In deze brief behandel ik achtereenvolgens: 1. De situatie van gegevensverwerking binnen BJZ zoals u die beschrijft 2. De beantwoording van uw vragen

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN Verzoeker DATUM 14 januari 2002 CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Omgaan met persoonsgegevens binnen het Bureau Jeugdzorg In antwoord op uw bericht bericht ik u als volgt. U vraagt het College Bescherming Persoonsgegevens (CBP) of het omgaan met persoonsgegevens binnen het Bureau Jeugdzorg (BJZ) in de provincie, zoals u dat geconstateerd heeft, wel verenigbaar is met wettelijke bepalingen over het omgaan met persoonsgegevens en de bescherming daarvan. Op 1 september 2001 is de Wet bescherming persoonsgegevens (WBP) in werking getreden. De WBP stelt, als opvolger van de Wet persoonsregistraties, regels voor het omgaan met persoonsgegevens. Het CBP, voorheen Registratiekamer, houdt toezicht op de naleving van deze wetgeving. Het CBP neemt met instemming kennis van uw zorg met betrekking tot een zorgvuldige omgang met persoonsgegevens binnen het Bureau Jeugdzorg. De bescherming van het grondrecht is gebaat bij heldere, passende en rechtmatige gegevensverwerkingen. Zeker indien er meer spelers in het veld zijn, is het noodzakelijk dat in kaart wordt gebracht wie welke gegevens op welke grondslag mag verzamelen en verstrekken, waarbij rekening gehouden wordt met eventuele geheimhoudingsverplichtingen. Op de website van het CBP treft u de teksten van de WBP en, naast allerlei andere informatie over gegevensbescherming, ook de Handleiding voor verwerkers van persoonsgegevens aan, die u als het ware aan de hand meeneemt door de wet. Een toelichting op enkele voor het BJZ belangrijke artikelen, met een korte toelichting daarop, vindt u in een bijlage bij deze brief. In deze brief behandel ik achtereenvolgens: 1. De situatie van gegevensverwerking binnen BJZ zoals u die beschrijft 2. De beantwoording van uw vragen Uitgangspunt voor de beschrijving van de situatie alsmede de beantwoording van uw vragen is de door u aangedragen informatie. Het CBP heeft geen onderzoek gedaan naar de feiten. BIJLAGEN BLAD 1

2 1. De situatie van gegevensverwerking binnen BJZ zoals u die beschrijft Het Bureau Jeugdzorg zal met invoering van de nieuwe Wet op de jeugdzorg de toegang tot de jeugdzorg vormen. Op dit moment wordt al veel op die wijze gewerkt. Het BJZ is geen aanbieder van jeugdzorg, maar vertaalt de hulpvraag van jeugdigen in een indicatie voor de gewenste zorg. De aangemelde hulpvraag wordt gescreend en op basis daarvan wordt op individueel niveau besloten of de hulpbehoefte een verdere diagnose en indicatiestelling vereist. Ten behoeve van een indicatiestelling wordt de aangemelde problematiek besproken in een intaketeam. Onder aangemelde problematiek wordt verstaan persoonsgegevens over de hulpvrager waaronder in elk geval naam en geboortedatum alsook bijzondere persoonsgegevens als bedoeld in paragraaf 2 van de WBP, van verschillende aard. Het intaketeam bestaat uit vertegenwoordigers van de jeugdbescherming (justitie), jeugdhulpverlening (door provincie gefinancierd) en jeugd Geestelijke Gezondheidszorg (GGZ) welke onder de AWBZ valt. Het uitgangspunt voor sectorbrede vertegenwoordiging is de multidisciplinaire diagnostiek die met de nieuwe Wet op de jeugdzorg beoogd wordt. De vertegenwoordigers in het intaketeam hebben tevens een functie binnen de genoemde sectoren. Zij zijn medewerker van de vertegenwoordigde achterliggende sector maar worden wanneer zij werkzaam zijn in het intaketeam, ook beschouwd als medewerker van het BJZ. Door het bespreken van een hulpvraag in een multidisciplinair team wordt de hulpvrager en zijn problematiek direct binnen alle sectoren van de jeugdzorg bekend. Daarnaast is u gebleken dat voorkennis over de hulpvrager, meegebracht door de teamleden vanuit hun andere functie binnen de sector, wordt besproken in het intaketeam. Het betreft hier persoonsgegevens die verkregen zijn ter uitvoering van een geneeskundige behandelingsovereenkomst, dan wel in het kader van de jeugdhulpverlening. Een vaste procedure tot informeren van de cliënt over de werkwijze van het intaketeam, en het gebruik van persoonsgegevens daarbij, bestaat op dit moment niet. 2. Beantwoording van uw vragen Het CBP adviseert u om eerdergenoemde teksten te raadplegen bij het vormgeven van de informatiehuishouding van het BJZ. Met betrekking tot de specifieke vragen die u stelt kan het volgende worden opgemerkt. Uitwisseling van gegevens Het inrichten van de BJZ s heeft als doel het creëren van een herkenbaar, laagdrempelig en bekend punt voor aanmelding van en consultatie over vragen op het terrein van jeugdzorg. Het BJZ dient naar aanleiding van hulpvragen vast te stellen op welke vorm van jeugdzorg een cliënt aanspraak heeft. Bij de screening van de hulpvraag, de intake en de indicatiestelling dient voldoende expertise uit de verschillende vormen van jeugdzorg, waaronder jeugd-ggz, beschikbaar te zijn. BLAD 2

