Sociale diensten: bijstandsdossier en privacy Samenvatting van de bevindingen in het dossieronderzoek bij drie sociale diensten College bescherming

Transcriptie

1 Sociale diensten: bijstandsdossier en privacy Samenvatting van de bevindingen in het dossieronderzoek bij drie sociale diensten College bescherming persoonsgegevens, februari 2002

2 Inhoudsopgave Inleiding Juridisch kader: WBP en Abw o Behoorlijk en zorgvuldig o Doel van verwerking o Noodzakelijkheid o Grondslag verwerking o Geheimhoudingsplicht o Transparantie, rechten van betrokkenen en informatieplicht o Beveiliging Het dossieronderzoek o Noodzakelijkheid o Identificatie, kopieën van identiteitsdocumenten o Controle bank- giroafschriften, met name de controle op uitgaven o Arbeids(on)geschiktheid o Arbeidstoeleiding o Gebruik van machtigingen o Suggestieve of grievende uitspraken Verkrijgen en verstrekken o Verificatie van gegevens bij de cliënt o Gegevensuitwisseling met instanties genoemd in de bijstandswet o Gegevensuitwisseling met instanties die niet in de Abw worden genoemd Geautomatiseerde omgeving o Papier versus techniek o Geautomatiseerde verstrekkingen o Autorisatie Samenvatting van de belangrijkste aanbevelingen 2

3 Inleiding Het College bescherming persoonsgegevens (CBP) houdt toezicht op de verwerking van persoonsgegevens. In februari 2002 heeft het CBP bij drie gemeentelijke sociale diensten een kleinschalig dossieronderzoek uitgevoerd. Het doel hiervan was zicht te krijgen op de manier waarop sociale diensten met persoonsgegevens omgaan. Dit rapport beschrijft de bevindingen bij de drie sociale diensten. De meest in het oogspringende resultaten van het onderzoek zijn er uit gelicht en van aanbevelingen voorzien. Het gaat hierbij niet noodzakelijkerwijs om bevindingen bij alle drie de diensten. Het onderzoek heeft zich geconcentreerd op twee aspecten. Ten eerste is onderzocht of alleen die persoonsgegevens verwerkt worden die noodzakelijk zijn voor de uitvoering van de bijstandswet (Abw) en ten tweede is nagegaan van welke instanties de sociale diensten gegevens ontvangen ter verificatie van de door de cliënt aangeleverde informatie en aan wie zij gegevens verstrekken. Om deze vragen te beantwoorden zijn een 20-tal dossiers bestudeerd en is het beleid van de sociale diensten op dit gebied onderzocht. Daarnaast is gekeken naar de geautomatiseerde omgeving. Hierbij is met name aandacht geschonken aan de opbouw van de elektronische dossiers, de geautomatiseerde verstrekkingen en het autorisatiebeleid. In grote lijnen is zicht gekregen op de huidige gang van zaken en de bestaande risico's voor de omgang met persoonsgegevens. Het CBP heeft zich gerealiseerd dat het werkterrein van de sociale diensten op dit moment -door de inwerkingtreding van de wet Structuur Uitvoering Werk en Inkomen (SUWI) op 1 januari sterk in beweging is. Met dit onderzoek hoopt het CBP dan ook de aandacht voor privacy onder de Wet bescherming persoonsgegevens (WBP) en SUWI bij sociale diensten te stimuleren. De veranderingen bieden immers ook een kans de bescherming van persoonsgegevens binnen de nieuwe context goed vorm te geven. De conclusie die kan worden getrokken is dat het CBP na dit kleinschalige onderzoek een positieve indruk heeft gekregen van de wijze waarop de drie sociale diensten met persoonsgegevens omgaan. Wel is gebleken dat duidelijke werkinstructies voor het personeel en informatie aan de cliënt noodzakelijk zijn om een zorgvuldige omgang met persoonsgegevens te waarborgen. Het CBP overweegt over enige tijd een breder onderzoek te doen gericht op het doen naleven van de Wet bescherming persoonsgegevens en de Algemene bijstandswet. 3

