De verwerking van persoonsgegevens is alleen mogelijk (en rechtmatig) als aan één van de voorwaarden wordt voldaan uit artikel 6 van de AVG. De AVG kent zes verschillende grondslagen. Bij samenwerking bij casuïstiek in het zorg- en
veiligheidsdomein zijn vooral de grondslagen c en e belangrijk. Voor de volledigheid worden wel alle grondslagen in de volgende paragrafen nader uitgewerkt.
GRONDSLAGEN
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn of haar persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de
Definitief | Gegevensuitwisseling GGZ in de Wlz | 25 november 2019
sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag die aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de
gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de
fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
8.4.1 Toestemming
Persoonsgegevens mogen worden verwerkt als de betrokkene hiervoor toestemming heeft gegeven. Om te spreken van geldige toestemming, moet de toestemming aan een aantal voorwaarden voldoen. De voorwaarden van toestemming zijn uitgewerkt in artikel 7 AVG.
Vrij
Ten eerste moet de toestemming vrij gegeven zijn. Dit houdt in dat iemand daadwerkelijk de keuze moet hebben om te weigeren, zonder dat hier negatieve consequenties aan verbonden zijn. Met name wanneer er sprake is van een afhankelijkheidsrelatie, bijvoorbeeld in de arbeidssfeer of in de relatie overheid-burger, zal toestemming niet snel vrij zijn gegeven.
Specifiek en geïnformeerd
Ten tweede moet toestemming specifiek zijn en geïnformeerd. De betrokkene moet geïnformeerd worden over de reden(en) van de verwerking van de
persoonsgegevens (het doel), maar ook over andere zaken die van belang zijn om te zorgen dat de betrokkene een goed geïnformeerd besluit kan nemen. Hierbij valt te denken aan de manier waarop de persoonsgegevens verwerkt worden, aan wie de persoonsgegevens eventueel verstrekt worden en hoe lang de gegevens bewaard worden. Voor iedere verstrekking dient opnieuw toestemming te worden gevraagd. Algemene toestemmingsverklaringen zijn niet toegestaan.
Ondubbelzinnig
Tenslotte moet toestemming ondubbelzinnig zijn. Er mag geen twijfel bestaan over het feit dat de betrokkene toestemming heeft gegeven. De bewijslast ligt bij de verwerkingsverantwoordelijke. Toestemming kan blijken uit een ondubbelzinnige wilsuiting of uit een ondubbelzinnige, actieve handeling van de betrokkene. Als toestemming wordt gegeven in het kader van een schriftelijke verklaring die ook op andere aangelegenheden betrekking heeft, moet aan de betrokkene in duidelijke en eenvoudige taal het onderscheid aangegeven worden tussen dat waarvoor de betrokkene toestemming geeft en de andere aangelegenheden.
Intrekken
De betrokkene mag te allen tijde zijn of haar toestemming intrekken. Deze intrekking heeft geen invloed op de legitimiteit van de verwerkingen vóór de
intrekking, maar vanaf het moment dat iemand zijn toestemming intrekt, mogen de persoonsgegevens niet meer worden verwerkt. De betrokkene dient van dit recht op de hoogte gesteld te worden voordat hij of zij toestemming heeft verleend voor de
Definitief | Gegevensuitwisseling GGZ in de Wlz | 25 november 2019
verwerking van de persoonsgegevens. De intrekking van de toestemming is geregeld in artikel 7 AVG.
In artikel 8 AVG worden extra voorwaarden genoemd voor de toestemming in de gevallen dat er persoonsgegevens van minderjarigen verwerkt worden:
Wanneer het kind jonger is dan 16 jaar, is verwerking slechts rechtmatig indien ook de wettelijke vertegenwoordiger(s) toestemming hebben gegeven.
Met inachtneming van de beschikbare technologie doet de
verwerkingsverantwoordelijke redelijke inspanningen om in dergelijke gevallen te controleren of de persoon die wettelijke vertegenwoordiger(s) is, toestemming heeft gegeven of een machtiging tot toestemming heeft verleend.
8.4.2 Uitvoeren van een overeenkomst
Deze grondslag kan gebruikt worden als voor het uitvoeren/naleven van een overeenkomst het verwerken van persoonsgegevens noodzakelijk is. De
overeenkomst zelf mag niet gericht zijn op het verwerken van persoonsgegevens, maar moet een ander doel hebben. Een voorbeeld is het aangaan van een
huurovereenkomst.
8.4.3 Wettelijke verplichting
Deze grondslag ziet op een uitdrukkelijk in de wet vastgelegd voorschrift. Zo is bijvoorbeeld in de Jeugdwet opgenomen dat een jeugdzorgwerker een dossier moet aanleggen en de gegevens mag vastleggen die relevant zijn voor de jeugdhulp. In de Wet op de schuldhulpverlening staat dat bestuursorganen verplicht zijn om relevante gegevens voor de schuldhulpverlening te verstrekken aan het College van burgemeester en wethouders.
8.4.4 Vitale belangen van de betrokkene
Het gaat hier om de situatie dat gegevensverwerking noodzakelijk is om een levensbelang of ander vitaal gezondheidsbelang van de betrokkene te beschermen en het niet mogelijk is om deze persoon om toestemming te vragen. Deze grondslag is van toepassing wanneer er sprake is van acuut gevaar en/of de betrokkene bewusteloos is en niet in staat is om toestemming te geven.
8.4.5 Vervulling van een taak van algemeen belang/ taak uitoefening van het openbaar gezag
Het gaat hier om (overheids-) taken die de wet uitdrukkelijk heeft opgedragen aan de verwerkingsverantwoordelijke. Bijvoorbeeld de wettelijke taak van het College van burgemeester en wethouders om te beslissen over een voorziening voor maatschappelijke ondersteuning. De verwerking moet in deze gevallen altijd een grondslag hebben in een (materie) wet, waarin ook het doel van de verwerking staat. In die wet moet zijn vastgesteld wie de taak uitvoert of aan wie het openbaar gezag is opgedragen. Dit kunnen zowel publiekrechtelijke als privaatrechtelijke organisaties zijn.
8.4.6 Gerechtvaardigde belangen
Een overheidsinstantie mag zich niet op deze grondslag baseren maar mag enkel op grond van een andere grondslag gegevens verwerken. Andere instanties kunnen zich enkel op deze grondslag baseren als aan drie voorwaarden wordt voldaan: er is een gerechtvaardigd belang, de verwerking is noodzakelijk en er is een afweging gemaakt tussen de eigen belangen en de belangen van de personen van wie de persoonsgegevens worden verwerkt waaruit is gebleken dat het gerechtvaardigde
Definitief | Gegevensuitwisseling GGZ in de Wlz | 25 november 2019
belang van de verwerkingsverantwoordelijke zwaarder weegt dan het belang van de betrokkene op de bescherming van zijn persoonsgegevens.