AUTORITEIT
PERSOONSGEGEVENS

Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.ni

De Minister van VWS
De heer H.M. de Jonge
Postbus 20350
2500 EJ DEN HAAG

Datum

Ons kenmerk

13 augustus 2020

z2020-5670

Uw brief van
"—

Contactpersoon

Uw kenmerk

Onderwerp
Advies wetsvoorstel Meervoudige problematiek sociaal domein

Geachte heer De Jonge,
Bij briefvan 20 maart 2020 is de Autoriteit Persoonsgegevens (AP) op grond van het bepaalde in artikel
36, vierde lid, van de Algemene verordening gegevensbescherming (AVG), geraadpleegd over het concept
voor Wijziging van de Wet maatschappelijke ondersteuning 2015 en enkele andere wetten met het oog op
een integrale en gecoördineerde aanpak bij meervoudige problematiek en de daarvoor benodigde
gegevensverwerking (hierna: het concept).
De AP heeft bezwaar tegen het concept en adviseert de procedure niet voort te zetten, tenzij het bezwaar is
weggenomen.

Hoofdlijn
1. Het uitgangspunt van het wetsvoorstel is dat meervoudige problematiek wordt aangepakt in
samenspraak met de cliënt. De cliënt heeft dan dus ook zeggenschap over de gegevens die over hem
worden uitgewisseld. Dit uitgangspunt wordt echter verlaten indien sprake is van ernstige problematiek:
dan wordt de cliënt zo mogelijk betrokken bij de aanpak van het probleemonderzoek. Het begrip "ernstige
problematiek" wordt echter niet gedefinieerd in het wetsvoorstel. Gezien de cruciale rol die het begrip
"ernstige problematiek" speelt in het concept adviseert de AP een definitie van "ernstige problematiek" op
te nemen.
2. Elke "partij" kan bij het onderzoek naar meervoudige problematiek (en bij de daarbij behorende
gegevensuitwisseling) worden betrokken. Een "partij" is gedefinieerd als een persoon ofinstantie die
werkzaam is op het gebied van het sociaal domein of aanpalende domeinen. Omdat (ook) deze
"domeinen" zeer breed zijn gedefinieerd, zijn potentieel zeer veel partijen betrokken (en op de hoogte van

1

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

de cliëntgegevens). De AP adviseert te begrenzen welke partijen bij het onderzoek kunnen worden
betrokken.
3. In diverse bepalingen wordt de mogelijkheid geopend om gegevens te verwerken met doorbreking van
het beroepsgeheim. De gekozen verstrelckingssystematiek - verplichte verstrekking door partijen met
behoud van eigen afweging — is in deze context op zichzelf begrijpelijk, maar de (casuïstische) afweging
geheel en al overlaten aan het college en de geheimhouder voldoet niet aan de kenbaarheidseis van artikel
8 EVRM. De AP adviseert in deze bepalingen op zijn minst globaal te begrenzen onder welke condities het
beroepsgeheim kan worden doorbroken.
4. De AP adviseert in het wetsvoorstel te borgen dat alle betrokken partijen training en opleiding hebben
genoten opdat zij voldoende deskundig zijn op het gebied van de wetgeving en de praktijk van de
gegevensbescherming. Dit geldt ook voor de coordinator, die de uitvoering van het werkplan coordineert.

Strekking van het concept
Het wetsvoorstel voorziet in de wijziging van Wmo 2015, Jeugdwet, Participatiewet en Wet gemeentelijke
schuldhulpverlening met als doel een integrale en gecobrdineerde aanpak bij meervoudige problematiek'.
Het regelt de taak voor gemeenten om zorg te dragen voor een meldpunt voor inwoners met niet-acute
zorgen over zichzelf of een ander. Deze meldpunten zijn ook voor professionals die zich zorgen maken over
een cliënt. Een melding wordt opgevolgd door een zogenaamde triage2, waarna de meest gerede partij3 de
melding in behandeling neemt. Indien sprake is van meervoudige problematiek voert de gemeente in
samenspraak met de cliënt' een onderzoek uit naar de problemen en de mogelijke aanpak daarvan. Dit
onderzoek resulteert in een zogenaamd werkplan, waarvan de uitvoering wordt gecobrdineerd door een
door de gemeente aan te wijzen coordinators.