4 Juridisch kader: WBP en Abw De WBP bepaalt het juridisch kader voor de bescherming van persoonsgegevens. Naast de WBP is het mogelijk om regels over de bescherming van persoonsgegevens in sectorspecifieke wetgeving neer te leggen, in dit geval de bijstandswet. Bij de uitvoering van de bijstandswet gelden de volgende basisbeginselen voor het gegevensverkeer. Behoorlijk en zorgvuldig Het algemene uitgangspunt van de WBP is dat persoonsgegevens in overeenstemming met de wet en op een behoorlijke en zorgvuldige manier worden verwerkt. Doel van verwerking Uit de WBP volgt dat persoonsgegevens alleen verzameld mogen worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Met andere woorden, het moet duidelijk zijn wat het doel is van de gegevensverwerking. Voor sociale diensten is het doel duidelijk: een goede uitvoering van de bijstandswet. Noodzakelijkheid In de WBP is bepaald dat persoonsgegevens - behalve wanneer toestemming is verkregen - alleen verwerkt mogen worden als dit noodzakelijk is voor één van de in de WBP genoemde grondslagen voor verwerking. Bovendien mogen persoonsgegevens alleen worden verwerkt als zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn. Dit leidt er toe dat gegevens alleen verwerkt mogen worden als dit nodig is om het recht op een uitkering vast te stellen. In de bijstandswet staat dat het College van Burgemeester & Wethouders (B&W) bepaalt welke gegevens ten behoeve van de verlening van bijstand, dan wel de voortzetting daarvan, door de belanghebbende in ieder geval moeten worden verstrekt en welke bewijsstukken deze moet laten zien. Dit betekent dat B&W moet afwegen welke gegevens voor de uitvoering van de bijstandswet noodzakelijk zijn. Grondslag verwerking In de WBP staat opgesomd wanneer gegevens verwerkt mogen worden. Het verwerken van persoonsgegevens door sociale diensten om te beoordelen of iemand recht heeft op een bijstandsuitkering is toegestaan als dit noodzakelijk is om een wettelijke verplichting van B&W na te komen of omdat het noodzakelijk is voor de goede vervulling van de publiekrechtelijke taak van B&W dan wel het bestuursorgaan waaraan B&W de gegevens verstrekt. In de bijstandswet is precies vastgelegd welke personen en organisaties desgevraagd verplicht zijn en welke bevoegd zijn uit eigen beweging aan B&W opgaven en inlichtingen te verstrekken die noodzakelijk zijn voor de uitvoering van de Abw. Ook is geregeld aan welke organen B&W uit eigen beweging mag en desgevraagd gegevens moet verstrekken. De gegevens moeten dan wel noodzakelijk zijn voor de uitvoering van die wetten en wettelijke regelingen anders dan de Abw. 4

5 Voor de belanghebbende zelf geldt dat deze op verzoek of meteen uit eigen beweging aan B&W alle feiten en omstandigheden meedeelt waarvan hem redelijkerwijs duidelijk is dat zij van invloed kunnen zijn op het recht op bijstand, de duur van de bijstand, of het bedrag van bijstand dat hij ontvangt. Daarbij is de belanghebbende verplicht aan B&W de medewerking te verlenen die redelijkerwijs nodig is voor de uitvoering van de bijstandswet. Geheimhoudingsplicht De WBP bepaalt dat persoonsgegevens niet mogen worden verwerkt voor zover een geheimhoudingsplicht op grond van ambt, beroep of wettelijk voorschrift daaraan in de weg staat. Een dergelijke geheimhoudingsplicht geldt voor de uitvoering van de bijstandswet ook. Het is dus niet toegestaan gegevens over personen of zaken verder bekend te maken dan voor de uitvoering van de wet noodzakelijk is dan wel op grond van deze wet is voorgeschreven of toegestaan. Het verbod is niet van toepassing als een wettelijk voorschrift tot bekendmaking verplicht of als degene op wie de gegevens betrekking hebben schriftelijk heeft verklaard geen bezwaar te hebben tegen de verstrekking van deze gegevens. Transparantie, rechten van betrokkenen en informatieplicht Transparantie in de zin van de WBP betekent dat het voor betrokkene helder moet zijn wat er met zijn gegevens gebeurt. De melding van de gegevensverwerking bij het CBP is een vorm van transparantie maar ook de informatieplicht en de rechten van betrokkene zijn daarvan een uitwerking. Uitgangspunt van de informatieplicht is: hoe eerder de betrokken op de hoogte is hoe beter. Het is dus van belang voor de verantwoordelijke, in casu B&W, dat zij de cliënt zo snel mogelijk goed en volledig informeert. Dit kan bijvoorbeeld middels informatie op het intakeformulier of via een folder. Als dit goed gebeurt kan het de sociale dienst bij de verwerking op een later tijdstip ontslaan van de verplichting de betrokkene te informeren. Deze is dan immers al op de hoogte. De informatieplicht is niet van toepassing als de vastlegging of de verstrekking van persoonsgegevens wettelijk is voorgeschreven. In sommige gevallen zal het zo zijn dat de sociale dienst gegevens verkrijgt of verstrekt op grond van een wettelijke verplichting. In veel gevallen is er echter geen sprake van een verplichting tot maar een bevoegdheid om gegevens te verwerken. De sociale dienst verwerkt in die gevallen de betreffende gegevens voor de goede uitvoering van haar publiekrechtelijke taak. Hiervoor blijft de informatieplicht gelden. Op grond van de WBP heeft de betrokkene het recht om inzage in zijn gegevens aan de sociale dienst te vragen. Als een betrokkene inzage krijgt, krijgt hij een volledig overzicht van de op hem betrekking hebbende gegevens te zien. Beveiliging Op grond van de WBP is B&W verplicht om technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligingen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De maatregelen zijn bedoeld om onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. Het aspect van beveiliging is met name van belang omdat de bijstandswet een gesloten verstrekkingenregime kent met een strenge geheimhoudingsbepaling. 5

