\l

;-'±,,{1,*Stfl,yVrtVa

Duthler"®'Associates

Gegevensuitwisseling en
gegevensbescherming
rond de Wmo en AWBZ

Auteur:

mr. P.L Cote MBA

Datum:

23 augustus 2013

StafUS:

eindversie

Versie:

1.0

D u t h l e r © Associates

Inhoudsopgave
1

Inleiding

1.1

5

De impact van de hervorming van de langdurige zorg

*"

5

^-jSf
f

1.2

De opdracht

1.3

Aanpak

1.4

Leeswijzer

1.5

Samenvatting....

2

<

rt.

^

c

"ft
^

*"..

Achtergrond

*.:...^
•V

7
"i

7

'*

10

'

...11
19

/

"•

2.1

Wijzigingen vanaf 2015 AWBZ-zorg via gemeente of zorgverzekering

20

2.2

Het wetsvoorstel Wmo

21

*

.

'
ii

2.3

Gegevensbescherming in het wetsvoorstel Wmo

3

Privacy Impact Assessment

3 1

Object van de RIA's

32

Toetsmodel PIA* Rijksdienst
^^
^
*i

321

"" '

3 32'^

3.3.5
3.4
3.4.1

2/252

*.

' ^
''

23
27

.

27

"- . .*" <

28

" i-

,

*'l

'^Leidraad" voor de afstemming van wetgeving op de Wbp

3 3 1 1.

3 34

'

.'„

Conclusies
naar aanleiding van de PIA's
A%

33

3 3.3

%,

f

SC

/

30
39

Bijzondere persoonsgegevens

39

Afweging proportionaliteit en subsidiariteit

41

Toets'aan artikel 8 EVRM

41

•*•"*•, Samenhang tussen PlAen Leidraad
Conclusie naar aanleiding van de Leidraad
Juridisch kader
Europees Verdrag tot bescherming van de Rechten van de Mens (EVRM)

42
42
43
,43

Duthler ©Associates

3.4.2

Wet bescherming persoonsgegevens

46

3.4.3

Europese Privacyverordening (EPV)

49

3.4.4

Het wetsvoorstel meldplicht datalekken

50

3.4.5

AWBZ

51

3.4.6

Zorgverzekeringswet (Zvw)

3.4.7

Jeugdwet

3.4.8

Participatiewet

3.4.9

Wet gemeentelijke schuldhulpverlening...

3.4.10

Wet gemeentelijke basisadministratie (Wet GBA)

|

.'.
•

.'.
'""

...-

53

b.'

54

.'..,.-.

56

>.

57

't.

''*

.*st.

Wet op de Geneeskundige Behandelingsovereenkomstü(Wgbo)
•?

't

3.4.12

j^t

Wet kwaliteit, klachten en geschillen zorg (Wkkgz)/
"

3.4.13

Gedragscode zorgverzekeraars

•

'.

62

*.

\:'..'.

65

•*>.

"

"i

59

* r- > }

- * 1>
3.4.11

".

. .
__j

66
'f

3.4.14

Wet Structuur Uitvoering Werkten Inkomen (Wet SUWI)

67

3.4.15

NEN7510

69

3.4.16

Zekere Zorg 3 *

3.5

.

"\
4

.

.
..

Adviezen van hetCBP .?.. w

3.5.1

'.

70
"

,

71

CBP-advies over Wmo in 2005

71

i
\'

352

^

353
,3.5.4
3 5°5
356

j

CBP-onderzoek"2011 bij gemeenten naar de uitvoering van de Wmo

\

Cv

„ CBP-advies 2012 over wijziging Wmo
U.
CBP advies over wijziging Wet op de jeugdzorg

71
72

;

CBP-advies over Meidcode Huiselijk geweld
*i*j CBP-advies over conceptwetsvoorstel uitvoering AWBZ

75
76
77

3.5.7

CBP-advies óver de Jeugdwet

78

3.5.8

CBP-advies over de 14 juni-versie van het wetsvoorstel Wmo 2015

79

4

Overkoepelende visie

85

3/252

•DuthlerfK Associates

4.1

Algemeen

85

4.2

Samenhang in de hervorming

4.3

Uitgangspositie Wmo bij gemeenten

4.4

Voorbereidingen op de implementatie

'

85
86
86
't

4.5

Betrokkenheid van cliënten

4.6

Eén P1A 2oals het CBP lijkt aan te bevelen?

87

V
i

4.7

Decentrale regelgeving

4.8

Juridisch kader

'->

88
ïjs»

**»

**'
e

4.9

f

CBP-adviezen

5

"•

90
' \ ^

Structurele gegevensbescherming en -uitwjsseling in de V|mo. uitgangspunten
AfHechting van deze rapportage

91
94

Bijlage 1 ToetsmodelPIA Rijksdienst

„95

Bijlage 2 Verantwoording toepassing Toetsmodel PIA

.*:

Bijlage 3 Leidraad afstemming wetgeving op Wbp
Bijlage4Uitkomsten PIA's.."

90

i1

'/>"

4.10

89

105
107

.•:

Bijlage 5 Overzicht verwerkingen, uitwisselingsrelaties, actoren en persoonsgegevens

113
235

r

Bijlage 6 Wmo-yerordening t

4/252

„238

DuthlerwAss'óciates

1 Inleiding
1.1 De impact van de hervorming van de langdurige zorg
!_v

,
^

K
Werkgevers thuiszorg ontslaan medewerkers preventief, met oog op bezuinigingen in 2015
~ •
De bezuinigingen gaan pas in 2015 in, maar toch vallen de laatste maanden.al duizenden ontslagen in de
thuiszorg. Hoewel het budget volgend jaar grotendeels intact blijft, zeggen veel werkgevers geen kant
op te kunnen, omdat zij van hun klanten, de gemeenten, geen zekerheid krijgen
'"',.. "

Onzekerheid
<* • "
ia
De thuiszorg wordt door gemeenten al jaren aanbesteed, maar door de bezuinigingeïf die in het
verschiet liggen, sluipt er extra onzekerheid in het aanbestêdingsproces Gemeenten verliezen in 2015
40% van hun budget voor huishoudelijke hulp, een k'brtmg van zq'n €1 mrd. Maar ook voor 2014 is nog
niet duidelijk hoeveel budget zerprecies krijgen Een deel van de gemeenten wil daarom de contracten
die volgend jaar vernieuwd moeten worden, alvast aanpassen. Kan er bijvoorbeeld meer gebruik
worden gemaakt van mantelzorgers? En kunnen de tarieven nóg scherper?

Haagse onduidelijkheid verlamt gemeenten
'*
Gemeenten staan in de wachtstand wat betreft de voorbereidingen op de decentralisatie langdurige
zorg (Awbz), Het wachten is*öp"DenJHaag' Taken, impact en financiële gevolgen voor gemeenten zijn
nog volstrekt ongewis Entda's lastig afspraken maken met buurgemeenten.
n
, : 5^
i;jx/^ „ '
•
Geen bindende afspraken %
<.
's
Zo is het nog steeds niet duidelijk welküieel van de persoonlijke verzorging per 2015 naar gemeenten
overgaat en ofJpescheYmd wonep,helem'aal of slechts deels het pakkie-an van gemeenten wordt. Er is
echter nog meèr*rjjis o p d e lijn waardoor gemeenten naar eigen zeggen geen financieel en juridisch
bindende afspraken,met elkaar kunnen maken. De budgetten voor 2015 worden pas in de
septembercirculaire bekendgemaakt. Ook is nog onduidelijk hoe het overgangsrecht voor bestaande
Awbz-en Wmo-clienten eruit komt te zien en welke financiële gevolgen dit voor gemeenten heeft. Last
but not least is'er^nog geen wetstekst bekend. De verwachting is dat deze op zijn vroegst in oktober aan
de Tweede'Kamer wórdt aangeboden. 2
•f

i

Deze twee recente artikelen geven een beeld van de impact van de hervorming van de langdurige zorg
op de samenleving. De personeelseffecten in de thuiszorg en de vraag om duidelijkheid van gemeenten

1
2

Financieel Dagblad, 9 augustus 2013
Binnenlands bestuur, 29 juli 2013

5/252

Duthler ® Associates

zijn slechts twee facetten van de hervorming van de langdurige zorg die voor beroering zorgen onder
instanties en werknemers. Ook voor burgers zijn de effecten van de nieuwe Wmo aanzienlijk.
Ontvangers van maatschappelijke ondersteuning vragen.zich af wat ervoor hen gaat veranderen. Op
mantelzorgers zal mogelijk een groter beroep gedaan worden, terwijl volgens een SCP-onderzoek uit
2010 450.000 mantelzorgers overbelast zijn3.

De bescherming van persoonsgegevens lijkt ogenschijnlijk een zaak van ondergeschikt-bela'ng,
in
•wi.
•'t

vergelijking met onderwerpen als stelselwijziging, decentralisatie, afspraken.uit het regeerakkoord en
ni

\,

*y

^ ** v

beheersing van de financiering van de AWBZ. Niettemin verdient de gegevensbescherming ook* *.
aandacht, omdat de verwerking van persoonsgegevens zich bevindt in het»hart van cle Wmo Een van de
centrale
in deze rapportage
luidt of
de ruime
verwerking*van
noodzakelijk
is
of dat hetvragen
doel misschien
op een andere
wijze
die minder
inbreuk op persoonsgegevens
dj.persoonhjke'levenssfeer
maakt,
1

gerealiseerd kan worden.
->k

*

V

,

Alleen al het feit dat de gemeente gegevens uit diverse brbftnen,zpnder toestemming van de
betrokkene zal gebruiken voor de uitvoering van de Wmo, levert risico's voor de gegevensbescherming
op. De "ontschotting" tussen de diverse subonderdelen van'het sociale domein is bedoeld om
*

'

*

*

•

'

~ $ » ,

'

"

'

*

gemeenten in staat te stellen om met behulp van>breed'geschakeerde informatie een
maatwerkvoorziening te treffen diè<goedjs afgestemd op de persoonlijke situatie van de betrokkene.
Wanneer informatie van mdicatieprganen, zorgaanbieders en zorgverzekeraars met informatie uit de

;~~^ P
i~ *n e
gemeentelijke schuldhulpverlening^de jeugdzorg, de steunpunten huiselijk geweld, en 'werk en
;' v

"^

V

'

inkomen' wordt gecombineerd, ontstaat'een completer beeld en kan de gemeente 'maatwerk' leveren

^^
V
bij de uitvoering ^an de Wmo
\'
#,
'K
.,
*
1

>•

•» *•

-a^»

De verwerking'van persoonsgegevens zonder toestemmihg van de betrokkene is evenzeer een bewuste
•.„

•^
é

t
t

-

k

keuze, vanuit de ratio*dat dit een voordeel oplevert voor de betrokkene en de administratieve last voor
de uitvoering beperkt

3

Brief van de staatssecretaris van VWS aan de Tweede Kamer, 20 juli 2013, Versterken, verlichten en
verbinden, p. 3

6/252

Duthlër®) Associates

Vanuit het oogpunt van gegevensbescherming bezien, is het echter onrechtmatig om andere of meer
gegevens te verwerken dan voor het doel van de verwerking noodzakelijk is. Als voor de Wmouitvoering persoonsgegevens worden gebruikt die voor een ander doel verzameld zijn, dreigt het risico
van onrechtmatigheid, omdat de verenigbaarheidstoets niet veel ruimte laat. Ook bestaat het gevaar
dat teveel gegevens worden verwerkt, hetgeen ook onrechtmatigheid oplevert.

