BIG& GemeentenmoetenvoldoenaandeBaselineInformatiebeveiligingvoorgemeenten(BIG). 4 Dezebestaatuiteenstrategischeeneentactischebaseline.DeBaselineInformatiebeveiliging NederlandseGemeenten(BIG)isgebaseerdopdeNENISO/IEC27001,bijlageAenNENISO/IEC DeBIGvervangtdezenormenniet.IndeBIGwordttoegelichtdathetbeveiligingsniveau inlagenuitbreidbaaris. 5 Bijdeopbouwvandebaselinewordthetprincipevangelaagde opbouwgehanteerd.eriseenbasisbeveiligingsniveauovereenkomendmetdepartementaalof gemeentelijk'vertrouwelijk'.daarwaarbepaaldetoepassingen,werkomgevingenofspecifieke dreigingeneenhogerebeveiligingsgraadofspecialistischemaatregelenvereisen,kunnenextra maatregelengetroffenwordenbovenophetbasisbeveiligingsniveau,zosteltdenorm.hogere beveiligingsniveau'szijnnietindebaselineuitgewerkt. Voorverschillendegegevensverwerkingenzaleenhogerniveauvanbeveiligingnodigzijn.Dit volgtuitdeeisendieindesectorwordengesteldaaninformatiebeveiligingindezorg.ditis bijvoorbeeldrelevantalsdegemeentealsjeugdhulpaanbiederoptreedtendaartoegegevens betreffendedehulpverleningmoetvastleggenineendossier,waaropeenbijzondere geheimhoudingsplichtvantoepassingis.maarditkanookbijuitwisselingvanzorgof hulpverleningsgegevensaandeordezijn Borgingvandesamenwerking Tussengemeenteenketenpartnerszullenafsprakengemaaktmoetenwordenomeengoede samenwerkingteborgen.daarbijmoetenookdenoodzakelijkeafsprakenwordengemaaktom deinformatievoorzieningenzorgvuldigegegevensverwerkingteorganiserenenteregelen.ook kanhetdaarbijnodigzijndeverantwoordelijkheidsverdelingvoordegegevensverwerkingte regelen.ditisaandeordebijgezamenlijkeverantwoordelijkheidvoorbepaalde gegevensverwerking. 4 ZieReferentieModellenGegevensuitwisselingJeugddomein,conceptVNG. 5 HetbasisvertrouwelijkheidniveauindeBIGisvastgesteldals DepartementaalVertrouwelijk,zoalsgedefinieerdin hetbesluitvoorschriftinformatiebeveiligingrijksdienstbijzondereinformatie(virbi:2012).voorwatbetreftde beschermingvanprivacygevoeligeinformatieisuitgegaanvanverwerkingvanpersoonsgegevenszoalsbedoeldin artikel16vandewbp.decombinatievanbeideniveauskomtveelvuldigvoorbijdedecentraleoverheid.voor gemeentenbetekentdit'vertrouwelijk'.hetgaatdanbijvoorbeeldompersoonsvertrouwelijkeinformatie, commercieelvertrouwelijkeinformatieofgevoeligeinformatieinhetkadervanbeleidsvorming,zogenaamde beleidsintimiteit.(strategischebaselineinformatiebeveiligingnederlandsegemeenten) &Versie&v0.7& 17

21 Deafsprakenkunnenindevormvanconvenantenenovereenkomstenwordengeregeld. Tussenbepaaldepartijenzijnafsprakenwettelijkverplicht: " EensamenwerkingsovereenkomsttussengemeenteendeRaadvoorde Kinderbescherming,overdewijzevansamenwerking,degegevensdiegedeeldkunnen wordenendegemeentelijkefuncties,dedoordegemeenteaangewezenorganisatiesof functionarissenwaarmeedezegegevensgedeeldkunnenworden. " Afsprakentussengemeenteendegecertificeerdeinstellingenoverdewijzevan samenwerkenbijdeuitvoeringvaneenjustitiëlemaatregel.deinstellingis verantwoordelijkvooruitvoeringvandemaatregel,maardegemeentemoetde bestuurlijkeenfinancieleverantwoordelijkheidkunnenwaarmaken. " EensamenwerkingsconvenantVIR.Inhetconvenantisafgesprokenwelkepartijen regionaalmogenmelden,hoemetmeldingenwordtomgegaanenwelkepartijenvoor welkdoeldegegevensuitdemeldingmogengebruiken.hetconvenantdientdooralle potentielemeldendepartijenondertekendteworden.degemeentenmoethetinitiatief nemenomtekomentoteenconvenant DienstverleningvangekwalificeerdeICTTleveranciers Alsdegemeenteofketenpartnereenbewerkerinschakeltdienamenshem(eendeelvan)de gegevensverwerkinguitvoert,ishijverplichtmetdebewerkereenbewerkersovereenkomstte sluitenwaarindeafsprakenoverdegegevensverwerkingwordenvastgelegd.belangrijkisdatde bewerkergeenzeggenschapheeftoverdegegevensenzenietvooreigendoeleindenverder magverwerken.debewerkermoetzorgenvooreenadequategegevensbeveiligingconformhet risicovandegegevensverwerking.voorgemeentenbetekentditdatsomsverdergekekenmoet wordennaaraanbiedersvaninformatiesystemendieervaringhebbenmetdegevoelige gegevensverwerkingindezorgendieeenvoldoendeniveauvanbeveiligingkennen.daarbijis