6 Het dossieronderzoek Noodzakelijkheid Persoonsgegevens mogen op grond van de WBP verwerkt worden als deze noodzakelijk zijn voor het doel van de verwerking. Voor sociale diensten betekent dit dat het alleen die persoonsgegevens mogen verwerken die daadwerkelijk noodzakelijk zijn voor de uitvoering van de bijstandswet. Gegevensverwerkingen die hiervoor niet direct noodzakelijk zijn worden beschouwd als niet ter zake dienend of bovenmatig. In de bijstandswet is, zoals eerder is opgemerkt, neergelegd dat B&W bepalen welke gegevens de cliënt ten behoeve van de verlening van een uitkering in ieder geval moeten verstrekken en welke bewijsstukken moeten worden overlegd. Noodzakelijkheid moet hierbij altijd het uitgangspunt te zijn. Identificatie, kopieën van identiteitsdocumenten Een uitkeringsgerechtigde is verplicht om B&W een identiteitsbewijs ter inzage te geven als dit nodig is voor de uitvoering van de bijstandswet. Het afgeven van een kopie van het identiteitsbewijs wordt in de wet echter niet verplicht. Het CBP vindt het vanuit efficiëntieoogpunt acceptabel als een consulent het identiteitsbewijs, in overleg met de betrokkene, kopieert. Als de belanghebbende hier echter bezwaar tegen heeft, moet dit geaccepteerd worden. Uit het dossieronderzoek is gebleken dat consulenten standaard een kopie van iemands identiteitsbewijs maken. Niet altijd was duidelijk of de cliënt ervan op de hoogte was gesteld dat hij bezwaar kon maken tegen het kopiëren van zijn identiteitsbewijs. Controle bank- giroafschriften, met name de controle op uitgaven Er lijken nu veel minder bankafschriften gekopieerd te worden dan in het verleden. Meestal kopiëren consulenten nu alleen van het eerste en het laatste afschrift over een periode van 3 maanden. Uit het onderzoek bleek dat consulenten de afschriften stelselmatig bekijken om de informatie die de cliënt overlegt te controleren. Het CBP is van oordeel dat de cliënt de keuze moet hebben om de uitgaven onleesbaar te maken, tenzij de sociale dienst goede redenen heeft om de uitgaven te willen zien, zoals bijvoorbeeld bij een vermoeden van fraude. Om deze keuze te kunnen maken, moet de cliënt op de hoogte zijn van de mogelijkheid om zijn uitgaven onleesbaar te maken. Als hij besluit wel inzage te verlenen, kan een consulent zijn gegevens verifiëren aan de hand van de informatie die uit de bankafschriften is af te leiden. Het voordeel hiervan is dat deze informatie bij de cliënt zelf wordt verkregen. De keerzijde is echter dat een consulent gedetailleerd inzage krijgt in iemands uitgavenpatroon. Arbeids(on)geschiktheid In sommige dossiers bevinden zich uitgebreide rapportages over de gesprekken die de consulenten van de sociale dienst met een cliënt hebben gevoerd over zijn psychische of lichamelijke gesteldheid. De sociale dienst mag gegevens over de gezondheid van de cliënt verwerken in het kader van de arbeidstoeleiding. Dit mag echter alleen als het noodzakelijk is voor het doel dat hiermee wordt gediend. De consulent moet zich dus afvragen of het opnemen van uitgebreide informatie over de medische situatie van de cliënt noodzakelijk is voor het vaststellen of een cliënt wel of niet naar werk kan worden toegeleid. In veel gevallen is een korte zakelijke weergave voldoende. De consulent mag immers zelf geen conclusies trekken uit de beschrijving van de cliënt; er is altijd een advies van een arts nodig om arbeidsongeschiktheid vast te stellen. 6