3 Het ligt voor de hand dat de beoogde opzet en werkwijze meer dan voorheen zal leiden tot meer uitwisseling van gegevens, waaronder persoonsgegevens, tussen de verschillende vormen van jeugdzorg waarvoor het BJZ als het ware het front-office vormt. Het inrichten van een BJZ betekent echter niet dat een onbeperkte uitwisseling van persoonsgegevens kan plaatsvinden tussen deze verschillende vormen van jeugdzorg en tussen het BJZ en de zorgverlenende instellingen. De regels voor een behoorlijke en zorgvuldige omgang met persoonsgegevens zoals de WBP die geeft, en de geheimhoudingsplicht die voortvloeit uit ambt beroep of wettelijk voorschrift, verwoord in de WGBO en de Wet op de Jeugdhulpverlening, te zijner tijd in de Wet op de Jeugdzorg, moeten daarbij in acht genomen worden. Is de informatiehuishouding van een BJZ volgens deze regels opgezet, dan zal het niet zo kunnen zijn dat bij bespreking van de hulpvraag in een multidisciplinair intaketeam, de gegevens van de hulpvrager direct binnen alle sectoren van de jeugdzorg bekend zijn. Het is immers niet verdedigbaar dat het voor alle sectoren noodzakelijk zou zijn om over die gegevens te beschikken, laat staan om die vast te leggen en al evenmin dat verstrekking van de gegevens aan, en vastlegging door alle sectoren, verenigbaar zou zijn met het doel waarvoor de gegevens zijn verzameld, alsmede met geheimhoudingsverplichtingen van de intakers. Informatieverplichting Aannemend dat het BJZ gegevens bij hulpvragers zal verzamelen ten behoeve van screening van de hulpvraag en ten behoeve van intake en indicatiestelling, zal het die gegevens kunnen verzamelen en gebruiken die daarvoor noodzakelijk zijn. Die gegevens zijn (deels) misschien ook noodzakelijk voor zorgtoewijzing en zorgverlening. Verstrekking van die gegevens die daarvoor noodzakelijk zijn, is onder voorwaarden mogelijk. Een belangrijke voorwaarde is, dat hulpvragers van de werkwijze bij de gegevensverstrekking vooraf op de hoogte zijn gebracht. Transparantie is een belangrijk uitgangspunt in de WBP. Dit betekent: het verstrekken van informatie over de doeleinden van de verwerking van persoonsgegevens en over de identiteit van degene die daarvoor verantwoordelijk is of zijn aan de betrokkene. Degene aan wie gegevens verstrekt worden moet bovendien direct betrokken zijn bij de aan de betrokken jeugdige aan te bieden zorg. Gelet op het feit dat het BJZ vaak gegevens verwerkt van bijzondere (gevoelige) aard, op het feit dat de hulpvrager vaak van het BJZ afhankelijk is voor het krijgen van hulp en op de ingrijpende aard van de beslissingen die op grond van de gegevens genomen kunnen worden, mag van het BJZ worden verwacht dat het de hulpvrager bij het verkrijgen van de gegevens duidelijk informeert over wat er verder met die gegevens (die de hulpvrager zelf verstrekt) zal of kan gebeuren. Dubbelfuncties Een informatiehuishouding die voldoet aan de eisen die de verschillende wettelijke regels WBP, WGBO en Wet op de jeugdhulpverlening stellen, zal ook rekening houden met het feit dat medewerkers binnen de verschillende vormen van jeugdzorg een zwijgplicht kunnen hebben. Het hebben van een dubbelfunctie door vertegenwoordigers in het intaketeam kan met name in de situatie dat de hulpvrager reeds bekend is bij een van de intakers tot complicaties leiden. De betreffende medewerkers dreigen daardoor regelmatig te worden geconfronteerd met een bijna BLAD 3

