College bescherming persoonsgegevens (Cbp)

Over het wetsvoorstel is advies uitgebracht door het Cbp¹⁰⁰. Daarin wordt opgemerkt dat naast de Jeugdwet ook nog decentralisaties voorbereid worden van voorzieningen op het terrein van de AWBZ naar de Wmo en op het terrein van werk en inkomen. Het Cbp constateert dat hiermee een betere samenhang in de te leveren hulp en ondersteuning door gemeenten wordt beoogd, maar dat nog niet concreet te duiden is welke gevolgen dit heeft voor de gegevensverwerking omdat gemeenten nog vorm moeten geven aan de uitvoering en het wetsvoorstel slechts kaders biedt.

Wel voorziet het Cbp dat veel persoonsgegevens zullen worden verwerkt en uitgewisseld en het Cbp constateert daarbij dat het wetsvoorstel leidt tot de volgende risico’s voor de

gegevensverwerking:

bovenmatig uitwisselen van persoonsgegevens, door het koppelen van informatiebestanden;

gebruik van gegevens voor een ander doel dan waarvoor zij zijn verkregen, door het

samenkomen van informatie bij gemeenten in combinatie met de ontschotting van domeinen;

beveiligingsproblemen, door de grote hoeveelheden persoonsgegevens over verschillende onderwerpen.

Waarborgen voor een zorgvuldige gegevensverwerking

Het Cbp constateert dat nog niet gebleken is dat gemeenten en andere betrokken partijen al maatregelen nemen om deze risico’s te ondervangen en adviseert daarom gemeenten wettelijk te verplichten een privacy impact analyse (PIA) uit te voeren. Daarbij zouden ook de andere partijen die gegevens zullen gaan verwerken in het kader van de Jeugdwet, betrokken moeten worden. Het Cbp adviseert bovendien om gemeenten wettelijk te verplichten om regelmatige audits uit te voeren, waarmee wordt gecontroleerd of aan de bepalingen van de Wbp en aanverwante wetgeving wordt voldaan.

Dat dit wetsvoorstel een toename van verwerking van persoonsgegevens teweeg brengt en dat samen met de andere twee genoemde decentralisaties, gemeenten voor verschillende doeleinden gegevens zullen gaan werken, zijn belangrijke redenen om speciale aandacht te besteden aan waarborgen voor een veilige en zorgvuldige gegevensverwerking. Omdat gemeenten nog vorm moeten geven aan de uitvoering en het wetsvoorstel slechts kaders biedt, is op dit moment onvoldoende te beoordelen hoe groot de risico’s zijn waar het Cbp op wijst.

In aanvulling op de Wbp geeft dit wetsvoorstel regels voor de uitwisseling en verwerking van persoonsgegevens voor alle terreinen die deze wet beslaat. Het betreft preventie, alle jeugdhulp, het AMHK en de uitvoering van kinderbeschermingsmaatregelen en de jeugdreclassering. Deze regels zien niet op bijvoorbeeld maatschappelijke ondersteuning, onderwijs of schuldsanering.

Regels voor de verwerking van persoonsgegevens in die domeinen zijn te vinden in de wetgeving die betrekking heeft op die onderwerpen. Natuurlijk kan het zo zijn dat een ambtenaar bij een gemeente verschillende dossiers onder zijn hoede heeft (‘verschillende petten heeft’) en daarmee toegang tot de verschillende gegevensstromen van bijvoorbeeld de jeugdhulp en schuldsanering.

Daarbij moeten we ervan uitgaan dat hij hiermee prudent en met inachtneming van de Wbp en de

100 Advies Cbp van 5 maart 2013 (kenmerk z2013-00048).

94 overige toepasselijke wetgeving zal omgaan. Vooralsnog zien wij geen noodzaak om aanvullende bepalingen op te nemen inzake de verwerking van persoonsgegevens.