De centrale overheid, als wetgever, en de lokale overheid, als Wmo-uitvoerder, wordehsgeconfronteerd
'

><*'

i

^ ' -

met conflicterende claims. Enerzijds wordt er verwacht dat de gemeente een passende

* *\

r

maatschappelijke ondersteuning levert, zonder administratieve rompslomp voor'de betrokkene
Anderzijds wordt verwacht dat de overheid inbreuken op de persoonlijkê",leyenssfeer_zoveel mogelijk
beperkt. Gegevensbeschermingsregels staan niet toe dat verwerkingen van persoonsgegevens vrijelijk
gekoppeld worden. Deze regels zijn strenger naarmate de te verwerken.persoonsgegevens gevoeliger
zijn, zoals het geval is bij de Wmo.

vV 4

- ' *'

De 'privacyclaim' en de 'effectiviteitsclaim' zijn beide.gerechtvaardigd, maar staan op gespannen voet
'«,
""'^
~\

met elkaar. Maatwerk en gemak vereisen een ruime gegevensverwerking Het minimaliseren van
, .\ ,
'''

inbreuk op de persoonlijke levenssfeer vereist juist terughoudendheid bij de gegevensverwerking. Deze
tegenstelling is een centraal thema bij de gegevensuitwisseling en de gegevensbescherming in het kader
A ? -T^

van het wetsvoorstel Wmo,2015 entin deze rapportage.

1.2 Deopdratht
ut'

>

"f»

Duthler Associates is gevraagd orr^te adviseren over de aspecten gegevensbescherming en
gegevensuitwisseling van*het wetsvoorstel Wet maatschappelijke ondersteuning (Wmo). De
gegevensuitwisseling die nodig is voor de nieuwe Wmo moet voldoen aan de van toepassing zijnde
*

f_

't"

juridische eiserf. In het kader van de opdracht is ook gevraagd om ten behoeve van de memorie van
' u

*

"•?*

toelichting-bij het wetsvoorstel een overkoepelende visie op de gegevensbescherming te ontwikkelen.

1.3 Aanpak
Om te komen tot het gevraagde advies is de volgende aanpak gevolgd. Aan de hand van de artikelen uit
het wetsvoorstel en de memorie van toelichting is een inventarisatie gemaakt van de verwerkingen van
persoonsgegevens bij de verschillende actoren en van de uitwisselingsrelaties tussen die actoren.

7/252

Duthler'® Associates

De Wmo heeft tot dusver sinds de inwerkingtreding in 2007 niet tot fundamentele juridische bezwaren
geleid. De verwerkingen, uitwisselingsrelaties, persoonsgegevens en doeleinden die voor dé. uitvoering
van de Wmo 2007 gebruikt worden, zijn in het kader van deze opdracht niet verder onderzocht.
Niettemin kan er niet van worden uitgegaan dat de Wrrio 2015 zonder nadere afweging kan
voortborduren op de huidige praktijksituatie van de Wmo.

,«.

* \
*4>
,
Het valt op dat in de memorie van toelichting op het wetsvoorstel Wmo 2015 geen inzicht wordt #«
V
4
\'f,
,
t^
verschaft in de huidige situatie met betrekking tot de gegevensuitwisseling en gegevensbescherming in
de huidige Wmo-praktijk van de gemeenten Wordt dit wel gedaan dan is het eenvoudiger deivrees van
het CBP te pareren dat er sprake kan zijn van bovenmatig delen van gegevensgebruik voor een niet
verenigbaar doel en ontoereikende beveiliging van gegevens De risico'sInét betrekking tot deze
t
*'
onderwerpen nemen uiteraard per definitie toe nu de rol van de gemeenten bij de langdurige zorg veel
| *
** ' r
v
"• Sz
zwaarder wordt. De te maken afwegingen voor het beheersenAvan deze nieuwe risico's vragen om
t?

inzicht in de uitgangspositie.

t „ ,v

-t

%,

%

"*

' . ' - > •

^'

-H

'i

Gezien het voorgaande zijn voor deze rapportage*1 alleen gevoelige en nieuwe verwerkingen en

''

k-

"s ^

'/

uitwisselingsrelaties in de Wmo 2015 onderzochttpp basis*van de criteria
' "%- i
"« Gaat het om n/euwe ve'rwerkingen, uitwisselingsrelaties, actoren of persoonsgegevens ten opzichte
'',

*r

-

van de W m o 2007?

"

^

" s b>

"t ^
,

"

"Q
o

-V -

,

Worden er bijzonderê*persoonsgegevên'sjverwerkt?
%
^ ' ^
' ,
\

\_ £

Op grond van deze criteria zijn de'volgende uitwisselingsrelaties en verwerkingen voor onderzoek
geselecteerd tj
-> * r *- *
o Van(gerfïeente naar zorgaanbieder (vanwege medische gegevens);
«L'*hVan gemeente naar zorgverzekeraar (vanwege nieuwe actor zorgverzekeraar en medische
^

f*

^

-»••

"*$

i.

*

gegevens),
o

Van zorgverzekeraar naar gemeente (idem);

•

Gemeentelijke gegevensverwerking in het gehele sociale domein (artikel 4.1.1 Wmo 2015);

o

De verwerking van persoonsgegevens in het kader van 'huiselijk geweld' (art. 4.3.1 t/m 4.3.5 Wmo
2015)

8/252

Duthler ©Associates

De verwerkingen door de gemeente van de persoonsgegevens uit de verschillende subsectoren van het
sociale domein (Participatiewet, Wet op de gemeentelijke schuldhulpverlening, Jeugdwet) ten behoeve
van de uitvoering van de Wmo zijn geselecteerd voor nader onderzoek, omdat hierbij bijzondere
(medische) gegevens verwerkt worden. Bovendien worden hier gegevens waar de gemeente uit
anderen hoofde over beschikt, gebruikt voor een nieuw doel: de uitvoering van de Wmo.

PIA
De geselecteerde items zijn elk onderworpen aan een privacy impact assessment (PÏA) volgens-het- ,,
Toetsmodel PIA Rijksdienst. Het Toetsmodel hanteert de Wbp als normenkader' De keuzeavoor een PIA
in het kader van deze opdracht komt overeen met het CBP advies4 over een eerdere versie van het
'J,
,,
*
wetsvoorstel Wmo 2015 om een PIA toe te passen als beoordelingsinstrument In de brief aan de
Tweede Kamer over de hervorming van de langdurige zorg heeft de staatsecretaris/toegezegd dat een
privacytoets zal worden uitgevoerd op zowel de kern-AWBZ a|s op*de Wmo 2015/
V

I

Leidraad

,

""

- ',

„

"' '

•

-*

*-

Met de uitkomsten van de PIA's in gedachten zijn de Leidraad voor de afstemming van de wetgeving op
de Wbp en het overig juridische kader, geanalyseerd. In het bijzonderde aanwijzingen voor de
wetgevingsjurist uit de Leidraad zijn toegepast optde uitkomsten van de PIA's. De Leidraad is ook
jf-

*v

gebruikt om de toets aan art 8 EVRM zoals opgenomen in de memorie van toelichting op het
J».

wetsvoorstel te beoordelen

Juridisch kader•.

,

v

~

-,

* '

*

.-

'rJ

%

Vervolgens'is het overig juridisch ka.der uitgewerkt. Dit kader bestaat uit overige regels die, naast de
Wbp, betrekking hebben op gegevensbescherming en uit sectorale regelgeving op het gebied van 'zorg
en ondersteuning'
^ >
\
Dejs/raag*che daarbij beantwoord is, luidt: welke invloed heeft de betreffende regelgeving op de Wmo
£

*

^%

2015? Het-kan zijn dat een sectorwet regels omtrent de gegevensbescherming bevat. Zo is bijvoorbeeld
"
u
onderzocht in hoeverre de geheimhoudingsplicht uit de W e t op de Geneeskundige

4

Brief van CBP aan de staatssecretaris van VWS, 30 juli 2013, Advies concept wetsvoorstel W m o 2015,

P-3

9/252

D uth I e r - ® Associ a tes

Behandelingsovereenkomst verhindert dat medische persoonsgegevens worden verwerkt bij de
uitvoering van de Wmo 2015.
Het overig juridisch kader bevat tevens een rijk scala aan voorbeelden van wetten en nadere regelingen
op het gebied van de gegevensbescherming die waaruit geput kan worden voor de versterking van de
gegevensbeschermingsparagraaf van het wetsvoorstel Wmo 2015.

CBP-adviezen

»
*

* „
""-ei

<
Ji

Verder is onderzocht wat het CBP eerder heeft geadviseerd over wetten die verband*houdert met het
wetsvoorstel Wmo 2015. De Wbp bevat in veel gevallen open normen die nader ingevuld moeten
worden al naar gelang van de concrete situatie. Een dergelijke 'pnncjple-based' benadering vergt een
breed overzicht over de gegevensbeschermingsregelgeving en van de toepassing daarvandn'een
concrete sector. De eerdere CBP-adviezen zijn bestudeerd om na te gaan hoe het CBP de open normen
van de Wbp nader invult voor de sector 'zorg en ondersteuning' In deze fase zijn onder meer de
adviezen over de Jeugdwet, de Meidcode huiselijk geweld en de AWBZ onderzocht. De eerdere adviezen
van het CBP over de Wmo zijn bij uitstek relevant vanwege-het directei/erband met het wetsvoorstel
•*

4lè.

"\

Wmo 2015.
Overkoepelende visie

*"<

-* -,

Dat geheel leidt tot observaties en aanbevelingen en een overkoepelende visie op de
*••>

j

^i<f

J

"?

gegevensbescherming vpor de W m ^ O l S , die^meye bruikbaar is voor het daarmee samenhangende
wetsvoorstel LIZ (ook wel kern-AWBZ)

Voor het opnemen van^een overkoepelende visie op de bescherming van gegevens die moeten worden
uitgewisseld in de nieuwe opzet van de Wmo, gaat het om het verenigen van verschillende invalshoeken
die bepalend zijn voor een^adequate gegevensbescherming van de persoonsgegevens die worden
-?

,

•"-«

^

veYwerkt door gemeenten voor het uitvoeren van de Wmo en die in het kader van de uitvoering van de
Wmo worden uitgewisseld met een groot aantal partijen.

1.4 Leeswijzer
Bij het uitvoeren van de opdracht is in paragraaf 1.3 beschreven aanpak gevolgd. In hoofdstuk 2 is de
achtergrond van de opdracht beschreven.