7 Arbeidstoeleiding Als een cliënt aangeeft medische beperkingen te hebben om te werken vraagt de sociale dienst een medisch advies aan. Deze adviezen waren ter zake doende en helder. Wel merkt het CBP op dat een aantal maal uit de dossiers bleek dat de cliënt niet op de hoogte was gesteld van de inhoud van het advies vóór het advies aan de sociale dienst werd verstrekt. Het CBP benadrukt dat de cliënt de mogelijkheid moet krijgen om aan te geven of hij de uitslag van een medisch onderzoek wenst te vernemen en zo ja, of hij hiervan als eerste wenst kennis te nemen om te kunnen beslissen of hiervan mededeling aan de sociale dienst wordt gedaan. Als een cliënt besluit dat het advies niet verstrekt mag worden aan de sociale dienst kan dit wel consequenties hebben voor zijn uitkering. De cliënt heeft immers een informatieplicht naar de sociale dienst toe. Het CBP is van oordeel dat de cliënt op zijn rechten gewezen moet worden. Gebruik van machtigingen Een aantal keren zijn algemene machtigingen op inlichtingenformulieren aangetroffen. Wanneer de sociale dienst aan een andere dan de in de wet genoemde instantie inlichtingen over een cliënt wil verstrekken of wil opvragen is daar een schriftelijke verklaring voor nodig. De cliënt dient schriftelijk een machtiging van geen bezwaar te geven. De verklaring moet vrijwillig worden gegeven, specifiek zijn en berusten op toereikende informatie. Voor wat betreft de vrijwilligheid geldt dat dit niet betekent dat het niet geven van toestemming geen consequenties mag hebben. In bepaalde omstandigheden kan deze weigering namelijk worden uitgelegd als het weigeren om medewerking te verlenen aan hetgeen nodig is voor de uitvoering van de wet. Dit kan tot gevolg hebben dat de sociale dienst een maatregel oplegt. Er mag geen twijfel over bestaan dat de betrokkene zijn toestemming heeft gegeven en op welke specifieke verwerkingen de toestemming betrekking heeft noch over de reikwijdte ervan. De machtiging moet zowel ten aanzien van de gegevens die worden opgevraagd als ten aanzien van de instanties die om informatie worden verzocht specifiek zijn. Het standaard opnemen van een machtigingsformulering in de inlichtingenformulieren is niet geoorloofd. Per geval moet de consulent beoordelen of extra informatie nodig is. Pas als dat zo is mag aan de cliënt een machtiging worden gevraagd. Suggestieve of grievende uitspraken Een aantal malen zijn er grievende uitspraken in de onderzochte dossiers aangetroffen. Voorbeelden hiervan zijn: "Belanghebbende behoort tot de groep der niet kunners", "Is weer helemaal mis met cliënt, zit in een behoorlijke depressie en hoort weer stemmetjes". Persoonsgegevens moeten op een behoorlijke en zorgvuldige wijze worden verwerkt. Het CBP concludeert uit de bovenstaande bevindingen dat in de bijstandsdossiers niet altijd op een behoorlijke en zorgvuldige wijze wordt gerapporteerd. Deze wijze van rapporteren moet worden aangepast zodat in de toekomst slechts op een zakelijke en professionele manier gesprekken en waarnemingen worden weergegeven. 7