1 Volgens de MvT is het niet goed mogelijk een sluitende definitie van het begrip 'meervoudige problematiek' te formuleren: de aard

en de ernst van de problematiek kan zich in velerlei variaties en gradaties voordoen. Bij een kleine groep inwoners van Nederland
(circa vijf procent) is sprake van problematiek die te typeren is als 'complex': zij kampen met verschillende problemen tegelijk die
vaker chronisch zijn en met elkaar verweven. Door de combinatie van problemen dreigt het gevaar dat deze inwoners de grip op hun
leven verliezen. Het gaat hier om een heterogene groep kwetsbare personen zoals dak- en thuislozen, ex-gedetineerden die moeite
hebben te re-integreren in de samenleving, mensen met verslavingsproblemen, gezinnen waarin sprake is van psychische, sociale,
verstandelijke en/of lichamelijke beperkingen en personen met verward gedrag (MvT, p. 5).
2

Dit begrip wordt niet gedefinieerd in het wetsvoorstel. De triage heeft tot doel vast te stellen wie naar aanleiding van de melding

actie kan ondernemen (Artikelsgewijze toelichting p. 6).
3 Onder "partij" wordt in het wetsvoorstel verstaan: "persoon of instantie die werkzaam is op het gebied van het sociaal domein of

aanpalende domeinen [...1". Onder "sociaal domein" wordt in het wetsvoorstel verstaan: "maatschappelijke ondersteuning, jeugdhulp,
kinderbeschermingsmaatregelen en jeugdreclassering als bedoeld in de Jeugdwet, schuldhulpverlening als bedoeld in de Wet
gemeentelijke schuldhulpverlening of ondersteuning op grond van de Participatiewet". Onder "aanpalende domeinen" wordt in het
wetsvoorstel verstaan: publieke gezondheidszorg, geneeskundige zorg, langdurige zorg, onderwijs, welzijn, wonen [...], werk of ander
inkomen,
openbare orde en veiligheid (artikel 1.1.1, eerste lid, Wmo).
Bij ernstige problematiek kan het onderzoek ook zonder instemming van de cliënt worden uitgevoerd.
5 Dit is een betrokken partij of een gemeenteambtenaar. Ook een cliënt, een gezinslid, of een vertegenwoordiger of mantelzorger kan

op zijn verzoek als coordinator worden aangewezen, als voldoende aannemelijk is dat deze persoon de coordinatie adequaat kan
uitvoeren (artikel 2.3a.3, tweede en derde lid, Wmo).

2/10

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

De nieuwe bepalingen gelden niet alleen als een persoon zich meldt op grond van de Wmo 2015, maar ook
als iemand een beroep doet op ondersteuning op basis van de Jeugdwet, Participatiewet of Wet
gemeentelijke schuldhulpverlenine en de gemeente aanleiding ziet om te onderzoeken of er noodzaak is
voor een integrale aanpak.
In het gehele proces worden — deels bijzondere - persoonsgegevens uitgewisseld tussen diverse betrokken
partijen. Het wetsvoorstel voorziet daarom in een aanzienlijke wijziging en uitbreiding van de bestaande
regeling in de Wmo 2015 over de verwerking van persoonsgegevens.?
Advies8
De cliënt heeft de regie (maar soms ook niet)
Het uitgangspunt van het wetsvoorstel is dat meervoudige problematiek wordt aangepakt in samenspraak
met de cliënt. De cliënt heeft dan dus ook zeggenschap over de gegevens die over hem worden uitgewisseld.
Dit uitgangspunt wordt echter verlaten indien sprake is van ernstige problematiek: dan wordt de cliënt zo
mogelijk betrokken bij de aanpak van het probleemonderzoek.9
Het begrip "ernstige problematiek" wordt niet gedefinieerd in het wetsvoorstel. De Memorie van
Toelichting geeft wel een nadere uitleg van wat hieronder kan worden verstaan:
"Met betrekking tot de ernst van de problematiek han met name gedacht worden aan de volgende aspecten: is er
bijvoorbeeld sprake van onvoldoende vermogen bij de inwoner om in de eigen behoeften en bestaansvoorwaarden te
voorzien (onderdak, voedsel, inkomen, sociale contacten, zelfiorg); is er sprake van een slechte gezondheid (lichamelijke
en psychische problemen, middelengebruik); zijn er risico's voor de persoonlijke veiligheid en/ofvoor de veiligheid van
andere personen, is er sprake van beperkt zelfinzicht in de problematiek Joan zorg mijdend gedrag? Daarnaast kan sprake
zijn van stagnerende effectiviteit van de dienstverlening ofinterventies door de verzoekende partij door gebrek aan
coördinatie ofomdat ondersteuning door andere partijen op essentiële leefgebieden ontbreekt. Mogelijk is er sprake van het
onnodig langer aanhouden van problemen ofzelft gevaar van escalatie.'
Gezien de cruciale rol die het begrip "ernstige problematiek" speelt in het concept dient dit begrip te
worden gedefinieerd in het wetsvoorstel zelf.
De AP adviseert een definitie van "ernstige problematiek" op te nemen in artikel 1.1.1.