10/252

Duthler ® Associates

Het wetsontwerp Wmo 2015 is voor deze opdracht onderworpen aan een privacytoets volgens het
Toetsmodel Privacy Impact Assessment Rijksdienst.
De conclusies naar aanleiding van de bevindingen uit de PIA's zijn opgenomen in paragraaf 3.2.1. De
volledige PIA's zijn opgenomen als bijlage 4.
De uitkomsten van de PIA's zijn gebruikt om uit de Leidraad voor de afstemming van wetgeving op de
Wbp de onderwerpen uit te kiezen die bij uitstek relevant zijn voor het wetsvoorstel Wmo 2015, zoals
de toets aan artikel 8 EVRM. Deze onderwerpen worden behandeld in paragraaf 3 3. <.
In paragraaf 3.4 wordt het overig juridisch kader behandeld In deze paragrafen wordt de regelgeving op
het gebied van de gegevensbescherming en de sectorale regels op het gebied van zorg én
ondersteuning gecontroleerd pp relevantie voor het wetsvoorstel Wmo 2015
Eerdere adviezen van het CBP worden geanalyseerd in paragraaf 3.5 De conclusies over'de afzonderlijke
adviezen zijn samengevat in paragraaf 3 5 9

'^

t P*

De overkoepelende visie die is opgenomen in Hoofdstuk 4 is-het resultaatyan de analyse van de
•„

?„

*

--><"

wetteksten en de memorie van toelichting, de uitkomsten en conclusies van "de PIA's, de confrontatie
*

« &y

met de Wbp en het overig juridisch kader, de verschillende adviezen van het CBP en onze eigen
expertise op het terrein van gegevensbescherming, gegevensuitwisseling en standaardisering. De
overkoepelende visie is vooral gericht op"de'üitgarigspunten'voor het verbeteren en uitdiepen van de
memorie van toelichting. Wij sluiten'de overkoepelende visie af met een doorkijk naar het realiseren
, *'*V'
van een Wmo-ecosysteem f'*
Tenslotte hebben WIJ in hoofdstuk 5 ónder de titel "Afhechting van deze rapportage"op verzoek van de
^
„
"**- '
•*'
opdrachtgever een schets'gegeven van adviezen die in de rapportageperiode juli/augustus 2013 al in de
>

"

•

"

concept WMO 2015'hun weg Rebben gevonden. In dit hoofdstuk is ook een indicatie gegeven met
betrekking tot enkele.aspecten van het vervolgtraject van de WMO 2015.
De lezer d[e op zoek is naar de korte samenvatting van de overkoepelende visie treft deze aan in
paragraaf 1 5.

1.5 Samenvatting
In deze samenvatting worden de elementen van onze overkoepelende visie met betrekking t o t de W m o
2015 c a . kort aangeduid.

11/252

M H t r t i l l Associates

Algemeen
De gegevensuitwisseling voor de Wmo 2015 geeft een nieuwe dimensie aan de vraagstukken die langs
de lijnen van in het bijzonder de Wbp moeten worden opgelost. De uitdaging om bij de
maatschappelijke ondersteuning de weg in te slaan van een integrale aanpak vraagt om meer dan alleen
regelgeving. Duidelijk is dat goede regelgeving die in overeenstemming is met de regelgeving van de
Wbp en andere wettelijke kaders, het startpunt en het kader vormt. De extra dimensie van de integrale
aanpak vergt echter ook raamwerken en 'policies' om de hiervoor aangegeven interacties te begeleiden,
transparant en hanteerbaar te maken en om de brug te slaan naar uitvoerbaarheid met voldoende „
aandacht voor governance, regelkringen, standaardisering, risicoanalyse, controleren toezicht t)nze
visie is dat het voorgaande een plaats en uitwerking moet krijgen in de memorie van toelichting

Samenhang in de hervorming
'•*>

i,

Voor het overzicht van de wetgevende acties om de beoogde hervorming van de langdurige zorg te

* -V

' * '*

realiseren menen WIJ dat in het wetsvoorstel dat "leading" is (de Wmo 2015) moet worden uiteengezet
\

*

<

"

•

'

welke afzonderlijke wetsvoorstellen naast de Wmo 2015 zijn voorzien en welke andere mogelijke
1
f
*
wetsvoorstellen kunnen worden verwacht om^overige wettelijke Aanpassingen en invoeringskwestieste
regelen. Ook het vraagstuk van de beoogdé*'c)elegatie via een AMvB kan daarbij worden behandeld en
worden verantwoord In onze visie moet in de memorie van toelichting nu al een zo duidelijk mogelijk
zicht worden gegeven op de voorziene wètgevende^en andere regelgevende processen. Onder meer wat
betreft gegevensuitwisseling en gegevensbescherming is dit een van de voorwaarden om adequaat te
kunnen adviseren over de verschillende wetgevingsproducten
Uitgangspositie Wmo bij gemeenten
>'
»»
Gezien de,yeel zwaardere rol van de gemeente bij de uitvoeringvan de langdurige zorg zoaïs'voorzien in
de Wmo^OlSjis het wenselijk dat de ervaringen en de beheersing van de risico's bij de huidige
" *

%«•

>*j

gegevensuitwisseling en gegevensbescherming op grond van de W m o voldoende in kaart zijn of w o r d e n
gebracht In cie memorie van toelichting kunnen naar onze mening daaraan passages w o r d e n gewijd die
mede kunnen 4 aienen om tegemoet te komen aan de onzekerheid bij advies- en toezichtorganen zoals
het CBP. Vanuit de te schetsen uitgangspositie kunnen de risico's in de nieuwe situatie w o r d e n gewogen
en kan w o r d e n beslist over de vormgeving van eventuele extra waarborgen. Onze visie m e t betrekking
t o t de uitgangspositie W m o bij gemeenten is dat er niet t e licht m o e t w o r d e n gedacht over een
verondersteld ontbreken van risico's op het punt van privacybescherming bij de huidige uitvoering van

12/252

Duthler : ® Associates

de Wmo. In ieder geval is extra aandacht in de memorie van toelichting hier op zijn plaats, omdat de
brede opzet van het Wmo dossier tot nieuwe risico's zal leiden en dus tot nieuwe afwegingen inzake
beheersmaatregelen of andersoortige waarborgen.

Voorbereidingen op de implementatie
De memorie van toelichting gaat zeer summier in op de transitie naar de Wmo 2015 De
voorbereidingen op de implementatie zijn echter al geruime tijd aan de gang en zullen blijven
voortduren. Het komt ons voor dat aan deze voorbereidingen meer aandacht kan worden geschonken in
de memorie van toelichting. Dat komt de komende gedachtewisselingen over deWmo 2015 zeer ten
goede. In onze visie is het dus verstandig meer samenvattend inzicht te geven in de voorbereidingen op
de implementatie dan nu in de memorie van toelichting wordt gegeven

* , -f
l

"*•

%

Betrokkenheid van cliënten

Het wetsvoorstel Wmo 2015 beschouwt ondubbelzinnige toestemming door de betrokkene niet als een
bruikbare gerechtvaardigde grondslag voor de verwerkingen en voorzietidaarom in wettelijke gronden
voor de verschillende verwerkingen (goede vervulling van„een publiekrechtelijke taak) Het verwerken
van persoonsgegevens zonder toestemming van de betrokkene is op het eerste gezicht begrijpelijk uit
i ei

4 ,

£

pragmatische overwegingen Uit het oogpunt van datakwahteit en transparantie is het echter toch aan
„ ' *' >, "'
te bevelen om de toestemming vansde dient te vragen voor de verwerking van diens persoonsgegevens
f r

-•'

_

f

daar waar dat mogelijtais" BIJ het vragen om toestemming toetst de verantwoordelijke immers de
geregistreerde gegevens in feite op juistheid ên actualiteit bij de betrokkene.
" '.

l

"

Zo verknjgfde verantwoordelijke meer zekerheid over de betrouwbaarheid van de registratie en
beperkt hij zijn aansprakelijkhèidsrisico. De nationale en internationale ontwikkelingen op het terrein
van privacybescherming zijn een extra argument om de cliënt te betrekken bij de verwerking en
bescherming van bijzondere persoonsgegevens. Ook nu al geeft de Wbp betrokkenen belangrijke
rechten ten aanzien van hun persoonsgegevens. Zoals het recht op informatie over de verwerkte
gegevens en op correctie van onjuiste gegevens. Betrokkenen kunnen in vele gevallen
verantwoordelijken verzoeken o m hun persoonsgegevens niet meer te verwerken.

De verwerking van persoonsgegevens zonder toestemming van de betrokkene zoals voorzien in de Wmo
2015 wijkt af van de bredere maatschappelijk trend van individualisering en zelfbeschikking.

13/252

Duthler (ill'Assöcïates

Tegelijkertijd beoogt het wetsvoorstel om mensen zoveel en zolang mogelijk de regie op het'eigen leven
te laten behouden. De spanning tussen beide uitgangspunten vraagt om meer aandacht en uitleg in de
memorie van toelichting. Wellicht is het inderdaad noodzakelijk om persoonsgegevens op deze manier
te verwerken. Maar dan moet transparant beargumenteerd worden waaruit die noodzaak bestaat. Dan
moeten alternatieven betrokken worden in de beoordeling en moeten waarborgen worden ingebouwd
tegen misbruik.

I

r- t
Tenslotte moet er, alles overziende, een afweging gemaakt worden tussen het bela'ng van'een goede
uitvoering van de Wmo 2015 enerzijds en de bescherming van de persoonlijke levenssfeer anderzijds
Onze visie is die van de Leidraad voor het afstemmen van wetgeving-op de,Wbp "wanneer'bhjkt dat de
gewenste voorziening noodzaakt tot het opstellen van nieuwe wetgeving ( ) voorzie dan*eerst in een
grondige motivering van het zwaarwegend algemeen belang en explTciteer welke passende waarborgen
,.
*
"
'*"
voor de bescherming van de persoonlijke levenssfeer worden geboden"5" Het argument van de
* *

*•

4.

v

v

<

; . *

f

beperking van de administratieve lasten voor de burgerjijkt op voorhand onvoldoende rechtvaardiging
'

»

'•*$*

-f,

" ^

•

voor de ingreep in de persoonlijke levenssfeer die Het gevolg is van de uitwisseling van
persoonsgegevens tussen 'Wmo-actoren' zonder de toestemming van de betrokkene. Er zijn vormen
van betrokkenheid van cliënten te overwegen(WaaTbij "lichtesvormen" van toestemming kunnen worden
:
7. kk
#>
gerealiseerd.
.
^
" •",- f
%

K^
^

f

% V

v

r
*"

Eén PIA zoals het CBP lijkt aan tè bevejen ?
"* v

T

-il,

"^"^

'"

\, -

•**•

In het CBP advies van 29'juli 2013 wordt aanbevolen een privacy impact assessment uit te voeren
J

-

'V:

v

waarmee in kaarfwordt
gebracht welke'gegevens, voor welk doel, zullen worden verwerkt en welke
i
waarborgen moeten worden getroffen om deze verwerkingen) in overeenstemming te brengen met de
t1?
*\\
.
eisen van de Wbp Dit advies'kan verkeerd worden verstaan als men daaruit de conclusie trekt dat met
'* V J •**
éen PIA^kan worden volstaan in het onderhavige kader. Een PIA heeft tot doel expliciete afwegingen te
«• -

y

maken met betrekkingVtbt de privacybescherming met het oog op een dynamisch proces van
** w

ft

t-'

richtmggeving^en tijdige corrigerende,acties op het punt van privacybescherming. In die zin kunnen
3

-tt

paragraaf 7 3 van de memorie van toelichting en het advies van het CBP als abstracte vormen van een
PIA worden gezien. De breedheid van de gegevensuitwisseling die wordt geregeld in de Wmo 2015 en

Leidraad p.13

14/252

DuthlerS Associates

de daarmee samenhangende voorstellen en terreinen, vergt naar onze mening een systematische
beoordeling van alle afzonderlijke gegevensuitwisselingen die in dit kader aan de orde zijn.

Deze afzonderlijke PIA's met behulp van het Toetsmodel PIA Rijksdienst moeten de basis vormen voor
de verschillende soorten regelgeving en andersoortige kaders en de toelichtingen die daarbij behoren.
Zij geven ook de mogelijkheid hieruit een samenvatting te destilleren die het vertrouwen'kan geven dat
de nieuwe regelgeving toetsing'aan de Wbp kan doorstaan. Onze visie isdat over de afzonderlijke
beoogde gegevensuitwisselingen zo spoedig mogelijk moet worden gerapporteerd op basis va~n .het
Toetsmodel PIA Rijksdienst. De volgende stap is het formuleren van een samenvattende°'PIA waaruit
blijkt dat de nieuwe regeling van de maatschappelijke ondersteuningteen comphancétoets kan
doorstaan.