Hierbij verdient het opmerking dat gemeenten al ervaring hebben met het verwerken van persoonsgegevens van hun burgers. Daarbij zijn zij gebonden aan de Wbp en aanverwante

wetgeving. Zo zijn de colleges al verantwoordelijk voor de verwerking van de persoonsgegevens in de geautomatiseerde basisadministratie op grond van de Wet gemeentelijke basisadministratie persoonsgegevens (Wet GBA). In dat verband zijn zij al gehouden om eens per drie jaar door een auditinstelling de juistheid van de in de basisadministratie opgenomen gegevens te laten

controleren evenals de uitvoering van de regels over de technische en administratieve inrichting en werking en de beveiliging van de basisadministraties. Het verdient aanbeveling dat colleges een dergelijke audit overwegen in het kader van de uitvoering van de Jeugdwet. Maar aangezien de uitvoering van deze wet en de naleving van de regelgeving inzake verwerking van

persoonsgegevens een verantwoordelijkheid is van de colleges, acht de regering het niet aangewezen colleges hiertoe bij wet te verplichten. Ook voor de jeugdhulpaanbieders en gecertificeerde instellingen geldt dat zij aandacht dienen te besteden aan veilige en zorgvuldige gegevensverwerking, op grond van deze wet, maar ook op grond van de Wbp. Het uitvoeren van een audit betreffende de verwerking van persoonsgegevens, zal daarom niet beperkt hoeven te zijn tot de verwerking door de gemeente, maar is het ook raadzaam daar de jeugdhulpaanbieders en gecertificeerde instellingen bij te betrekken.

Ook betreffende het advies om een PIA wettelijk voor te schrijven aan gemeenten, geldt dat de regering dit niet aangewezen acht bij een stelselherziening waarbij uitdrukkelijk

verantwoordelijkheden gedecentraliseerd worden. Zonder twijfel zijn gemeenten verantwoordelijk voor een veilige en zorgvuldige verwerking van persoonsgegevens, maar de regering acht het niet noodzakelijk om in het wetsvoorstel een PIA op te leggen aan deze medeoverheid.

Het Cbp heeft op 19 februari 2013 Richtsnoeren beveiliging van persoonsgegevens gepubliceerd om duidelijk te maken wat het van de beveiliging van persoonsgegevens verwacht¹⁰¹. Deze richtsnoeren worden van harte aanbevolen als leidraad voor passende technische en

organisatorische maatregelen voor een veilige en zorgvuldige verwerking van persoonsgegevens.

VIR en gezinsfunctionaliteit

Het Cbp merkt op dat bij de beoordeling van de proportionaliteit van de gezinsfunctionaliteit in het licht van artikel 8 EVRM geen aandacht wordt besteed aan de effectiviteit van de VIR zoals deze thans functioneert. Daarbij zou de evaluatie die inmiddels heeft plaatsgevonden, moeten worden betrokken.¹⁰² In reactie op deze terechte opmerkingen, is aan paragraaf 10.3.2 een passage toegevoegd die ingaat op de effectiviteit van de huidige VIR en daarbij worden ook de resultaten van de evaluatie betrokken.

Gebruik BSN

Het Cbp merkt op dat het doel van het gebruik van het BSN, namelijk het waarborgen van een betrouwbare verwerking van persoonsgegevens, slechts kan worden bereikt indien bij het eerste contact de jeugdige verplicht wordt geïdentificeerd. Het Cbp adviseert daarom een

identificatieplicht als voorwaarde voor het gebruik van het BSN op te nemen in het wetsvoorstel.

Artikel 12 van de Wabb bepaalt dat de gebruiker zich bij het gebruik van het bsn ervan moet vergewissen dat het bsn betrekking heeft op de persoon wiens gegevens hij verwerkt. Zoals uit de memorie van toelichting op het wetsvoorstel Wabb¹⁰³ blijkt, is deze vergewisplicht in het leven geroepen om misbruik van het bsn te voorkomen en kan deze vergewisplicht op uiteenlopende manieren kan worden vormgegeven.

Zo kan de hulpverlener eenvoudigweg de jeugdige kennen uit een eerder contact. Afhankelijk van de aard van de hulpverlening, kan zo'n herkenning afdoende zijn of onvoldoende zijn. In een aantal gevallen zal de vergewisplicht nauwe overeenkomsten vertonen met de in de Wbsn-z geregelde plicht tot identificatie met een document als bedoeld in artikel 1 van de Wet op de

identificatieplicht. Het wordt aan de betrokken partijen overgelaten vorm te geven aan de vergewisplicht die in proportie staat tot de ondersteuning, hulp of zorg die zij verlenen. In het

101 http://www.cbpweb.nl/downloads_rs/rs_2013_richtsnoeren-beveiliging-persoonsgegevens.pdf.