6

Naast de regeling in de Wmo 2015 zullen zogeheten spiegelbepalingen in deze drie wetten worden opgenomen.

7

De Autoriteit Persoonsgegevens constateerde in 2016 dat een overkoepelende wettelijke regeling voor domeinoverstijgende

verwerking van persoonsgegevens in het sociaal domein ontbreekt. De AP benadrukte daarbij ook dat gemeenten dit probleem niet
kunnen ondervangen door toestemming te vragen aan betrokkenen voor het verwerken van hun gegevens (zie de brief van toenmalig
College Bescherming Persoonsgegevens naar aanleiding van rapport over de rol van toestemming in het sociaal domein aan de
minister van 821< van 18 april 2016, z2015- 00280; Zie ook Kamerstukken 11 2015/16, 32761, nr. 98).
a Artikel V Inburgering is niet in dit advies betrokken, omdat dit "PM' is opgenomen.
9 Artikel 2.3a.5, derde lid Wmo.
10 m v-r, p . 7.

3/10

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

Betrokken partijen
Algemeen

Ook het begrip "partij" speelt een sleutelrol inliet concept: een partij kan een probleemonderzoek
verrichten en zorg dragen voor coordinatie van de probleemaanpak ." Een partij verstrekt gegevens ten
behoeve van de triage", kan ook zelf - als "meest aangewezen partij" - de melding opvolgen na deze
triage'3, ontvangt daartoe dan gegevens van het meldpunt14, kan coordinator zijn van de uitvoering van het
werkplan", wisselt gegevens uit ten behoeve van de uitvoering van dit werkplan'', verstrekt
persoonsgegevens aan de gemeente" en neemt deel aan het casusoverleg.'
Een "partij" is een persoon of instantie die werkzaam is op het gebied van het sociaal domein of
aanpalende domeinen." Omdat (ook) deze "domeinen" zeer breed zijn gedefinieerd", zijn potentieel zeer
veel partijen betrokken.
Artikel 2.3a.i, derde lid, opent de mogelijkheid bij amvb te begrenzen welke partijen bij het onderzoek
kunnen worden betrokken. Echter, dit is een facultatieve bepaling ("kan").
Bij ernstige problematiek

Indien sprake is van ernstige problematiek, kan het initiatief tot een onderzoek worden genomen door
"een partij", buiten de cliënt om." Welke partijen dit initiatief kunnen nemen, is niet afgebakend. Wel
opent artikel 2.3a.4, derde lid, de mogelijkheid dit bij amvb te begrenzen. Echter, ook dit is een facultatieve
bepaling ("kan").
De AP adviseert in artikel 2.3a.1, derde lid, en artikel 2.3a.4, derde lid, "kan worden" te vervangen door
"wordt".

" Artikel 1.1.1 Wmo.
12

Artikel 5.5.3 Wmo.