.-_' _

Decentrale regelgeving

•>

*

De opdracht die voor de gemeenten.voortvloeit uit de-Wmo 2015', vraagt ook om meer decentrale
regelgeving. De huidige Wmo kent op grond van de artikelen 3js v al een opdracht voor gemeenten die
moet worden neergelegd in verordeningen (zie het voorbeeld vanjde VNG in bijlage 6). De Wmo 2015
zal moeten leiden tot aanpassingen van de*huidige decentraje regelgeving. Daarbij moet worden
opgemerkt dat de huidige verordeningen weinig expliciete aandacht schenken aan gegevensuitwisseling
en gegevensbescherming D^e'ei'varing leert bovendien dat bij gemeenten ook overigens
compliancetekorten kunnen worden.geconstateeVd als het gaat om de naleving van de Wbp.
"<>t

':

Het verdient aanbeveling ervoor te zorgen dat in de nieuwe Wmo verordeningen voldoende expliciete
aandacht wordt gegeven aan gegevensuitwisseling en gegevensbescherming. Ook de feitelijke naleving
\

ft*

^ y

vanjde Wbp verdient aandacht.^Een plan van aanpak in de memorie van toelichting met betrekking tot
de decentralejwetgeving is^daarom op zijn plaats Het voorgaande is daarom ook van belang omdat de
Wmo verordeningen basismateriaal zijn voor de PIA's waar gemeenten bij betrokken zijn. Zonder
bedoeld&aafipak in de memorie van toelichting kan niet met voldoende gezag worden beschreven dat
Vj

kan worden voldaan aan compliance met betrekking t o t de Wbp.
Onze visie met betrekking t o t de decentrale regelgeving brengt mee dat in het kader van de (memorie
van toelichting van de) W m o 2015 tijdig regie moet worden gevoerd zodat zowel voor de verordeningen

15/252

Duthler KlAssoGiates

als de PIA's (tijdig) beschrijvingen voorhanden komen die voldoende vertrouwen geven in het kunnen
doorstaan van een Wbp compliance toets.

CBP-adviezen
Het CBP heeft de afgelopen jaren kunnen constateren dat het bij de Wmo veel moeite kost een redelijk
niveau van compliance aan de Wbp te bereiken en te handhaven. Ook met de nieuwe Europese
regelgeving in het vooruitzicht is het begrijpelijk'dat het CBP kritisch reageert op.het concept van de
Wmo 2015. Er is immers veel onduidelijk en nog in bewerking. Bovendien is de memorie varntoélichtine
sober in zijn aandacht voor de bekende thema's van de Wbp terwijl het Wmo dossier nieuwe stijl.daar

*t
w e l o m vraagt.

' <<

**

*>

?'

.

%

**J\,

*

<£,

j -J
*

^

>'»

~ - '

-v

,• l

Onze visie houdt in dat wat betreft gegevensuitwisseling en gegevensbescherming voor een
voorspoedig wetgevend traject op allerlei fronten extra inspanning moet worden geleverd Daarbij kan
het clausuleren en faseren van het ambitieniveauhKélpen De extra inspanning'tnoet.in onze visie op
twee manieren tot uiting worden gebracht enerzijSsjdoor rfet zo veel rrfSgelijk terugbrengen van
w\

i

onzekerheden en onduidelijkheden waar dit mogelijk is"; anderzijds^oor het opsommen van
inspanningsverplichtingen die in de komende tijd leiden tot resultaten en waarborgen.
Structurele gegevensbescherming en -uitwisseling inkde Wmo en UZ richtinggevende uitgangspunten
Voorde uitwerking vamonze visie op de beoo'gde'integrale aanpak van de Wmo 2015 (zie 4.1) kunnen
'

*

•

"

*

een aantal richtinggevende uitgangspunten voor de uitvoering worden opgesteld.
Het doel moet zijn het tot stand brengen van een tot evenwicht gekomen samenwerkingsverband voor
i

S.

de uitvoering vanxle Wmo met een'zekere tolerantie en een grote mate van zelfregulatie. Wij noemen
B J

'j

* ~

dit het realiseren van een
Wmo-ecosysteem. Hoe moet dat in onze visie worden gemanaged?
* \
„ ^'"
"fr^ Van eenindividu bestaan in administraties van instellingen vele verschillende persona's
*v «
\
's(karaktenseringentvan-een bepaald type gebruiker). De verschillen vloeien voort uit het hanteren van
verschillende definities van begrippen, gehanteerde contexten eh/of de informatie over de persona's is
*- j>-

gewoonweg fout.

Kwaliteitvan informatie maakt een effectieve en efficiënte uitwisseling van informatie tussen
verschillende instellingen en actoren in een keten of netwerk. Adequate en onderling samenhangende
definities van begrippen (de semantiek) vormen de basis voor het organiseren van kwaliteit van

16/252

Duthler ®Assöciatè's-

informatie. De relevante wet- en regelgeving vormt de basis (de legitimatie) voor de definitie van
begrippen. De definities van begrippen en ook de definities van processen moeten worden vastgelegd in
gezaghebbende taxonomieën. De complexiteit van de onderlinge samenhang tussen de vele relevante
wetten en regels kan hierbij worden gemanaged met een policy framework. Een Trusted Third Party
(TTP) of ook wel een semantisch Trust Center (sTC) is geschikt voor het beheer van de taxonomieën
(notarisfunctie) en kan de uitvoering faciliteren (makelaarsfunctie).
Uitgaande van het Wmp-ecosysteem waarbij gegevens- en procestaxonomieen richtinggevend zijn voor
de taken, bevoegdheden en verantwoordelijkheden van de actoren wordt de verantwoordelijkheid van
de kwaliteit van informatie bij het individu gelegd. Om deze verantwoordelijkheid te dragen faciliteert
fA

-ji

het sTC het individu met de informatie over zijn of haar verschillende perstina's uit dê administraties van
de instellingen.

'» „

..

•'t-

**

~ V'

Verschillende persona's van een individu kunnen beoogd en wenselijk zijrt Hetjndividu heeft echter wel
>

,1»

'S

het recht op inzage, correctie, doorhaling en zelfs het recht om vergeten te worden Het individu moet
V
,
't' j
dan ook worden "empowered" de rechten uit te oefenen door verzoeken voor te leggen aan instellingen
de persona's aan te passen.

"ti
,0

•'

'
Ï

Het verschuiven van de taak naar het individu om de kwaliteit van zijn of haar informatie te borgen

< %t -

, *,

,

geeft invulling aan het toestemmingsvereiste uit het wettelijk kader. Tegelijkertijd wordt de
J

<*

„i

"

verantwoordelijkheid en hiermee de aansprakelijkheid van de instelling voor het borgen van de kwaliteit
van de informatie over het individu'verlaagd tot te managen proporties.

Door het toepassen van het Wmrf ecosysteem waarbij de toestemming van het individu voor het
,

*

ji f '

•#*

verwerken van zijn of'haar informatie expliciet is ingekaderd in het raamwerk van de taken,
bevoegdheden en verantwoordelijkheden van de actoren kunnen ook aan de andere eisen uit de
(aankomende) wetgeving - door de instellingen zelf-invulling worden gegeven. Wij benoemen hier
" 'V.

f

-

zonder volledig te willen zijn expliciet het ontwikkelen en uitvoeren van en daarover verantwoording
afleggen ovePBéleid op het vlak van gegevensbescherming en veiligheid, aanstellen van een functionaris
voor de gegevensbescherming, in stand houden van overzicht en inzicht in de gegevensverwerkingen,
voldoen aan de actieve en passieve informatieplicht, uitvoeren van PIA's, toepassen van privacy by
design en privacy by default, faciliteren van dataportabiliteit en melden van datalekken.

17/252

Duthler ® Associates

Het wettelijk kader vraagt om nauwe samenwerking tussen actoren in de keten en/of het netwerk.
Dataportabiliteit kan niet door slechts een aantal instellingen worden afgesproken. Er is een
onafhankelijke en onpartijdige derde nodig die non-competitieve randvoorwaarden faciliteert voor het
ecosysteem.

Het toepassen van wet- en regelgeving op het vlak van gegevensbescherming kan leidenïtot majeure
efficiency en kpstenverbeteringen in het ecosysteem. Drijver hierbij is datakwaliteit Het toepassen van
de wet zonder een ecosysteem leidt tot majeure kostenstijgingen en slecht af te dekken risico's voor
bijvoorbeeld (niet) melden van datalekken.

* ^,

*"*<"%

„\

Het ecosysteem biedt de verschillende instellingen in de keten ofthet netwerkivoldoende beleidsruimte
c
;
- v s*< '
om bedrijfsprocessen voor gegevensverwerking naar eigen inzicht in teJ/iJllen

' *& _

In de (her)verdeling van taken, bevoegdheden en verantwoordelijkheden tussenunstellmgen onderling
neemt het sTC onnodige complexiteit weg en maakt'bruikba're modellen van decharge mogelijk.

^

"V

'!A

*

r

Hiermee kan worden voldaan aan de uitgangspunten van goed oestuur *

18/252

.Duthler® Associates

2 Achtergrond
In het Regeerakkoord van oktober 2012 kondigde het kabinet hervormingen in de langduVige zorg aan.6
In april 2013 werden in een brief aan de Tweede Kamer deze hervormingen gespecificeerd1 De
extramurale zorg, nu onderdeel van de Algemene Wet Bijzondere Ziektekosten (AWBZ), wordt vanaf, 1
,,* ~januari 2015 ondergebracht in de Wet maatschappelijke ondersteuning (Wmo), de Zorgverzekenngswet
(Zvw) en de Jeugdwet.

it
J

' \

**
" *

%'-

Voor gemeenten betekent dit, datzij met betrekking tot de Wmo voor.inwoners van achttien jaar en
ouder de zorg gaan organiseren die nu valt onder de AWBZ-functies Begeleiding^Persoonlijke Verzorging
•fc

^ ~ „• •

en Kortdurend Verblijf. Daarnaast worden gemi
gemeenten in verband metfde Jeugclwet verantwoordelijk
voor een groot deel van de zorg voor kinderen.

Het wetsvoorstel voor de Wmo maaktdeeHuit van een bredere hervorming van de langdurige zorg en
ondersteuning In de brief aan de Tweede KameV van 25,april 2013 zijn de uitgangspunten van de
«

•

i

k

,

.

t ,

hervorming van de langdurige*zbrg,beschreven
tf. "^ .
1
2
3
4

>

f

'

l
,

" ,'

Uitgegaan wordt-van wat mensen'(nog)swel kunnen in plaats van wat zij niet kunnen. Kwaliteit
van leven (welbevinde'n) staat voorop
Als ondersteüningfnodig is^twordt allereerst gekeken naar het eigen, sociale netwerk en de
financiële mogelijkheden vanJbetrokkenen en wordt de hulp dichtbij georganiseerd.
Voor«wie - ooklmet steun van de omgeving - niet (meer) zelfredzaam kan zijn, is er altijd (op
participatie gerichte) ondersteuning en/of passende zorg.
De meest kwetsbare mensen krijgen recht op passende zorg in een beschermende, intramurale
omgeving inleen nieuwe kern-AWBZ
j

"Onderdelen van de'AWBZ die overwegend gericht zijn op ondersteuning en participatie worden
onder de verantwoordelijkheid van gemeenten gebracht.