102 Kamerstukken II 2012/13, 31 839, nr. 256.

103 Kamerstukken II 2005/06, 30 312, nr. 3, p. 35.

95 voorgaande is een opschaling in de uitvoering van de vergewisplicht te lezen. Naar mate de ernst van de geboden zorg toeneemt, neemt ook het gewicht van wijze waarop de vergewisplicht wordt uitgevoerd toe. Bij lichte vormen van ondersteuning, kan herkenning voldoende zijn, terwijl bij zwaardere vormen van zorg identificatie noodzakelijk kan zijn (zie ook paragraaf 10.3.3).

Dossier

In zijn advies merkt het Cbp op dat het wenselijk is om in de toelichting bij artikel 7.3.8, waarin de dossierplicht is opgenomen, aandacht te besteden aan artikel 11, tweede lid, van de Wbp. In dat artikel is bepaald dat de verantwoordelijke de nodige maatregelen treft opdat persoonsgegevens juist en nauwkeurig zijn. Hieraan is gehoor gegeven. Tevens is naar aanleiding van opmerkingen van het Cbp daarover, in de toelichting bij artikel 7.3.8 aandacht besteed aan de brochure Waarheidsvinding in de jeugdzorg van het LCFJ¹⁰⁴ en wordt gewezen op artikel 7.3.11, vierde lid, de grondslag voor het vastleggen van een gestandaardiseerde verwerking van gegevens; dit zal bijdragen aan een juiste en nauwkeurige verwerking van persoonsgegevens.

Voorts is bij artikel 7.3.8 aandacht geschonken aan het feit dat in het dossier eventueel alleen gegevens van derden (bijvoorbeeld de ouders of andere gezinsleden van de jeugdige) mogen worden opgenomen, indien dat voor de hulpverlening aan de jeugdige noodzakelijk is. Hiermee is ook duidelijk dat op grond van dit wetsvoorstel geen sprake kan zijn van een ‘gezamenlijk dossier’.

13.2.3. Actal

Actal vindt het wetsvoorstel op het punt van reductie van regeldruk te weinig ambitieus. Actal adviseert in het wetsvoorstel een kwantitatieve netto reductiedoelstelling op te nemen, hierover afspraken te maken met gemeenten en inspecties en de regeldrukgevolgen voor burgers, professionals en bedrijven volledig inzichtelijk te maken.

Op het punt van toezicht, verantwoordingsinformatie en beleidsinformatie adviseert Actal de toegevoegde waarde van de verschillende toezichtsinstrumenten inzichtelijk te maken, te komen tot één set van verantwoordingsinformatie met uniforme en heldere definities en de door het Rijk gevraagde beleidsinformatie te beperken tot de resultaten (outcome indicatoren) van de verleende jeugdhulp. Actal adviseert ook om de mogelijkheid van informatie-uitwisseling tussen zorgverleners in het belang van het kind wettelijk te verankeren, invulling te geven aan de norm van kwaliteit, de regels rond certificering zomin mogelijk administratief te belasten, de logboekverplichting in het kader van de VIR te schrappen en de grens van tien cliënten voor een cliëntenraad te bezien.

Verder vindt Actal het van belang dat ten minste een half jaar vóór inwerkingtreding van deze wet alle verplichtingen voor jeugdinstellingen, jongeren, ouders en professionals vaststaan en bekend zijn gemaakt.

Met Actal is de regering van oordeel dat vermindering van administratieve lasten voor burgers, bedrijven en professionals één van de doelen is van de drie decentralisaties in het sociale domein.¹⁰⁵ Het is van belang dat burgers met complexe problematiek terecht kunnen bij één aanspreekpunt. Ook wil de regering belemmerende regeldruk voor bedrijven voorkomen. Zo kunnen de decentralisaties bijdragen aan de kabinetsdoelstelling om de regeldruk voor burgers, bedrijven en professionals te verlagen.