13 Artikel 2.25, tweede lid, onder b.

" Artikel 5.5.2, derde lid.
" Artikel 2.3a.3, tweede lid Wmo.
" Artikel 5.4.4, zesde lid Wmo.
12 Artikel 5.4.2, eerste lid Wmo.
113 Artikel 5.4.3, eerste lid.
" Zie ook voetnoot 4.
20 Zie ook voetnoot 4.
21 Artikel 2.3a.4, eerste lid.

4/10

„
— ,

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

Doorbreking beroepsgeheim
In artikel 5.4.2, eerste lid, artikel 5.4.3, tweede lid en artikel 5.5.3 wordt, in licht variërende bewoordingen,
de mogelijkheid geopend om gegevens te verwerken met doorbreking van het beroepsgeheim.
De kernelementen van deze bepalingen zijn”:
a. het college vraagt om bepaalde gegevens;
b. deze gegevens zijn noodzakelijk voor de probleemaanpak;
c. deze noodzaak wordt door het college onderbouwd";
d. de verstrekkende partij beoordeelt deze noodzaak voordat hij de gegevens verstrekt.24
De keuze voor deze verstrekkingssystematiek - in de Memorie van Toelichting "Verplichte verstrekking
door partijen met behoud van eigen afweging"" geheten — is in deze context op zichzelfbegrijpelijk, omdat
hiermee 'maatwerk' mogelijk is in de variëteit aan probleemgevallen: op deze wijze kan per concreet geval
worden bekeken welke gegevens noodzakelijk zijn om het probleem aan te pakken.
Echter de noodzakelijkheid en proportionaliteit van de gegevensverstrekking en de daarmee gemoeide
doorbreking van de geheimhoudingsplicht wordt op deze manier geheel afhankelijk van de professionele
invulling door betrokkenen, omdat in de wettelijke bepalingen niet wordt aangegeven onder welke
(materiële) condities het beroepsgeheim kan worden doorbroken.
Een wettelijke bepaling waarin het beroepsgeheim wordt doorbroken dient op zijn minst globaal aan te
geven in welke situaties en/of onder welke voorwaarden dit mogelijk is. Dit volgt uit de aard van het
beroepsgeheim en uit artikel 8 EVRM: de burger moet met enige zekerheid kunnen voorspellen welke

22 De elementen a en c ontbreken in artikel 5.4.3, tweede lid, dat betrekking heeft op het zogenaamde casusoverleg. De achtergrond
hiervan is dat partijen in het casusoverleg eigener beweging — en dus niet op verzoek van het college - gegevens mogen inbrengen:
IA professionals [...] mogen [gegevens] verstrekken aan het college of [...] inbrengen in het casusoverleg" (MvT p. 22).
" "Het college zal per individueel geval moeten onderbouwen met welk doel hij specifieke gegevens wil ontvangen en waarom die
specifieke gegevens noodzakelijk zijn" (MvT p. 21).
" "Het eindoordeel of bepaalde gegevens verstrekt kunnen worden blijft uiteraard bij de professional met een beroepsgeheim of .
geheimhoudingsplicht. Te alle tijde kan diens afweging zijn dat het van bepaalde gegevens niet noodzakelijk is, die te verstrekken
omdat het doorbreken van zijn geheimhoudingsplicht niet opweegt tegen de noodzaak die gegevens bij het onderzoek te kunnen
betrekken. Verstrekking kan bijvoorbeeld naar het oordeel van een zorgverlener in de weg staan aan het behoud van een goede
behandelrelatie met de cliënt. Anderzijds moet de zorgverlener laten•meewegen dat de verstrekking kan bijdragen aan het oplossen
van bepaalde problemen van de cliënt, omdat daarmee een gecotirdineerde aanpak mogelijk wordt" (Artikelgewijze Toelichting bij
artikel 5.4.2 (p. 23)).
"De betrokken partij heeft op grond van het bepaalde in het tweede lid de ruimte om de balans te zoeken tussen de afweging bepaalde
gegevens te delen omdat die informatie belangrijk is om de (ernstige) meervoudige problematiek van de cliënt én zijn gezinsleden te
kunnen verbeteren of oplossen enerzijds, en de afweging van het belang dat wordt beoogt te beschermen met het beroepsgeheim of
de geheimhoudingsplicht" (Artikelgewijze Toelichting bij artikel 5.4.3 (p. 25)).
"De grondslag in dit artikel om gegevens te verstrekken houdt geen plicht in voor de partijen om te verstrekken. Op basis van de eigen
professionele beoordeling over de noodzaak, kan een verstrekking plaatsvinden of achterwege blijven. Het kan bijvoorbeeld
voldoende zijn dat de partij aangeeft bekend te zijn met deze persoon, zonder dat wordt ingegaan op de reden dat ze deze persoon
kennen. In andere gevallen kan het wel degelijk relevant zijn dat er enige informatie wordt verstrekt over bijvoorbeeld de gezondheid
van betrokkene, of dat het college van een andere gemeente waar de betrokkene eerst woonde, kan aangeven wat voor
maatwerkvoorziening hij had" (Artikelgewijze Toelichting bij artikel 5.5.3 (p. 29)).
25 MvT p. 21.