8 Verkrijgen en verstrekkingen Op grond van de bijstandswet bepalen B&W welke gegevens voor de verlening en voortzetting van bijstand noodzakelijk zijn. B&W onderzoeken de juistheid en de volledigheid van de verkregen gegevens en stellen zonodig een onderzoek in naar andere gegevens die hiervoor noodzakelijk zijn. Op zijn beurt is de cliënt verplicht alle feiten en omstandigheden mee te delen die voor het recht, de hoogte en de duur van belang zijn. De wet bepaald ook welke instanties verplicht zijn desgevraagd en bevoegd uit eigen beweging informatie te verstrekken aan B&W die noodzakelijk is voor de goede uitvoering van de bijstandswet. Verificatie van gegevens bij de cliënt In eerste instantie gaan de sociale diensten voor het beoordelen van het recht op een uitkering en de hoogte hiervan af op de gegevens die de cliënt zelf verstrekt. Persoonsgegevens mogen alleen worden verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn. Dit betekent dan ook dat op het door de sociale diensten gebruikte inlichtingenformulier alleen gevraagd mag worden naar gegevens die noodzakelijk zijn om het recht op en de hoogte van de uitkering vast te stellen. Geconstateerd is dat er op sommige inlichtingenformulieren meer informatie aan cliënten gevraagd werd dan nodig is. Zo werd op een formulier gevraagd naar belemmeringen van medische of sociale aard om aan het werk te gaan waarbij als hiervan sprake was de naam, adres en telefoonnummer van de arts/behandelaar ingevuld moest worden. Zeker artsen maar ook andere typen behandelaars zijn gebonden aan een (medische) beroepsgeheim. De sociale dienst mag zonder toestemming van de cliënt bij dergelijke personen of instanties geen gegevens opvragen. Door het vragen op het inlichtingenformulier naar naam, adres en telefoonnummer lijkt het als of een consulent hiertoe wel gerechtigd is. In een aantal gevallen is geconstateerd dat zich in de dossiers informatie bevond waarvan niet altijd duidelijk was waarom deze in de dossiers was opgenomen. Voorbeelden hiervan zijn uitgebreide kopieën van hypotheekaktes en correspondentie met de bank. Een consulent moet zich keer op keer afvragen of hij de aanvullende informatie die hij ter verificatie aan de cliënt vraagt in het dossier moet opnemen. Soms kan namelijk worden volstaan met de aantekening dat de betreffende informatie door de cliënt ter inzage is gegeven. Ook is het vaak niet nodig om een uitgebreid verslag van hetgeen de cliënt aan de consulent heeft verteld (bijvoorbeeld over zijn ziektegeschiedenis en zijn medicijngebruik) in het dossier op te nemen. Een consulent moet zich bij de opname van de door de cliënt verstrekte informatie afvragen of deze informatie daadwerkelijk functioneel is. Vaak is een korte zakelijke weergave al voldoende. Gegevensuitwisseling met instanties genoemd in de bijstandswet Als de informatie die de cliënt heeft aangeleverd vragen blijft oproepen verifieert de sociale dienst buiten de cliënt om. Regelmatig wint de sociale dienst informatie in bij de instanties genoemd in de bijstandswet. Het vragen van dergelijke inlichtingen gebeurt zowel telefonisch als schriftelijk. Uit de dossiers kwam niet altijd duidelijk naar voren welke informatie bij welke instantie geverifieerd was. Dit moet duidelijker in het dossier worden vastgelegd. 8

9 Gegevensuitwisseling met instanties die niet in de Abw worden genoemd In een aantal gevallen bleek dat consulenten gegevens verifiëren bij instanties waarvan bekend zou moeten zijn dat deze geen informatie mogen verstrekken, bijvoorbeeld personen en instanties met een beroepsgeheim. De verantwoordelijkheid voor de gegevensverstrekking áán de sociale dienst ligt primair bij de verstrekkende instantie. Echter, ook de sociale dienst moet zich bij een informatieverzoek goed afvragen of de andere instantie deze gegevens mag verstrekken. Het is immers niet toegestaan onrechtmatig verkregen gegevens te verwerken. Concreet betekent dit dat consulenten bij een inlichtingenverzoek moeten nagaan of de desbetreffende partij naar alle waarschijnlijkheid inlichtingen mag geven. Vragen staat niet vrij! Tot slot heeft het CBP geconstateerd dat zich soms de situatie voordoet dat consulenten op informele basis informatie uitwisselen met verschillende instanties. Het feit dat men gemakkelijk contact met elkaar opneemt over cliënten - ook al gebeurt dat met de bedoeling de cliënt te helpen - kan echter een ongerechtvaardige inbreuk op het recht op privacy van die cliënten tot gevolg hebben. De situatie waarin contactpersonen van de verschillende instanties elkaar persoonlijk kennen vraagt om heldere en zakelijke procedures voor de informatieverstrekking over en weer. 9