Hetzelfde Regeerakkoord bevatte ook een passage over de toepassing van PIA's: "Bij de bouw van
systemen en het aanleggen van databestanden is bescherming van persoonsgegevens uitgangspunt.
Daar hoort een zogenaamd privacy impact assessment (PIA) standaard bij."
Brief aan de Tweede Kamer, 25 april 2013, Hervorming langdurige zorg: naar een waardevolle
toekomst

19/252

Duthler© Associates

De brede verantwoordelijkheid van gemeenten binnen het sociale domein - want ook de
Participatiewet wordt gedecentraliseerd- biedt ruimte voor dwarsverbanden op lokaal niveau. Met
de gemeentelijke verantwoordelijkheid in het kader van de nieuwe Jeugdwet krijgt dit nog een extra
impuls. Zorg gericht op genezing of behoud van lichamelijke en geestelijke functies, zoals verpleging,
wordt verleend vanuit de Zvw. Om de samenhangende zorg vanuit de Zvw te versterken, worden
onderdelen van de huidige AWBZ die gericht zijn op behandeling en verpleging onder de Zvw
gebracht. Vanwege de samenhang met de Jeugdwet wordt daar behandeling tot 18 jaar voor
kinderen met een verstandelijke beperking of psychiatrische aandoening samengebracht De meest
kwetsbare mensen houden bescherming in een nieuwe kern-AWBZ. De grenzen tufsen de Wmo,
Zvw, Jeugdwet en kern-AWBZ worden scherp getrokken om afwenteling tegen'te gaa*n»,TegeJijkertijd
is afstemming en samenhang nodig. Het kabinet wil bevorderen dat gemeenten, zorgverzekeraaVsien
zorgkantoren intensief samenwerken bij het tot stand brengen van een integrale ondejsteuning op
maat.
*%*.
^
"»

2.1 Wijzigingen vanaf 2015: AWBZ-zqrg via gemeente of
zorgverzekering8
Het kabinet wil de AWBZ vanaf 2015 ingrijpend hervormen Allèen'de zwaarste, langdurige.zorgwordt
dan nog vergoed uit de AWBZ. Lichtere vormen van AWBZ-zorg gaan naar gemeenten of worden
fe
*
geregeld via de zorgverzekering De taakverdeling ziet er vanaf 2015 zo uit
4-"

" v

'r*

* ^

- V>,

'li

Gemeenten gaan zorgen voor clêsbegeleiding en persoonlijke verzorging aan huis. Zoals hulp bij aan- en
uitkleden en haren wassen Huishoudelijke hulp wordt alleen nog door de gemeente betaald als
•c

^

betrokkene een laagïnk'bmen heeft

**••*• „y

•*

" '.«t..

Zorgverzekeraars medische zorg Medische zorg, zoals verpleging en langdurige geestelijke

v -A.-*

V

gezondheidszorg, wordt geregeld in de zorgverzekering.

'"Rijksoverheid langdurige zorg De Rijksoverheid blijft verantwoordelijk voor de langdurige zorg (met
uitzo'ndenng van de langdurige geestelijke gezondheidszorg). Daarmee wordt de zwaardere zorg voor
ouderen erf gehandicapten in instellingen bedoeld. Die zorg blijft vergoed uit de AWBZ. Cliënten gaan
een hogere eigen bijdrage betalen.

8

Ontleend aan: www.rijksoverheid.nl/onderwerpen/algernene-wet-bijzondere-ziektekostenawbz/ontwikkelingen-in-de-awbz

20/252

Duthler @ Associates

Het kabinet wil dat mensen die zorg nodig hebben, langer thuis kunnen blijven wonen. Op die manier
blijft de zorg betaalbaar en kunnen mensen langer over hun eigen leven blijven beslissen. Daarom
krijgen meer mensen in 2013 een indicatie voor zorg thuis. Dit heet ook wel extramurale zorg.

Mensen die in 2012 nog in aanmerking zouden zijn gekomen voor een licht zorgzwaartepakket en een
indicatie voor zorg in een instelling (intramuraal), krijgen in 2013 een indicatie voor zoYg thuis Personen
die op 1 januari 2013 een indicatie voorzorg met verblijf hadden, behouden recht op zorg in een •instelling. Het kabinet wil dat op termijn ook zwaardere vormen van zorg thuis worden geleverd.

2.2

Het wetsvoorstel Wmo
r9

De brief aan de Tweede Kamer schetst de integrale benadering van het gehele sociale domein waar het
*-,.
" vfv-'
^wetsvoorstel W m o onderdeel van is:
'\
Sinds de invoering van de W m o in 2007 zijn gemeenten aan de slagVnet De Kanteling. Deze
ontwikkeling sluit aan bij de visie van h e f k a b i n e t op s de langdurige zorg De burger en de
gemeente gaan samen in gesprek, waarbij de individuele behoeften en mogelijkheden centraal
Staan in plaats van de beperking of de zorgvraag In goed overleg w o r d t gekeken naar de
mogelijkheden van de burger zelfden die van zijn sociale omgeving. Als.de burger m e t behulp van
het eigen netwerk redelijkerwijs niet in staat is;om te participeren, kan een beroep w o r d e n gedaan
op ondersteuning door de ge'mêente jHierbij w o r d t eerst verkend of een (meer doelmatige)
algemene of collectieve vobrziening t o e r e i k e n d ^ Individuele voorzieningen zijn beschikbaar indien
een collectieve voorziening ontoereikend is Gemeenten zijn verantwoordelijk voor de
ondersteuning van mensen in het gehele sociale domein op grond van de W m o , Jeugd wet en de
Participatiewet Hierdo6r,zijn ZIJ beter in staat om te komen t o t een oplossing, die aansluit bij de
behoeftenièn mogelijkheden van hun inwoners Overigens krijgen gemeenten ook in het kader van
de Jeugdwet te maken m e t eenaantal cliënten die t o t dusver onder de AWBZ vallen.
Gemeenten knjgen>per 1 januari 2015 op grond van de W m o een brede verantwoordelijkheid voor
de ondersteuning varfburgers die beperkt kunnen participeren. Door gerichte ondersteuning bij het
l \ . voeren van regie op^het eigen leven, het uitvoeren van algemeen dagelijkse levensverrichtingen en
" het ontmoetën'varPandéren,,kunnen burgers met een beperking langer thuis blijven wonen en
participeren in de maatschappij. Dit draagt bij aan hun welbevinden en voorkomt onnodige
medicalisering De aanspraken op extramurale zorg in de AWBZ komen te vervallen, de W m o word
aangepast en de bijbehorende budgetten worden overgeheveld naar gemeenten. Dit betekent gee
overheveling van rijkstaken, maar wel een overheveling van het budget zodat gemeenten in grote

9

Brief aan de Tweede Kamer, 25 april 2013, Hervorming langdurige zorg: naar een waardevolle
toekomst

21/252

Duthler ©Associates

beleidsvrijheid ondersteuning op maat kunnen organiseren. Derhalve kan men, anders dan aan de
AWBZ, geen verzekerde rechten ontlenen aan de Wmo.
De nieuwe en belangrijke rol die gemeenten daarin vervullen, vraagt om een herijking van de Wmo.
Ik zal daarom later dit jaar een nieuw, integraal wetsvoorstel naar de Tweede Kamer sturen.10
Het wetsvoorstel beoogt onder meer dat betrokkenen eerst een beroep doen op hun sociale netwerk.
,%

i
*> -

Gemeenten betrekken het netwerk en de sociale draagkracht bij het beoordelen van een vraag om
ondersteuning. Wellicht kan een familielid, buur of vrijwilliger een rol spelen'b'jj het verlichten van
de problematiek. Ik wil ook deze gedachte in de herziene Wmo verankeren Het tonadrSkkeTlijk^niet
de bedoeling een verplichtend kader in de wet op te nemen. Het is juist de!bedoelirïg;pm'aan te "*
sluiten bij de gebruikelijke sociale verhoudingen tussen mensen
,
\,
'^
~ t,
Over de planning van het wetgevingsproces vermeldt de brief het volgende

»% '***

Het voorliggende wetsvoorstel rond wijziging van de Wmo zal worden.ingetrokken|||>
De met ingang van 2015 in de Wmo door te voeren wijzigingen inzake de uitbreiding van de taken
en de aanpassing van de compensatieplicht worden opgenomen in een wetsvoorstel voor een
nieuwe Wmo. Indiening van dit wetsvoorstel bij'de Tweede Kame"r,is voorzien voor najaar 2013.
Zodra het wetsvoorstel voor een nieuwe Wmo door1het parlement^ aanvaard, volgt publicatie van
de eventueel noodzakelijke wijzigingen in het Besluit maatschappelijke ondersteuning in het
Staatsblad. Dit besluit treedt met ingang van 2015 ih'werkmg n
Het wetsvoorstel dat is mgetrokken^etrof de^wijziging van'de Wmo12 Het was oorspronkelijk ingediend
op 21 december 2011 en beoogde "••
'-, H
'-

'i
*

ft

' h

(...)de gemeentelijke taken uit te breideji met begeleiding voor personen zonder verblijfsindicatie en
kortdurend verblijf ten bênoeve^van personen die zijn aangewezen op permanent toezicht. Beoogd
was dit wetsvoorsteljte kunnen invoeren mef'ingang van 2013. Tijdens de demissionaire
periode van het vorige kabinet is de behandeling van het wetsvoorstel in de Tweede Kamer
s
opgeschopt '**
,
'•«
In het Regeerakkoord VVD - PvclA is vastgelegd dat gemeenten met ingang van 2015 geheel
verantwoordelijk worden voor de activiteiten op het gebied van ondersteuning, begeleiding en
verzorging Dit vereist een verdergaande en op andere wijze vorm te geven taakuitbreiding voor de
gemeenten dan met hetaanhangige wetsvoorstel werd beoogd. Er wordt naar gestreefd in het
najaar van 2013 een daartoe strekkend wetsvoorstel bij de Tweede Kamer te doeri indienen. Het
wordt niet wenselijk geacht voorafgaand aan deze verdergaande wetswijziging per 2015 de Wet
maatschappelijke ondersteuning eerst nog met ingang vari'2014 te wijzigen; het aanhangige
wetsvoorstel zou dan eerst nog zeer ingrijpend moeten worden aangepast.

*

10

Bijlage bij brief aan Tweede Kamer, 25 april 2013, p.7
Bijlage bij brief aan Tweede Kamer, 25 april 2013, p.20
12
TK 2011-2012, 33127
11

13

Brief van staatssecretaris van VWS aan TK, 21 juni 2013, intrekking wetsvoorstel 33127

22/252

Duthler raAssociates

2.3 Gegevensbescherming in het wetsvoorstel Wmo
Uit de huidige tekst van de memorie van toelichting blijkt dat verwerkingen van persoonsgegevens voor
de uitvoering van de Wmo van cruciaal beiang zijn. Gegevensuitwisseling is essentieel voorde
noodzakelijke afstemming tussen de verschillende partijen werkzaam in de maatschappelijke

V,

'l "

ondersteuning. Gemeenten, zorgaanbieders, zorgkantoren, zorgverzekeraars„,CIZ en'ÜXK ma'ken allen
gebruik van persoonsgegevens van cliënten. Voor een geïntegreerd aanbod van voorzieningen is inzicht
en overzicht nodig.
Bij de parlementaire behandeling moet zoveel mogelijk voorkomen worden dat de onderdelen van het
'

t-

,

' ^

wetsvoorstel die gaan over gegevensbescherming, knelpuntertopleveren diesvermeden hadden kunnen
'

i

v

^

*

>'

worden met behulp van bijvoorbeeld een alternatieve juridische argumentatie De paragrafen over de
verwerking van persoonsgegevens in het wetsvoorstel moeteh'vpldoen aan de van toepassing zijnde
juridische eisen. De politieke besluitvorming mag,niet gehinderd worden door twijfel over de
gegevensbescherming en juridische'aspecten van de gegeve'hsverwerkingen.