5/10

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

inbreuk rechtens is toegelaten.26 De (casuïstische) afweging geheel en al aan het college en de
geheimhouder overlaten voldoet niet aan deze eis.
De AP adviseert in artikel 5.4.2, eerste lid, artikel 5.4.3, tweede lid en artikel 5.5.3 beter te begrenzen onder
welke condities het beroepsgeheim kan worden doorbroken.
De coördinator
De uitvoering van het werkplan wordt gecoordineerd door een door de gemeente aan te wijzen
coordinator. Dit is een betrokken partij ofeen gemeenteambtenaar.27 Ook een cliënt, een gezinslid, ofeen
vertegenwoordiger ofmantelzorger kan op zijn verzoek als coördinator worden aangewezen, als voldoende
aannemelijk is dat deze persoon de coordinatie adequaat' kan uitvoeren."
Deze coordinator is ook verwerkingsverantwoordelijke voor de verwerkingen in het kader van de
coordinatie van het werkplan?'
Indien een cliënt, een gezinslid, ofeen vertegenwoordiger ofmantelzorger als coordinator wordt
aangewezen, zal dit in de regel een leek zijn op het gebied van gegevensverwerking en
gegevensbescherming. Het risico van non compliance met de AVG is dan erg groot.
De AP adviseert in artikel 2.3a.3 niet alleen op te nemen dat het voldoende aannemelijk moet zijn dat de
coordinator de taken overeenkomstig artikel 2.3a.3, vierde lid, kan uitvoeren, maar ook dat hij voldoende
deskundig moet zijn op het gebied van de wetgeving en de praktijk van de gegevensbescherming.
Professionaliteit en privacybewustzijn
Het concept leunt zwaar op de professionaliteit en het AVG-bewustzijn van de betrokken partijen. Zo
vermeldt de gegevensbeschermingseffectbeoordeling31 (PIA):
"Het wetsvoorstel geeft geen specifieke criteria voor het wel ofniet onderzoeken van meervoudige problematiek, of
wanneer bepaalde domeinen wel ofniet betrokken mogen worden in het onderzoek [...] In het wetsvoorstel wordt er
nadrukkelijk voor gekozen hier ruimte te geven voor het professionele oordeel van de medewerker die namens het college de
hulpvraag behandelt. Dit vraagt wel van het college dat zij deskundige medewerkers inzet die in staat zijn om met respect
voor de persoonlijke levenssfeer en voor de juridische kaders van- andere partijen te handelen." 32

26

Dat verwerking van persoonsgegevens en in het bijzonder het (medisch) beroepsgeheim ook worden bestreken door artikel 8 EVRM

blijkt bijvoorbeeld uit EHRM 17 juli 2008 (Y t. Finland): ''The protection of personal data, in particular medical data, is of fundamental
importante to a person's enjoyment of his or her right to respect for private and family life as guaranteed by Article 8 of the
Convention. k is crucial not only to respect the sense of privacy of a patient but also to preserve his or her confidence in the medical
profession and in the health services in general."(ov. 38). Een wettelijke beperking op het in artikel 8 EVRM geformuleerde grondrecht
moet foreseeablezijn (EHRM 26 april 1979 (Sunday Times), N) 1980,146).
" Artikel 2.3a.3, tweede lid.
28

D.w.z. conform artikel 2.3a.3, vierde lid.