4 onoplosbaar dilemma. Komen in het intaketeam eigen cliënten van de medewerker ter sprake dan heeft hij enerzijds te maken met de onverkort geldende eisen van het beroepsgeheim, anderzijds met de verwachting, mogelijk ook de neiging, om kennis en informatie over de hulpvrager die al eerder is verkregen bij de intake te gebruiken. Eén oplossing voor dit probleem zou kunnen zijn dat aan het intaketeam uitsluitend medewerkers deelnemen zonder dubbelfunctie. Een andere mogelijkheid die misschien meer aansluit bij de bedoeling van het BJZ, zou kunnen zijn dat direct bij het eerste contact met de hulpvrager wordt gevraagd naar eerdere ervaringen met vormen van jeugdzorg. Op basis daarvan kan de samenstelling van het intaketeam gekozen worden en vertegenwoordigers van een bekende instelling worden uitgesloten van het team. Mocht onverhoopt toch een intaker aangewezen zijn die bekend is met de naam van de hulpvrager, dan kan deze zich veschonen van deelname, voordat het team bijeenkomt, zodat een ander aangewezen kan worden. Tevens kan, als het bij eerdere ervaringen om zorg ging waarbij een zwijgplicht aan de orde is, bijvoorbeeld in het kader van een geneeskundige behandelingsovereenkomst, tijdens dat eerste contact met BJZ toestemming worden gevraagd om informatie in te winnen bij de behandelaar wanneer die informatie het intaketeam noodzakelijk lijkt. Dit vragen van toestemming bij het eerste contact met de hulpvrager is ook gebruikelijk, zelfs voorgeschreven, in het kader van de indicatiestelling voor AWBZ-zorg (artikel 5 Zorgindicatiebesluit). Bij doorverwijzing naar het intaketeam door (een instelling binnen) één van de sectoren mag worden aangenomen dat deze eveneens plaatsvindt met inachtneming van de eisen van het beroepsgeheim. Toestemming voor het verstrekken van de gegevens aan het intaketram betekent niet dat daarmee tevens toestemming is gegeven voor verdere verstrekkingen. Steeds zal moeten worden bezien of daarvoor opnieuw toestemming nodig is. Verantwoordelijkheid Hiervoor kwam het belang van informatieverstrekking aan de hulpvrager al aan de orde. Voorwaarde voor die informatieverstrekking is, dat binnen het BJZ zelf duidelijkheid bestaat over werkwijzen en procedures. Ook moet duidelijk zijn wie verantwoordelijk is voor welke gegevensverwerkingen. Niet alleen moet de hulpvrager daarover bij het verzamelen van gegevens worden geïnformeerd, het moet ook duidelijk zijn tot wie hij zich kan wenden voor het uitoefenen van zijn rechten. Duidelijkheid over verantwoordelijkheden is ook in andere opzichten van belang. De persoon of rechtspersoon die verantwoordelijk is voor een verwerking van persoonsgegevens is verplicht die te melden bij het CBP. Veronachtzaming van die verplichting kan leiden tot het opleggen van een boete door het CBP. De verantwoordelijke is daarnaast verplicht om zorg te dragen voor het naleven van de verplichtingen die in de WBP zijn opgenomen en is aansprakelijk voor schade die voortvloeit uit nalatigheid in dit opzicht. Eén van die verplichtingen die tot nu toe nog niet is genoemd, is de verplichting om de verwerking van gegevens te beveiligen. BLAD 4

5 Praktische aanknopingspunten voor het omgaan met persoonsgegevens binnen een BJZ zijn mogelijk te vinden in de A&V-studie Doelbewust volgen dat de Registratiekamer in 1998 heeft gepubliceerd, met name in het onderdeel Aandachtspunten. Op het punt van beveiliging is lezing van het rapport Beveiliging van persoonsgegevens. Dit laatste rapport is al geheel gebaseerd op de WBP. Beide rapporten zijn te vinden op de website van het CBP ( respectievelijk onder Gezondheid/welzijn en ICT). Mochten er na bestudering van de relevante stukken nog onduidelijkheden bestaan dan kunt u met mevrouw Krabben contact opnemen. Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, mr. U. van de Pol Collegelid BLAD 5