£/*

\_

De impact op de persoonlijkë'levenssfeer'van^de gegevensverwerkingen zoals beschreven in het
wetsvoorstel is aanzienlijk. De vêq/verkingen in het kader van de nieuwe Wmo hebben onder meer

'

-

?,

''*

betrekking op de gezondheid^ van betrokkenen Er worden dus bijzondere persoonsgegevens in de zin
u

}

"'\

* .*

van artikel 16 van de wbp verwerkt (nl. medische persoonsgegevens en gegevens omtrent het seksuele
leven).'Er worden persoonsgegevens van zogenoemde 'kwetsbare' personen verwerkt. En er worden
persoonsgegevens van huisgenoten van betrokkenen verwerkt.
f*

*-. A

« ^ '

Vanwege de aard varï*de onderwerpen waarin de W m o 2015 voorziet is het onvermijdelijk dat
bijzondere persoonsgegevens verwerkt worden. Bij de behandeling van het wetsvoorstel zal de
gegevensbescherming naar verwachting dan ook veel aandacht krijgen. Tegen deze achtergrond moet
ook de recente toezegging van de staatssecretaris aan de Tweede Kamer gezien worden "dat bij beide
wetgevingstrajecten [ W m o en kern-AWBZ] rekening w o r d t gehouden met een privacytoets". Het

23/252

Duthler §11 Associates

voorlopige advies van het CBP over het concept van de Wmo 2015 is daarvoor een belangrijk
uitgangspunt.

Het wetsvoorstel Wmo 2015 beschouwt toestemming.door de betrokkene niet als een bruikbare
gerechtvaardigde grondslag voor de verwerkingen. Voor de werkzaamheid van de wet moet het
verstrekken van (bijzohdere) persoonsgegevens tussen de verschillende actoren onderling mogelijk zijn
zonder dat daarvoor telkens de ondubbelzinnige toestemming van de dient dient te worden gevraagd.
Het wetsvoorstel voorziet daarom in wettelijke gronden voor de verschillende verwerkingen De
" • \

"

>

gegevensverwerking wordt vervolgens toegestaan op grond van de verwerkingsgrondslag.van artikel 8
?
^
"»lid e Wbp (goede vervulling van een publiekrechtelijke taak) Daardoor hoeft geen beVoep te^worden
j *

*

*

i**

gedaan op verwerkingsgrondslag 'ondubbelzinnige toestemming' van betrokkene van art "8 lid a, aldus
i
het wetsvoorstel.
Zelfbeschikking versus pragmatisme7

%

.

<-&

,

~f

**'

Het verwerken van persoonsgegevens zonder toestemming van cle betrokkene is op het eerste gezicht

K

""^ V**

begrijpelijk uit pragmatische overwegingen Wanneer voor elke verwerking toestemming gevraagd moet

V i •» ^"f%.
*
worden, zal de administratieve last aanzienlijk toenemen Anderzijds ontwikkelt het maatschappelijk
denken zich steeds meer in de richting van het recht op'zelfbeschikking van het individu. De brede
"

•ï'

aanpak van de beoogde maatschappelijke ondersteuning is een extra argument om tegemoet te komen

'^

i

'• ,

K

aan het recht op zelfbeschikking vanfhet individu 'Door gerichte ondersteuning te bieden "bij het voeren
van regie op het eigen leven" is het wetsvoorstel Wmo 2015 wel een voorbeeld van deze trend. De
vraag is of de tegemoetkomingen in het wetsvoorstel voldoende overtuigend zijn. PIA's van de
onderscheidene'gegevensuitwisselingen moeten echter uitwijzen of dit voldoende is.
'

* * •

*

^

-

*

>

Het is worts de vraag of verwerking zonder toestemming van de betrokkene op den duur kosten
bespaart De verantwoordelijke moet ervoor zorgen ("maatregelen moet treffen") dat de
persoonsgegevens "juist en nauwkeurig"14 zijn. Eenmalige uitvraag en daaropvolgende voortdurende
verwerking van eenmaal verkregen persoonsgegevens brengt het risico met zich mee dat de gegevens
op enig moment niet meer kloppen. Wanneer een beslissing in het kader van de Wmo genomen wordt
op grond van verouderde, onjuiste gegevens is de verantwoordelijke aansprakelijk voor eventuele
14

Art. 11 lid 2 Wbp

24/252

Duthlër ra'Associates.

schade. Ook bij verlies van data ligt aansprakelijkheid van verantwoordelijken voor de hand. Gezien de
toegenomen aandacht voor privacy en de versterking van de rechten van betrokkenen is een beroep op
deze aansprakelijkheid geen denkbeeldige situatie. Gold vroeger het adagium "information is an asset",
tegenwoordig kan met evenveel recht gesteld worden: "information is a liability".

Uit het oogpunt van datakwaliteit is het aan te bevelen om de toestemming van de cliënt te vragen voor
de verwerking van diens persoonsgegevens. Bij het vragen om toestemming toetst de verantwoordelijke
de geregistreerde gegevens op juistheid en actualiteit bij de betrokkene Zo verkrijgt de

•""','• '

verantwoordelijke meerzekerheid over de betrouwbaarheid van de registratie en beperkt deze zijn
risico.

j,.

J

\

",^

Privacy en gegevensbescherming krijgen de laatste jaren meer aandacht van het publiek en van de
politiek. Dat blijkt onder meer uit de berichten in de media over datalekkén, afhjisterprogramma's en

*>^

">

V^t 1 '

elektronische patiëntinformatie De pnvacyvoorwaarden van sociale media en zoekmachines zijn steeds
vaker onderwerp van publieke discussie Toezichthouders zoals het CBP stellen zich assertiever op en
werken internationaal samen bij de handhavingji/an gegevensbescherming en het aanscherpen van
regelgeving. De politieke aandacht voor privacy is'bijvoorbéeld merkbaar aan het initiatief van de
Tweede Kamer om de meldplicht bij datalekkén versneld in te voeren
„,-^ai^
<a

*"

*
£

Ook de boetebevoegdheid vanMiet GBP«.wordt^op verzoek van de Tweede Kamer uitgebreid15. De
Europese Privacyverordemqg (EPV)ibeyat vergaande en ingrijpende verplichtingen. Op overtredingen
staan hoge boetes Een van de belangrijkste kenmerken van de EPV is de versterking van de rechten van
betrokkenen het 'empowermentVan het individu'. Burgers krijgen meer mogelijkheden om greep te
houden op hun eigen'persoonsgegevens. Naast de traditionele gegevensbeschermingsrechten van het
individu bevat de EPV bijvoorbeeld ook het "recht 'om vergeten te worden".
i

"*'

%

e

Ook nu al'geëft de Wbp betrokkenen belangrijke rechten ten aan zien van hun persoonsgegevens. Zoals
het recht op informatie over de verwerkte gegevens en op correctie van onjuiste gegevens. Betrokkenen
kunnen in vele gevallen verantwoordelijken verzoeken om hun persoonsgegevens niet meer te
verwerken.

15

TK 2011-2012, 32761 nr. 35, motie Recourt c.s. over boetebevoegdheid CBP

25/252

Duthler ©Associates

De verwerking van persoonsgegevens zonder toestemming van de betrokkene zoals voorzien in de Wmo
2015 wijkt af van de bredere maatschappelijk trend van individualisering en zelfbeschikking.
Tegelijkertijd beoogt het wetsvoorstel om mensen zoveel en zolang mogelijk de regie op het eigen leven
te laten behouden. De spanning tussen beide uitgangspunten vraagt om meer aandacht en uitleg in de
memorie van toelichting.

*?*
i*

.

*

^ \ K

Wellicht is het inderdaad noodzakelijk om persoonsgegevens op deze manier te verwerke^Maar dan
moet transparant beargumenteerd worden waaruit die noodzaak bestaat Dan'moete^alternltieven*
betrokken worden in de beoordeling en moeten waarborgen worden ingebouwd tegen m,sbruik *
a

•C*

Tenslotte moet er, alles overziende, een afweging gemaakt wordentussen hetlbelang van é^n goede
uitvoering van de Wmo 2015 enerzijds en de bescherming van'de persoonlijke levenssfeer anderzijds.
Een wettelijke verwerkingsgrond moet immers voldoen aardde vereisten van subsidiariteit en
proportionaliteit. Subsidiariteit wil zeggen dat hetzelfde resultaat ook beteikt worden op een andere
manier die minder ingrijpt in de persoonhjke'levenssfeeVpmportmnaliteit brengt met zich mee dat de
belangen van de betrokkenen bij de eerb'.èd.gmg van de pereoonslyk levenssfeer worden afgewogen
tegen het belang dat de verantwoordelijke heeft'b.j het verkerken van de persoonsgegevens. Onder
meer op het punt van de belangenafweging kan het wetsvoorstel Wmo versterkt worden.
Maatschappelijke belangen zoalstóescherming fèn de gezondheid van burgers en de noodzaak om de
kosten van de langdurige zorg te beheersenfkomen hierbij aan de orde

De Leidraad vod> het afstemmen van wetgeving op de Wbp formuleert het aldus: "wanneer blijkt dat de
gewenste voorzien.ngWdzaakttot het opstellen van nieuwe wetgeving (...) voorzie dan eerst in. een
grondigj motivering vanhet zwaarwegend algemeen belang en expliciteer welke passende waarborgen
voor de bescherming van de persoonlijke levenssfeer worden geboden."16
S-

Het argument van de beperking van de administratieve lasten voor de burger lijkt op voorhand
onvoldoende rechtvaardiging voor de ingreep in de persoonlijke levenssfeer die het gevolg is van de
uitwisseling van persoonsgegevens tussen 'Wmo-actoren' zonder de toestemming van de betrokkene.
Leidraad p.13

26/252

Duthler@Assbciates

3 Privacy Impact Assessment
3.1 Object van de PIA's
In paragraaf 7.4 van de memorie van toelichting zijn de volgende vijf gegevensuitwisselingen^
onderscheiden:

-^

o

Gegevens van gemeenten naar aanbieder

o

Gegevens van aanbieder naar gemeenten

•

Gegevens van gemeente en aanbieder naar CAK

__ v ,-j,

o

Gegevens van bestuursorganen naar gemeenten

*!

•

Zorgverzekeraar naar gemeente

>~, , ,

JA

^
's'

)

- ,
,v

1

'* ''

Deze uitwisselingsrelaties geven echter nief het volledige beêld.'Bij nadere bestudering zijn er nog vele
relaties te onderscheiden binnen en naast deze hoofdcategorieën Gaandeweg en in overleg met de
P

P

~

-

r

,

-^

opdrachtgever zijn deze uitwisselingsrelaties gespecificeerdfrnet als doel om de uitwisseling van
^\
gegevens meer te concretiseren"; zodat^met gebruikmaking van de PIA-methodiek een indruk van de
gevoeligheid per uitwisselingsrelatié'gemaakt kan worden Daartoe heeftVWS een specificatie naar 21
gegevensuitwisselingsfelaties gemaakt
i. J,
*V
4
/f

t\

"•K

De meest gevoelige gegevensuitwisselingsrelaties en verwerkingen zijn onderworpen aan een volledig
Privacy Impact Assessment vojgens de methodiek van het Toetsmodel.PIA Rijksdienst (ook in die
gevallen waarvoor het Toetsmódel niet per 1 september a.s. gaat gelden).
-Van de geïdentificeerde relaties is bij de PIA bepaald welke actoren verantwoordelijk zijn voor de
verwerking

v

Selectie
Voor de PIA's zijn verstrekkingen en verwerkingen geselecteerd waar op grond van het karakter van de
relatie of van de aard van de Verwerkte persoonsgegevens een risico voor de gegevensbescherming te
verwachten is. De selectie op basis van deze risk-based aanpak betreft:

27/252

Duthler EB'Associatés

1.