29 Artikel 2.3a.3, derde lid.

"Artikel 5.4.4, vijfde lid.
" Gegevensbeschermingseffectbeoordeling (PIA), Ministerie van Volksgezondheid, Welzijn en Sport, Directie Maatschappelijke
Ondersteuning, Den Haag, 12 maart 2020.
32 PIA, p. 25.

6/10

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

De PIA bevat verder een overzicht welke technische, organisatorische en juridische maatregelen kunnen
worden getroffen om de in de PIA geconstateerde risico's te voorkomen ofte verminderen.33 In dit
overzicht wordt "Train medewerkers" vijftien keer genoemd als mitigerende maatregel. Ook de Nationale
Ombudsman constateerde eerder dat samenwerkende professionals bij gegevensdeling moeten worden
getraind en opgeleid in de toepassing van de AVG.34
De AP adviseert in het wetsvoorstel te borgen dat alle betrokken partijen training en opleiding hebben
genoten opdat zij voldoende deskundig zijn op het gebied van de wetgeving en de praktijk van de
gegevensbescherming.
Verwerkingsverantwoordelijkheid bij uitbesteding
De Memorie van Toelichting benoemt als knelpunt in de uitvoeringspraktijk de verdeling van
verantwoordelijkheden bij de uitbesteding van gemeentelijke taken:
"Veelgemeenten hebben taken van het college uitbesteed aan een sociaal wijkteamorganisatie, bijvoorbeeld in de vorm van
een onafhankelijke stichting ofeen samenwerking van hulpverlenende instellingen. Deze organisaties bieden vaak ook
algemene voorzieningen aan zoals vrij toegankelijke jeugdhulp, ofmaatschappelijk werk. In dergelijke situaties kan er
verwarring optreden over de vraag welke gegevensverwerkingen vallen onder wiens verantwoordelijkheid en welke regels
op de gegevensverwerking van toepassing zijn:35
Geconcludeerd wordt dat dit wetsvoorstel dit knelpunt niet kan oplossen, waarbij niet wordt aangegeven
waarom dit zo is.
Hierbij moet worden opgemerkt dat één van de doelen van de AVG juist is om verwarring over
verwerkingsverantwoordelijkheden te voorkomen:
"Voor de bescherming van de rechten en vrijheden van betrokkenen en de verantwoordelijkheid en aansprakelijkheid van
verwerkingsverantwoordelijken en verwerkers is het noodzakelijk 1...1 dat de bij deze verordening vastgestelde
verantwoordelijkheden op duidelijke wijze worden toegewezen, ook wanneer de verwerkingsverantwoordelijke de
doeleinden en de middelen voor de verwerking samen met andere verwerkingsverantwoordehjken vaststelt, ofwanneer een
verwerking namens een verwerkingsverantwoordelijke wordt uitgevoerd.'°
De AP adviseert in het wetsvoorstel alsnog passende aandacht te besteden aan de verdeling van
verwerkingsverantwoordelijkheden bij de uitbesteding van gemeentelijke taken.

" PIA, tabel 8 (p. 39-44).
34 Rapport Nationale Ombudsman 2018/085 (13 december 2018): 'Van wie is die privacy eigenlijk?", p.34.
35 MvT, p.15.