Dit wetsvoorstel heeft als doel het stelsel van jeugdhulp te vereenvoudigen en effectiever te maken. De ontschotting van budgetten maakt integrale ondersteuning van jeugdigen en gezinnen mogelijk volgens het uitgangspunt ‘één gezin, één plan, één regisseur’. Het ligt in de rede dat hierdoor de administratieve lasten voor zowel burgers als voor professionals en

jeugdhulpaanbieders worden verlaagd. De regering neemt het advies niet over om de stelselwijziging jeugd van kwantificeerbare doeleinden te voorzien. Dit past niet goed in de beleidsvrijheid van gemeenten om invulling te geven aan de verantwoordelijkheden op grond van dit wetsvoorstel, noch in de beoogde reductie van verantwoordingslasten van gemeenten.

104 http://www.lcfj.nl/files/6405/lcfj_waarheidsvinding_web.pdf

105 Zie de eerdergenoemde Decentralisatiebrief van 19 februari 2013.

96 Gegeven de stand van wetenschap over de effectiviteit van bestaande interventies kan evenmin het advies worden opgevolgd om outcomedata te verzamelen op het niveau van individuele cliënten. Dit levert weinig op en zou eerder tot vergroting van administratieve lasten leiden.

Naar aanleiding van opmerkingen van Actal over artikel 7.1.2.3, eerste lid, onder f, over het logboek dat onderdeel uitmaakt van de VIR, zij het volgende opgemerkt. De VIR is een landelijk elektronisch systeem, waarin persoonsgegevens alsmede andere gegevens worden verwerkt (zie artikel 7.1.2.1). Artikel 7.1.2.3 regelt vervolgens welke elementen deel uitmaken van de VIR en daar wordt ook genoemd ‘een logboek dat registreert welke meldingsbevoegde wanneer een jeugdige aan de verwijsindex heeft gemeld, hem daaruit heeft verwijderd of een signaal heeft ontvangen.’ In tegenstelling tot wat Actal veronderstelt, betreft dit geen papieren verantwoording in een logboek. Net als de overige elementen van de VIR is dit een elektronisch systeem.

Voor jeugdhulpaanbieders en gecertificeerde instellingen geldt op grond van deze wet de verplichting om een cliëntenraad in te stellen. Voor aanbieders van jeugdzorg en van zorg gold deze verplichting reeds. De Jeugdwet introduceert nu een ondergrens voor deze eis; slechts wanneer het een organisatie of organisatorisch onderdeel betreft met in de regel door meer dan tien personen, is een cliëntenraad verplicht (zie artikel 4.2.4). Actal heeft geadviseerd kritisch te kijken naar de grens van tien cliënten inzake de verplichte cliëntenraad. Voor de duidelijkheid zij vermeld dat voorgesteld wordt een grens van tien medewerkers te hanteren. De introductie van deze ondergrens is juist bedoeld om de administratieve belasting voor aanbieders en instellingen te beperken en de regering is daarom van mening dat hierdoor geen disproportionele belasting ontstaat.

Naar aanleiding van het advies van Actal om te expliciteren dat de jeugdhulpaanbieder en de gecertificeerde instelling aan de cliëntenraad de nodige gegevens ook digitaal kan verstrekken, is het woord ‘schriftelijk’ geschrapt uit artikel 4.2.8 en is in de toelichting aangevuld dat het voor de hand ligt dat de verstrekking veelal schriftelijk of digitaal plaatsvindt.

Naar aanleiding van het advies van Actal is deze toelichting op verschillende onderdelen

aangescherpt en verduidelijkt. Zo is vermindering van administratieve lasten nu expliciet verwoord als doel van de stelselwijziging (hoofdstuk 1), standaardisatie van gevraagde gegevens het

vertrekpunt (paragraaf 10.3) en draagt het jaardocument jeugdhulp bij aan reductie van verantwoordingslasten voor jeugdhulpaanbieders (paragraaf 11.6). Ook het vervallen van

verplichte melding, die een zorgaanbieder aan bureau jeugdzorg moet doen bij het in zorg nemen van een cliënt, draagt bij aan vermindering van administratieve lasten (paragraaf 10.5). Dat geldt ook voor de wijze waarop gemeenten worden ondersteund – ondermeer met handreikingen voor opdrachtgeverschap – in hun voorbereiding op de stelselwijziging (paragraaf 11.3).