hetvanbelangdatbedrijvengecertificeerdaandenormenvoldoen. Belangrijkisomwaarborgentetreffenencontractueelteregelendatgegevensbeschikbaarzijn enblijven,ookalsdegemeente(ofdeketenpartner)derelatiemetdeleverancierwil beëindigenofdezeonverhoedsdedienstverleningmoetstaken.deverantwoordelijkemoet altijdoverdegegevenskunnenblijvenbeschikkenenervolledigezeggenschapoverhouden Rechtenvanburgers EenvandeuitgangspuntenvandeWbpistransparantie,omdatde(on)rechtmatigeverwerking vanpersoonsgegevenseeninbreukkanvormenopdepersoonlijkelevenssfeer.omzijnrechten tekunnenuitoefenenmoeteenburgeropdehoogtezijndat&ergegevensoverhemworden verwerkt,endoorwieenwaarvoor. Nuverschillendeverantwoordelijkeneenrolspelenindegegevensverwerkinginhet jeugdstelselenhetgaatomnieuwesituatieswaaringegevenswordenverwerkt,ishetniet zondermeerduidelijkvoordebetrokkenedatzijngegevenswordenverwerkt,welkepartijen daarvoorverantwoordelijkzijnenhoedebetrokkeneinvullingkangevenaanzijnrechten.zozal eenburgerbijvoorbeeldnietaltijdmeteenwetenwatdetaakenrolisvaneenbuurtteamen welkegevensdaarwordenverwerkt,onderwiensverantwoordelijkheid.nuditookper gemeentekanverschillenistransparantieextravanbelang. &Versie&v0.7& 18

22 Gemeentenmoetenoptijdorganisereneninrichtendatburgersvoordeuitoefeningvanhun rechten,zoalsinzageenhetverwijderenofcorrigerenvangegevensterechtkunnenbijde verantwoordelijkevoordegegevensverwerking.hiervoormoeteenprocedurewordeningericht diebijallebelanghebbendepartijengoedbekendis.burgersmoetenactiefwordenvoorgelicht overdewerkwijzevandegemeenteenketenpartnersenoverdemanierwaaropzijnrechten kunnenwordengeëffectueerd.inhetjeugdstelselmoetenhiervoormetdeketenpartnersen andereactorengoedeafsprakenwordengemaaktovereeneventuelebrievenbusfunctieof doorgeleidingvanverzoekenvanburgersdieopeenandereplekbinnenkomendanwaarde afhandelingisingericht. &Versie&v0.7& 19

23 &Versie&v0.7& PrivacyimpactopdeuitvoeringvandeJeugdwetendekeuzes doorgemeenten 4.1 Informatiebehoefte DespecifiekeinformatiebehoefteennoodzaakinverbandmetdeuitvoeringvandeJeugdwet volgtindeeersteplaatsuitdeinhetwetsvoorstelvastgelegdetakenenverantwoordelijkheden endedaarbijgecreëerdegrondslagenvoorgegevensverwerking.omzichttekrijgenopde informatiebehoeftewordtgekekennaardetakenenverantwoordelijkhedenvanverschillende actorenindejeugdwet.denoodzakelijkegegevensverwerkingkandaarvanafgeleidworden.dit bepaaltookwatervastgelegdenuitgewisseldmagworden. 4.2 TakenJeugwet DeJeugdwet(vanaf2015vankracht)bevatondermeerdevolgendetakenen verantwoordelijkhedenwaarbijhetverwerkenvanpersoonsgegevensaandeordekanzijnvoor degemeente,jeugdhulpaanbieders,amhkofgecertificeerdeinstellingen: Preventieenvroegsignalering(artikel2.1), Detoegangstaak(artikel2.6,eerstelid,onderdeelbeng), Dejeugdhulpplicht(artikel2.3,eerstelid), HetdoenvandemeldingenaandeRaadvoordeKinderbescherming(artikel2.4, eerstelid,artikel3.1,artikel1:240bw), Hetuitvoerenvandekinderbeschermingsmaatregelenenjeugdreclassering(artikel 2.4,tweedelid), Hetvoorzienineenkwalitatiefenkwantitatieftoereikendaanbod(artikel2.6,eerste lid,onderdeela), Gegevensverwerkinguitbasisadministratieaandegecertificeerdeinstelling,artikel 3.6id1, Gegevensverwerkinggemeentetenbehoevevangeslotenjeudhulp(6.1.2en6.1.4) Dedossierplicht(artikel7.3.8), HetverstrekkenvaneenPGB;beoordelingcollegeartikel8.1.1lid3enheffingeigen bijdrageartikel Hieronderwordtvoordetakenenverantwoordelijkhedenuitgewerktwelke persoonsgegevensverwerkingvoordeuitvoeringvandewetzalkunnenplaatsvinden.pertaak ofverantwoordelijkheidvindtgegevensverwerkingplaatsvoorverschillendedoeleinden.de wetgeveronderscheidtgegevensverwerkingtenbehoevevandetoeleidingenhettreffenvan eenindividuelevoorziening(kortgezegdtoegangtot),deuitvoeringvandejeugdhulp,de uitvoeringvankinderbeschermingsmaatregelenenjeugdreclasseringendefinanciering. Indiendegemeenteervoorkiesteenjeugdhulptaaktaakindeeigenorganisatiemetbekwame mensenuittevoeren(art.2.7lid2),iszijvoordatonderdeeljeugdhulpaanbiederenzijnvoor degemeentevoordietaakdezelfderegelsenbeperkingenvoorhetuitwisselenvangegevens vantoepassingalsopdejeugdhulpaanbieders.