De verstrekking van gemeente naar zorgaanbieder (vanwege medische gegevens);

2.

De verstrekking van gemeente naar zorgverzekeraar (vanwege nieuwe actor zorgverzekeraar en
medische gegevens);

3.

De verstrekking van zorgverzekeraar naar gemeente (idem);

4.

De gemeentelijke gegevensverwerking in het gehele sociale domein (artikel 4.1.1 Wmoi2015);

5.

De verwerking van persoonsgegevens in het kader van 'huiselijk geweld' (art 4 3 1 t/m 4 3 5 Wmo

2015)

"V\
%

j

*

»

De verwerking door de gemeente van de persoonsgegevens uit de verschillende subsectoren van het

&

'v

ni

sociale domein (Participatiewet, Wet op de gemeentelijke schuldhulpverlening, Jeugdwet) tembehoeve
r'
van de uitvoering van de Wmo is geselecteerd voor een PIA, omdat hierbij bijzondere (medische)
»

^

*

y *i

<c ^

gegevens verwerkt worden. Bovendien worden hier gegevens'waarïegemeente'uit anderen hoofde
%
^ %.
"4r
over beschikt, gebruikt voor een nieuw doel de uitvoering van deA/Vmo ,
CA

.

>,''-

;

De geselecteerde items zijn elk onderworpen aan eên.pnvacy impact assessment (PIA) volgens het
Toetsmodel PIA Rijksdienst Het Toetsmodel hanteert de'VVbp als^normenkader. De keuze voor een PIA
in het kader van deze opdracht komf overeen met het CBP advies over 'de 14 juni versie' van het
wetsvoorstel Wmo 2015 om een PIA'toe te passen als beoordelingsinstrument. In de brief aan de
Tweede Kamer over de hervorming'van de langdurige zorg heeft de staatsecretaris toegezegd dat een
J

' «N , j f

privacytoets zal worden uitgevoerd op zowel de;kern-AWBZ als op de Wmo 2015. Voor wat betreft de
Wmo 2015 is deze
rapportage door de toepassing van het Toetsmodel PIA Rijksdienst in lijn met zowel
f
"
**
~
het advies van'fiet CBP^als
de toezeggirig^aan de Tweede Kamer.
v

"*!,

'\

*,

De gegevensuitwisselingen zoals beschreven in het wetsvoorstel zijn in deze rapportage alleen
*'s *>
"-;.
beoordeeld met behulp van het instrument van de PIA.

3.2 Toetsmodel PIA Rijksdienst
Voor de PIA's die uitgevoerd zijn in het kader van deze opdacht is gebruik gemaakt van het Toetsmodel
PIA Rijksdienst, dat vanaf 1 september 2013 verplicht moet worden toegepast.
17

Brief van CBP aan de staatssecretaris van VWS, 30 juli 2013, Advies concept wetsvoorstel Wmo 2015,
p.3

28/252

Duthteh®.Associates.

Het PIA-toetsmodel Rijksdienst zal vanaf 1 september 2013 standaard worden toegepast bij
ontwikkeling van nieuwe wetgeving ën beleid waarmee de bouw van nieuwe ICT-systemen of de
aanleg van grote databestanden wordt voorzien. Hiertoe zal herworden opgenomen in het Integraal
Afwegingskader voor beleid en regelgeving en het Handboek Portfoliomariagement. De resultaten
van een uitgevoerde PIA zullen telkens - nog in de fase van beleidsontwikkeling - ter beschikking
worden gesteld aan de betrokken functionaris(sen) voor de gegevensbescherming en, waar nodig,
aan de betrokken Chief Information Officer(s). Waar het gaat om wetgeving zal verslag worden
gedaan van de PIA-uitkomsten in de memorie van toelichting 18
In onderdeel A 'ten geleide' van HetToetsmodel PIA Rijksdienst is een taak voor de departementale CIO
geformuleerd. Bij een wetgevingstraject moet de CIO tijdig betrokken worden, onder meer opdat hij/zij
kan beoordelen of een PIA gewenst is.

i-^

V

"

Voorafgaand aan de PIA's die in het kader van deze rapportage zijn verrichtj|ieeft het ministerie van
VWS de CIO om advies gevraagd. Het eerste advies van de CIO luiddja voer een PJA uit en gebruik deze
toets om het wetsvoorstel te verbeteren.19

s,,

*-\

**•

'h
Het CBP hanteert de volgende definitie van een RIA20:'
Een PIA is geen "compli'ance toets," maar.een instrument'om in een zeer vroegtijdig stadium van de
ontwikkeling van nieuwe producten, diensten en belejdsvoornêmens aan allen die daar mee doende
zijn en aan leidinggevenden de nsico!s in/elatie tot bescherming persoonsgegevens op
overzichtelijke wijze in kaart te brengen Iviet die kennis gewapend kan vervolgens de verdere
ontwikkelingvan het product, de djenst of het-beleidsvpornemen ter hand genomen worden en kan
de meer juridische "compjiance" toets (dwz voldoet het voornemen in uitwerking aan, met name,
de Wbp) verricht worden>
^
">
l

"

">

f

5 'NV

Er is voor gekozen om de'PJA-methodiek niet alleen toe te passen op gegevensverwerkingen bij de
f
„V'V,
"<»
afzonderlijke-partijen maar ook,op gegevensuitwisselingsrelaties of verstrekkingen, omdat de
r

;

*

"r7!t

gevoeligheid van het wetsvoorstel Wmo 2015 niet alleen te maken heeft met de aard van de gegevens
< h

V*

*£'" " %

binnen
de afzonderlijke
verwekkingen.
ook het feitindat
de gevoeligegegevens
uitgewisseld
tussen partners
maakt datVooral
het wetsvoorstel
potentie
inbreuk maakt opworden
de persoonlijke
<~
levenssfeer Het risico is aanwezig.dat gegevens voor een ander doel gebruikt worden dan waarvoor ze
oorspronkelijk verzameld zijn Het assessment van zowel verwerkingen als uitwisselingrelaties lijkt
daarom een vruchtbare aanpak.
18

Brief van Minister vopr'Wonen en Rijksdienst aan Tweede Kamer, Toetsmodel Privacy Impact
Assessment Rijksdienst, 21 juni 2013
19
Intern memo 'CIO advies Wmo', ter beschikking gesteld aan Düthler Associates 29 juli 2013
20
Brief van CBP aan BZK, 5 maart 2013, Advies-concept Toetsmodel Privacy Impact Assessment, Bijl. P. 1

29/252

Duthler-fiS Associates

3.2.1

Conclusies naar aanleiding van de PIA's

In deze paragraaf worden de bevindingen uit de PIA's op een rijtje gezet en van conclusies en
aanbevelingen voorzien.

,
*"

PIA 1: verstrekking van gemeente aan aanbieder

\^

PIA 1, onderdeel I (type persoonsgegevens, noodzaak, gëgevensmimmalisermg)

'*V

„'

-,

Het college is.bevoegd de persoonsgegevens te verstrekken aan de aanbieder van een

*V

^
h

maatwerkvoorziening. Het risico bestaat dat er meer gegevens worden verwerkt dan nodig voor het
doel, omdat het college bevoegd is tot het verwerken van de persoonsgegevens,van ande1-*ên dan de
cliënt, namelijk zijn echtgenoot en inwonende minderjarige kinderen en het niet duidelijk is of de
verstrekte gegevens beperkt zullen/kunnen worden gebruikfvoor het doel, te weten de
maatwerkvoorziening. Het gaat bij deze verstrekking vooral om persoonsgegevens betreffende de
gezondheid.

,

^

'"*

"i ,

*• •> „ hl>
••'IJ

Een technisch kader voor deze gegevensverstrekking ontbreekt op 'dit moment: dat is een risico.
* "r % *

-•*

.

Wij adviseren om in de memorie van toelichting ditrisico te schetsen en de maatregelen om het risico
r-

**

tv>

*

%,

J,

zoveel mogelijk te beheersen Jn de" memorie van toelichting wordt reeds aangekondigd dat in ëeh
AMvB de persoonsgegevens die nodig zijn voor het onderzoek naar een maatwerkvoorziening nader
•i

•,

,r

-

»•.

zullen worden bepaald Op dit moment is de aanduiding van het type persoonsgegevens (i.c. onder
y"

i

*

*' 'i

meer medische^persopnsgegevêhs) het frbogst haalbare.
Wij adviseren verder'om'in'de memorie van toelichting op te nemen dat zoveel mogelijk-met 'datinformatie'^in^plaats van 'wat-informatie' gewerkt zal worden, om te waarborgen dat zo min mogelijk
f persoonsgegevens worderfgebmikt om het doel (hetleveren van een maatwerkvoorziening) te

bereiken •
'S ^ ,

" JT

Voor wat betreft het ontbreken van een technisch kader adviseren wij om te schetsen dat het risico op
langere termijn kan worden beheerst door af te spreken dat de betekenis van een gegeven in de
verschillende domeinen en tussen verschillende 'actoren' hetzelfde is. Dat is een voorwaarde voor
standaardisatie en een hulpmiddel voor beheersing van processen en daarmee verbonden risico's.

30/252

Düthlen fiSfetssfo'eiat'ès"

PIA 1, onderdeel II (doelbinding, koppeling, kwaliteit, profilering)
De taken van gemeenten zijn op dit moment nog.breed omschreven. Een doelstelling van de
gegevensverwerking is dan pok in algemene termen geformuleerd in hét wetsvoorstel Wmo 2015. De
doelbinding die vereist is op-grond'van artikel 7 van de Wbp brengt met zich mee dat de doelstelling van
de verwerking voldoende onderscheidend moet zijn om te kunnen bepalen welke gegevens verwerkt
mogen worden. Wij adviseren om termen als "alle gegevens die nodig zijn voor de uitvoering van deze
wet" te vermijden. Meer houvast biedt een formulering als: "alle gegevens die nodig'zijn voor het al of
niet toekennen van een specifieke maatwerkvoorziening".

<•

PIA 1, onderdeel III (instanties, systemen en verantwoordelijkheid)

„

K

-

""'--

•>

'?>~ ,;

>,

Wij hebben als risico gesignaleerd dat gemeenten op dit moment mogelijk onvoldoende geëquipeerd
zijn om in te kunnen staan voor een juiste en veilige gegevensverwerking
r

*

Wij adviseren om in het wetsvoorstel op te nemen dat gemeenten; zonder hun vrijheid te zeer te
•"'

x

&

beperken, gebruik kunnen maken van centrale ondersteuning bij dejnvulling van een modelverordening
Wmo nieuwe stijl, centrale ondersteuning bij standaardisering/gebruik van innovatieve software en de
aanpak van organisatievraagstukken en de melding aan de FG of CBP, Standaardisering zal ook een
t

"

'ft-

hulpmiddel blijken te zijn bij de controle op de juistheid van gegevens
• 1
1

*

"

i
'"

PIA1, onderdeel IV (beveiliging, bewaring, vernietiging)
Voor de verstrekking van persoonsgegevens vanuit de gemeente aan de aanbieder is de gemeente
È
H»
**
%

'ï

I',

%

'

\

verantwoordelijk In navolging van het CBP en de Inspectie Werk & Inkomen signaleren wij op dit punt
risico's. Tegelijkertijd wijzen WIJ erop dat op de gegevensverwerkingen in het kader van de Wmo
-

S

l

t|b

standaarden vooY^gegeyensbeveiliging van toepassing zullen zijn zoals geformuleerd in de Richtsnoeren
voor informatiebeveiliging vanihet CBP, de Baseline Informatiebeveiliging Gemeenten. In de zorgsector
gelden'standaarden als NEN 27010 en ZekereZorg3. Wij adviseren een paragraaf over
"gegevensbeveiliging in^de memorie van toelichting op te nemen, omdat dit bijdraagt aan de waarborgen
*:

j,_

*,

-*••<»

voor een zorgvuldige gegevensverwerking. .
Wij signaleerden dat een bewaartermijn voor persoonsgegevens in het wetsvoorstel alleen voor
'huiselijk geweld' wprdt genoemd (15 jaar). Wij adviseren ook overigens om termijnen te noemen of aan
te kondigen dat deze in de AMvB worden vermeld.