36 AVG, overweging 79.

7/10

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

Verwerking gezondheidsgegevens, strafrechtelijke gegevens en bsn door de coördinator
Na het onderzoek verstrekt het college het werkplan aan de coordinator. De coordinator is
verwerkingsverantwoordelijke voor de uitvoering van zijn taak." In het werkplan kunnen ook
gezondheidsgegevens en strafrechtelijke gegevens voorkomen38, en wellicht ook het bsn.
Tenzij de codrdinator een gemeenteambtenaar is, mag hij deze gegevens niet verwerken."
De AP adviseert in het concept duidelijk aan te geven dat, indien de coördinatie buiten de gemeente
geschiedt, het werkplan geen gezondheidsgegevens, strafrechtelijke gegevens en bsn mag bevatten.
Het systeem (privacy by design)
Volgens artikel 25 AVG dient de verwerkingsverantwoordelijke reeds bij het systeemontwerp te voorzien
in passende technische en organisatorische maatregelen en waarborgen in te bouwen ter naleving van de
voorschriften van de AVG, ter bescherming van de rechten van de betrokkenen en om ervoor te zorgen dat
in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de
verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij
worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze .
beginselen moeten ook bij openbare aanbestedingen in aanmerking worden genomen.°
Het privacy by design-vereiste geldt in dit geval sterker nu het om (deels) gevoelige gegevens gaat in een
eveneens gevoelige context. Ook de PIA onderkent de noodzaak van privacy by design. De PIA bevat een
overzicht welke maatregelen kunnen worden getroffen om de in de PIA geconstateerde risico's te
voorkomen ofte verminderen.° In dit overzicht wordt "Richt systemen volgens privacy-by-design in (o.a.
autorisatiemodellen)" acht keer genoemd als mitigerende maatregel. Ook wordt het risico op een datalek
uitdrukkelijk gekoppeld aan de kwaliteit van de gebruikte ICT-systemen.°
Het wetsvoorstel laat de ontwikkeling van de ICT-systemen ten behoeve van de integrale en
gecodrdineerde aanpak bij meervoudige problematiek over aan de gemeenten. Dit is vanuit het oogpunt
van gemeentelijke autonomie logisch, maar kan anderzijds een belemmering zijn voor het - in elke
gemeente - realiseren van een ICT-systeem dat volledig aan de AVG-eisen voldoet, inclusief het privacy by
design-vereiste.

De AP adviseert in de Memorie van Toelichting aan te geven op welke wijze zal worden geborgd dat de
ICT-systemen worden ingericht volgens de privacy by design-principes. De AP adviseert voorts in
verband hiermee te overwegen hiervoor centraal expertise op te bouwen en deze - eventueel ook in de
vorm van standaarden - ter beschikking te stellen aan de - verwerkingsverantwoordelijke - gemeenten.

37 Artikel 5.4.4, vijfde lid.
38

Artikel 5.4.4, tweede en derde lid.

" Artikel 9, eerste lid AVG, artikel 10 AVG respectievelijk artikel 46, eerste lid, Uitvoeringswet AVG. De gemeenteambtenaar mag ten
behoeve van de uitvoering van het werkplan gezondheidsgegevens verwerken op basis van artikel 5.4.4, tweede lid, strafrechtelijke
gegevens op grond van artikel 5.4.4, derde lid, en het bsn op grond van artikel 10 Wet algemene bepalingen burgerservicenummer.
40 AVG, overweging 78.
PIA, tabel 8 (p. 39-44).
ax PIA, p. 31-32.

8/10

AUTORITEIT
PERSOONSGEGEVENS

Datum

Ons kenmerk

Diverse delegatiebepalingen
Artikel 5.4.6, eerste lid, bepaalt dat bij ofkrachtens amvb nadere regels kunnen worden gesteld over de
verwerking van persoonsgegevens als bedoeld in hoofdstuk 5, paragraaf4 van het concept." Artikel 5.5.4,
tweede lid, bepaalt dat bij ofkrachtens amvb nadere regels worden gesteld over de verwerking van
meldingen aan het meldpunt.
Deze delegaties zijn niet of nauwelijks begrensd, ook niet in de toelichting" en voldoen daarmee niet aan
de eisen die Aanwijzing voor de regelgeving 2.23" stelt.
De AP adviseert de delegatie van regelgevende bevoegdheid in artikel 5.4.6, eerste lid, en artikel 5.5.4,
tweede lid, concreter en nauwkeuriger te begrenzen.
Diversen
Terugkoppeling follow-up van de melding