24 4.3 Preventie Indewetwordtpreventieenvroegsignaleringbesprokenalstakenenactiviteitendiedoorde gemeentewordenuitgevoerd.voorpreventieenvroegsignaleringishetnietsteedsnodigom persoonsgegevensteverwerken.preventietakenkunnenwordenuitgevoerdzonderhet verwerkenvanpersoonsgegevens,dithoudtdedrempelvoorbetrokkenenominformatieen steuntevergarenlaag.somskanhetverwerkenvanbepaaldepersoonsgegevensnoodzakelijk wordengevonden,bijvoorbeeldbijinschrijvingvooreentrainingdiealsalgemenevoorziening wordtaangeboden.vroegsignaleringkanhelpenomproblemenendeinzetvanhulpte beperken.vroegsignaleringkangebeurenbijhetuitvoerenvanpreventie.vroegesignalen kunnenvoortkomenuithetinventariserenvansignalendieuithetcontactmetdeburger voortkomen.somskaneraanleidingzijnomvroegsignaleringteformaliserenineenproces, teneindedeinzetvanhulptebeperken.hetgaatdanomactievevroegsignalering.daniser sprakevanhetverwerkenvanpersoonsgegevens Gegevensverwerkingpreventie Voorpreventiewordenheelbeperktpersoonsgegevensverwerkt,alsdatnodigis.Hetzaldan vaakindeeersteplaatsgaanomcontactgegevensenmogelijkisregistratievanbelangomde toegangtebeperkentotinwonersvaneengemeenteofomdatdetoegangaanvoorwaardenis verbonden.eengrondslagvoordenoodzakelijkegegevensverwerkingistevindeninde wettelijketaakvanhetbestuursorgaangemeenteompreventieuitte(doen)voeren(artikel8 lid1subewbp) Gemeentelijkekeuzes Eengemeentekanhetaanbiedenvanpreventieaanbodenhetuitvoerenvanpreventietaken uitbestedenaananderen.ditkanéénanderepartijzijnofmeerdereaanbieders.alsopdracht wordtverleendaaneenderdediedepreventietakenuiteigennaamzaluitvoeren,danzalhet verwerkenvanpersoonsgegevens,voorzoverdatnodigis,gebaseerdzijnophet gerechtvaardigdbelangvandeaanbieder,ofmogelijkookuitvoeringvaneenovereenkomst metdebetrokkene(vanzeerbeperkteomvang)ofdetoestemmingvandebetrokkeneconform artikel8lid1subf,bofawbp.hetgaatdanomhetvastleggenvanzeerbeperktegegevens voorditdoeleindedoordeaanbieder. Eenmogelijkheidisookdatpreventiedooreenderdeinnaamvandegemeentewordt uitgevoerd.bijvoorbeeldineenwijkteam,ofergensanders.indatgevalwordtdepreventie juridischdoordegemeenteuitgevoerdenishetdusdegemeentedieeengrondslagbehoeft (ziehierbovenonder3.3.1) Gegevensverwerkingvroegsignalering Vroegsignaleringwordtindewetgenoemdeniseenmethodeomdeinzetvanhulpof ondersteuningzovroegmogelijkenzopassendmogelijkaantebiedenomverergeringvan problementekunnenvoorkomenofbeperken.veelgemeentendenkendaarbijaanhetactief ophalenvansignaleninbijzonderegevallen.hetactiefinrichtenvaneenprocesofsysteemvan vroegsignaleringmoetmetveelwaarborgenzijnomkleed.vroegsignaleringisopdiemanier namelijkrisicovolvanuitdeinvalshoekvandeprivacywetgeving.bijactievevroegsignalering wordtnamelijkgetrachtomvoorafgaandaanproblematischesituatiesofbijdeeerstetekenen &Versie&v0.7& 21