10 Geautomatiseerde omgeving Papier versus techniek In alle gemeenten werd er zowel met elektronische als papieren dossiers gewerkt. Daarbij was allereerst de vraag hoe de papieren dossiers zich verhouden tot de elektronische dossiers. Voor alle drie de gemeenten gold dat de inhoud van de papieren dossiers en de inhoud van de elektronische dossiers niet identiek aan elkaar waren. De elektronische dossiers bevatten minder gegevens. Voor de beoordeling van de noodzakelijkheid van de gegevensvastlegging kon daarom worden volstaan met de bestudering van de papieren dossiers. Geautomatiseerde verstrekkingen Onderzocht is welke geautomatiseerde verstrekkingen van en aan de sociale diensten hebben plaatsvonden. Dit was van belang om te bepalen of gegevens rechtmatig door de sociale diensten zijn verkregen en/of verstrekt. Voor wat betreft de geautomatiseerde verwerkingen heeft het CBP geen bijzonderheden geconstateerd. Dit is niet verwonderlijk gezien het feit dat, uitgezonderd de automatische gegevensvergelijking met de gemeentelijke basisadministratie (GBA), de systemen geen koppelingen hebben met systemen van externe organisaties. Andere verstrekkingen van of aan de sociale diensten gebeuren schriftelijk, middels een diskette, , cd-rom. Autorisatie Op grond van de WBP is B&W verplicht om technische en organisatorische maatregelen te nemen om persoonsgegevens te beveiligingen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Bij één sociale dienst werd geconstateerd dat er voor wat betreft de toekenning van autorisaties geen procedures ontwikkeld zijn. Het CBP is van oordeel dat een gedegen autorisatiebeleid aan de basis staat van een goed beveiligde geautomatiseerde omgeving. Zeker wanneer bij een gemeente de lijnen kort zijn en de samenwerking informeel is, is het noodzakelijk dat heldere en zakelijke procedures worden ontwikkeld. 10

11 Samenvatting van de belangrijkste aanbevelingen Noodzakelijkheid moet bij de verwerking van gegevens altijd het uitgangspunt zijn. Consulenten moeten zich telkens afvragen in hoeverre het opnemen van informatie in de dossiers over de medische situatie van de cliënt noodzakelijk is voor de uitvoering van de Abw. Op inlichtingenformulieren mag alleen die informatie aan de cliënt worden gevraagd die noodzakelijk is voor de uitvoering van de bijstandswet. Het is niet altijd noodzakelijk om kopieën van door de cliënt overlegde stukken in het dossier op te nemen. Volstaan kan dan worden met de aantekening dat betreffende informatie door de consulent is gezien. In dossiers dienen gesprekken en waarnemingen op een zakelijke en professionele manier te worden weergegeven. Het standaard opnemen van een machtigingsformulering in de inlichtingenformulieren is niet geoorloofd. De cliënt moet op de hoogte worden gesteld van het feit dat deze de mogelijkheid heeft om bezwaar te maken tegen het kopiëren van zijn identiteitsbewijs. Het controleren van uitgaven via bank- en giroafschriften is mogelijk als de cliënt vooraf wordt geïnformeerd over de mogelijkheid om uitgaven onleesbaar te maken. De cliënt dient op het recht te worden gewezen dat de cliënt, indien deze dat wenst, als eerste op de hoogte worden gesteld van de uitslag van een medisch onderzoek. Consulenten moeten bij een inlichtingenverzoek nagaan of desbetreffende persoon of instantie inlichtingen mag geven (en bijvoorbeeld niet gebonden is aan een beroepsgeheim). Het CBP beveelt aan heldere en zakelijke procedures op te stellen ten aanzien van informatieverstrekking en verkrijging. Een gedegen autorisatiebeleid staat aan de basis van een goed beveiligde geautomatiseerde omgeving. Ook hiervoor zijn heldere en zakelijke procedures noodzakelijk. 11