Degene die de melding heeft gedaan wordt zo nodig geïnformeerd over wat er met de melding is gedaan q6
In de Artikelsgewijze toelichting wordt vermeld dat dit met name het geval zal zijn indien de melder een
professional is.47 Andere voorbeelden worden niet genoemd.
Met het oog op de gevoeligheid van de hier aan de orde zijnde gegevens adviseert de AP deze
terugkoppeling te beperken tot uitsluitend professionals en artikel 2.2.5, tweede lid, onderdeel d, in die zin
aan te passen.
Bewaartermijn als het traject wordt gestaakt

Als de uitvoering van het werkplan is afgerond, draagt de coordinator alle gegevens die hij heeft verwerkt
voor de uitoefening van zijn taak, inclusief het werkplan, over aan het college.° De gemeente bewaart deze
gegevens dan nog maximaal twee jaar."
Het is niet duidelijk of deze gegevens ook aan de gemeente moeten worden overgedragen als de uitvoering
van het werkplan niet is afgerond, maar gestaakt. Mogelijk is deze overdracht dan niet noodzakelijk (en de
erop volgende bewaring door het college evenmin). Dit geldt wellicht in sterkere mate als het traject was
gestart op verzoek van de cliënt.
" Paragraaf 4 is getiteld: "Gegevensverwerking ten behoeve van een integrale en gecoOrdineerde aanpak".
" In de Artikelsgewijze toelichting op artikel 5.4.6 worden als voorbeelden van nadere regels genoemd "eisen [...J aan de inrichting van
een onderzoeksdossier" (p. 27-28) en "nadere regels t...] over het elektronisch uitwisselen van gegevens, bijvoorbeeld over de daarbij te
gebruiken taal of techniek" (p. 28). Deze voorbeelden zijn dermate ongelijksoortig en willekeurig dat ook hieruit geen begrenzing kan
worden afgeleid. In de Artikelsgewijze toelichting op artikel 5.5.4, tweede lid, wordt dit toegelicht als volgt: "Dit kunnen zowel
technische als organisatorische regels zijn, bijvoorbeeld met betrekking tot de inrichting van een melddossier" (p. 30). Hieruit kan geen
begrenzing worden afgeleid.
." Aanwijzing voor de regelgeving 2.23: "Delegatie van regelgevende bevoegdheid wordt in de delegerende regeling zo concreet en
nauwkeurig mogelijk begrensd."
Artikel 2.2.5, tweede lid, onderdeel d.

46

" Artikelgewijze Toelichting, p. 7.
Artikel 5.4.4, zevende lid.
" Artikel 5.4.5.

9/10

d

IC,

AUTORITEIT
PERSOONSGEGEVENS
:1 aso

Datum

Ons kenmerk

De AP adviseert het werkplan niet te laten overdragen indien de uitvoering van het werkplan is gestaakt en
artikel 5.4.4, zevende lid in die zin aan te passen, danwel in de Memorie van Toelichting aan te geven
waartoe deze overdracht in zo'n geval dan dient.
Onjuiste uitzonderingsgrond

In de artikelen 5.4.1, tweede lid, en artikel 5.4.4, tweede lid, wordt als uitzonderingsgrond op het
verwerkingsverbod van artikel 9, eerste lid, AVG, artikel 9, tweede lid, onderdeel g, AVG genoemd.
Naar het oordeel van de AP zou dit artikel 9, tweede lid, onderdeel h, AVG moeten zijn ("het verstrekken
van gezondheidszorg of sociale diensten of behandelingen").
De AP adviseert in de artikelen 5.4.1, tweede lid, en artikel 5.4.4, tweede lid, "onderdeel g" te vervangen
door "onderdeel h".

Openbaarmaking van het advies
De AP is voornemens dit advies na vier weken openbaar te maken op de website
www.autoriteitpersoonsgegevens.nl. Behoudens tegenbericht gaat zij ervan uit dat hiertegen geen
bezwaar bestaat,

Hoogachtend,
Autoriteit Persognsgegevens,

Bestuurslid

10/10