6 Bijlage wettelijk kader Het CBP heeft op grond van artikel 51 WBP tot taak toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de wet bepaalde. Op grond daarvan geeft het CBP ook advies en voorlichting ten aanzien van privacyvraagstukken. Een persoonsgegeven is elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (artikel 1 sub a WBP). Overeenkomstig artikel 2 WBP is de WBP van toepassing als er sprake is van een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede van een niet geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Op grond van artikel 7 WBP worden persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen verzameld. Artikel 8 WBP geeft aan op welke grondslagen persoonsgegevens verwerkt mogen worden. Een van die grondslagen is toestemming. Een andere is dat de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is. Een grondslag voor verwerking van persoonsgegevens kan ook zijn dat die noodzakelijk is voor de uitvoering van een publiekrechtelijke taak door een bestuursorgaan of het gerechtvaardigd belang van de verantwoordelijke. Het begrip noodzakelijk is enger dan nuttig, nodig, handig of gewenst. Van noodzakelijk is sprake als de volgende vragen ontkennend kunnen worden beantwoord: kan het doel dat met de verwerking wordt nagestreefd ook langs andere weg zonder verwerking worden bereikt? is de verwerking in de mate die is beoogd niet onevenredig aan het nagestreefde doel? Artikel 9, eerste lid WBP stelt vervolgens als eis dat persoonsgegevens niet verder worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Het BJZ verwerkt persoonsgegevens voor uiteenlopende doeleinden. In dergelijke gevallen wordt de doelstelling of het betrokken onderdeel daarvan onder meer ingekleurd door wat uit de onderliggende (rechts)verhouding met de hulpvrager voortvloeit. In het licht hiervan is het van belang dat persoonsgegevens niet worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor zij in het kader van de verschillende taken zijn verkregen. Uitgangspunt is dat gegevens die voor een bepaald doel zijn verzameld, niet voor andere taakonderdelen worden gebruikt die met het doel waarvoor de gegevens zijn verzameld onverenigbaar zijn. Artikel 9, vierde lid, WBP bepaalt dat de verwerking van persoonsgegevens achterwege dient te blijven voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift BLAD 6

7 daaraan in de weg staat. In casu betekent dit dat eerst gekeken moet worden naar de WGBO, te weten artikel 7:457 BW en artikel 43 van de Wet op de jeugdhulpverlening. Artikel 7:457 BW stelt dat de hulpverlener ervoor dient te zorgen dat aan anderen dan de patiënt geen informatie of inzage wordt gegeven met betrekking tot het medisch dossier, tenzij het om een vervanger van de hulpverlener gaat, de wet tot verstrekking van gegevens verplicht, er sprake is van rechtstreeks bij de behandeling betrokkenen of van toestemming van de patiënt. Artikel 43 van de Wet op de jeugdhulpverlening stelt dat door de uitvoerder en de plaatsende instantie aan anderen dan de jeugdige geen inlichtingen over de jeugdige, dan wel inzage in of afschrift van de bescheiden mogen worden verstrekt, dan met toestemming van de jeugdige. Onder anderen dan de jeugdige zijn niet begrepen degene die beroepshalve noodzakelijk bij de hulpverlening is betrokken, degene die betrokken is bij de uitvoering of voorbereiding van een maatregel van kinderbescherming alsmede wettelijk vertegenwoordigers tot een bepaald moment. Een verder vereiste voor behoorlijke en zorgvuldige gegevensverwerking is, dat is voldaan aan de informatieverplichting die een verantwoordelijke op grond van de artikelen 33 en 34 WBP heeft. Deze verplichting houdt in dat, als persoonsgegevens worden verkregen van de betrokkene zelf, deze er minimaal over geïnformeerd wordt wie verantwoordelijk is of zijn voor de verwerking van de gegevens en de doeleinden waarvoor de gegevens verwerkt worden. Er dient meer informatie te worden verstrekt als dat nodig om te waarborgen dat de gegevens op een behoorlijke en zorgvuldige manier worden verwerkt. Worden de gegevens niet van de betrokkene zelf verkregen maar van een derde, dan dient dezelfde informatie te worden verstrekt op het moment van vastlegging van de gegevens. Zijn de gegevens bestemd om aan derden te worden verstrekt, dan moet de informatie gegeven worden uiterlijk op het moment van de eerste gegevensverstrekking. BLAD 7