31/252

Üuthler® Associates

PIA 1, onderdeel V (transparantie en rechten van betrokkenen)
Het wetsvoorstel maakt het mogelijk om gegevens van betrokkenen te verwerken zonder hurï
medeweten. De aanbieder verkrijgt de persoonsgegevens niet van betrokkene maar van de gemeente,
(art 4.2.1. lid 2). In dat geval moet de verantwoordelijke op grond van art. 34 Wbp de informatie
meedelen aan de betrokkene op het moment van vastlegging van hem betreffende gegevens, of

s
wanneer de gegevens bestemd zijn om te worden verstrekt aan een derde, uiterlijk op het moment van
de eerste verstrekking (art 34 lid 1 Wbp).

i

*'

**

Wij adviseren dat de gemeente, voordat de gegevens verstrekt worden aan de aanbiddende
betrokkene om toestemming vraagt voor de verwerking van diens persoonsgegevens
%

PIA 2: verstrekking van zorgverzekeraar aan gemeente

' ^

•>
*"*

*'

i5.„

"U

^

ET 4

*
„

>

%
'»

PIA2: onderdeel I (type persoonsgegevens, noodzaak, gegevensmmimalisering) "' ( , , '>'
?'\

-a

>»

Met het oog op integrale dienstverlening vanuit de verschillende o'nderdelen van_het sociale domein (...)
bepaalt dit artikel dat zorgverzekeraars en zorgaanbieders ( «) aan het college persoonsgegevens mogen
en moeten verstrekken van verzekerden die zorg ontvangen^ )~Het is'niet de bedoeling dat daarbij
persoonsgegevens omtrent de gezondheid worden uitgewisseld, het gaat erom dat het college tijdig op
de hoogte is van de mogelijke behoefte aan ondersteuningen op basis van de gegevens contact met
betrokkene kan zoeken Daarom is het in het algémeen'völdoende dat contactgegevens worden
i

~)

$

verstrekt
dat de gemeenté'kan
inzien middels
eenj'hit
no hit systeem' dat
persoon(artikelsgewijze
die melding
doet bij deofgemeente
voor ondeYsteunmg
ook'vapüit
de zorgverzekeraar
zorgeen
ontvangt,
toelichting 4 2 7 lidTl)

' , „ " - *

Uit het oogpunt van proportionaliteit is de beperking tot de mededeling dat iemand zorgontvangt, een
>
goede zaak

* . •*•
*• / •,

i"
fe

'
*. *.<

PIA 2, onderdeel II (doelbinding, koppeling, kwaliteit, profilering)
H,
^t
BIJ de gegevensverstrekking van zorgverzekeraar naar gemeente worden persoonsgegevens gekoppeld.
Het risico bestaat dat gegevens voor een ander doel dan waarvoor zij zijn verkregen verwerkt worden.
* h

Het risico bestaat dat door het bij elkaar brengen van gegevens uit diverse bronnen een beeld ontstaat
van bepaalde aspecten van zijn persoonlijkheid in de zin van artikel 42 Wbp. Een besluit dat betrokkene
in aanmerkelijke mate treft (bijvoorbeeld een Wmo-besluit), mag in ieder geval niet uitsluitend op
geautomatiseerde wijze genomen worden.
Wij adviseren om maatregelen op te nemen die een zorgvuldige gegevensverwerking waarborgen.

32/252

Duthlep 111 Associates-

Gezien de hoeveelheid en variëteit van persoonsgegevens zal het borgen van de juistheid,
nauwkeurigheid en actualiteit veel inspanning vergen. Gezien de ingrijpendheid van Wmo-beslissingen is
het borgen van juistheid, nauwkeurigheid en actualiteit van persoonsgegevens echter noodzakelijk.
Een eenduidige technische infrastructuur biedt waarborgen voor de juistheid van de
gegevensverwerking. Ook de meiding van de verwerking aan de FG of het CBP is, behalve een
verplichting op grond van de Wbp, een waarborg voor zorgvuldige verwerking.
Verder adviseren wij om te onderzoeken in hoeverre toepassing van "Chinese waljs" bij
zorgverzekeraars opportuun is.

.

PIA 2, onderdeel III (instanties, systemen en verantwoordelijkheid)

'*•-

* * », .

~

De verstrekking van persoonsgegevens buiten medeweten van deibetrokkene aan de gemeente
"'
" * . .<
'
é;
betekent een risico voor de door de Wbp vereiste transparantie. De betrokkene moet geïnformeerd
worden over wat er met de persoonsgegevens gebeurt

*

^

-1'

Wij adviseren om het informeren van de betrokkenèrte combineren "met de vraag om toestemming voor

'% ' ,o

de verwerking, zodat de betrokkene 'inforrned consent' kan geven
Wellicht kan de uitwerking van voorbeeldcasussen in de memorWvan toelichting helpen bij het
concretiseren van de verwerkingen ,/*
(

Ï

PIA2, onderdeel IV (beveiliging, bewaring, vernietiging)
In juni 2012 stuurde de Ministervan Sociale Zaken naar alle gemeenten dat de informatiebeveiliging
rondom Suwmet dringend moest verbeteren1 KING heeft 7 mei 2013 de Baseline Informatiebeveiliging
Nederlandse Gemeenten gepubliceerd Onbekend is in hoeverre gemeenten deze baseline toepassen.

V

'rt

Verzekeraars hanteren de,Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars, maar deze
code bevat geen paragraaf overjnformatiebeveiliging. In de zorg is NEN.7510 een gezaghebbende
standaard voo'r informatiebeveiliging (zie paragraaf 3.4.15).
Voor de Wmo 2015 verdient het aanbeveling om met de verschillende Wmo-actoren tot een gedeelde
visie op" informatiebeveiliging te komen en deze op te nemen in het wetsvoorstel of in de AMvB.
Over bewaartermijnen wordt alleen in het wetsvoorstel gesproken in het kader van SHG. Uit de
verschillende regimes van de Wmo-actoren kunnen verschillende bewaartermijnen voortvloeien.

PIA 2, onderdeel V (transparantie en rechten van betrokkenen)

33/252

authléfWMsöüitês

Het wetsvoorstel Wmo 2015 bevestigt in artikel 4.1.5 het recht van de betrokkene op inzage en
correctie. Dit komt overeen met artikelen 35 en 36 van de Wbp. Overigens zullen Wmo-actoren die
buiten medeweten van de betrokkene persoonsgegevens verwerken, de betrokkenen op de hoogte
moeten stellen van de verwerking. Om de transparantie te bevorderen bevelen wij aan dat
persoonsgegevens zoveel mogelijk met toestemming van de betrokkene worden verwerkt.
• i

PIA 3: verstrekking van gemeente naar zorgverzekeraar
' PIA3: onderdeel I (type persoonsgegevens, noodzaak, gegevensminimalisering)
^

^

r
\
,«. ' ** ~~ \„c

>

v

Uit een maatwerkonderzoek kan naar voren komen dat een betrokkene is aangewezen op zorg öie
verzekerd is op grond van de Zorgverzekermgswet In zo'n geval kan de gemeente contactgègevens aan
1

r

it

de zorgaanbieder of de zorgverzekeraar verstrekken
*
*i ~
Als het doel van deze verwerking is om gezamenlijk te komen tot eeh'maatwerkarrangèment, of
-„

* *

si

integrale uitvoering, zou het wetsvoorstel ook samenhang moeten^vertonen met'de verstrekking
\

-K

x

v

' . ^

zorgverzekeraar-gemeente. Daar wordt immers alleemgesprokeri over een signaalfunctie.
-

'•"->-

*J'

~ <-

' \ •>

i

De betrokkene verliest na eenmalige verstrekking de'gnp op'zijn persoonsgegevens. Hierdoor ontstaat
's

het risico dat de betrokkene gevolgen ondervindt van onjuist genomen beslissingen, bijvoorbeeld omdat
deze zijn gebaseerd op verouderde of onjuiste gegevens

*^

Wij pleiten voor verwerking op basis van toestemming, zodat op het moment van toestemming ook de
juistheid van de gegevens vastgesteld kan worden ')

V

' ' ~-'

'i"

PIA 3, onderdeel II (dóeltimdmg, kóppelmg,"'kwaliteit, profilering)
De verstrekking van persoonsgegevens buiten medeweten van de betrokkene aan zorgverzekeraar
betekent een risico voorde door de Wbp vereiste transparantie. De betrokkene moet geïnformeerd
worden'over wat er met de persoonsgegevens gebeurt.
)
' ^ ,v
Wij adviserentom het informeren van de betrokkene te combineren met de vraag om toestemming voor
de verwerking, zodat de betrokkene 'informed consent' kan geven.

PIA 3, onderdeel Hl (instanties, systemen en verantwoordelijkheid)
Binnen gemeenten is er vanzelfsprekend veel ervaring met de verwerking van persoonsgegevens. De
mate van compliance aan de Wbp verschilt per gemeente.
De verantwoordelijke voor de verwerking wordt niet vastgesteld. Het niet opnemen van dit element
vormt een risico voor de rechtmatigheid van de verwerking.

34/252

DuthlenfillAssöciates

Wij adviseren om de stappen van de verwerking aan de hand van yoorbeeldcasus in kaart te brengen
ten behoeve van de memorie van toelichting.

PIA3, onderdeel IV (beveiliging, bewaring, vernietiging)
Het beperken van het aantal personen dat toegang heeft tot de gegevens kan een beheersmaatregel
zijn. KING heeft 7 mei 2013 de Baseline Informatiebeveiliging Nederlandse Gemeenten gepubliceerd.
Onbekend is in hoeverre gemeenten deze baseline toepassen. Voor de Wmo 2015 verdien^het
aanbeveling om met de verschillende Wmo-actoren tot een gedeelde visie op informatiebeveiliging te
komen en deze op te nemen in het wetsvoorstel of in de AMvB.

PIA3, onderdeel V (transparantie en rechten van betrokkenen)
-

s

v,

t

Het wetsvoorstel Wmo 2015 bevestigt in artikel 4 1 5 het recht van dè betrokkene op/inzage en
correctie. Dit komt overeen met artikelen 35 en 36 van de-Wbp Ovenge*ns zullen'sWmo-actoren die
r

' r '

\*

'?• •» *

buiten medeweten van de betrokkene persoonsgegevens verwerken, de betrokkenen op de hoogte
moeten stellen van de verwerking. Om de transparantie te bevprderen^bëvelen wij aan dat
persoonsgegevens zoveel mogelijk met toestemming vah'de betrokkene worden verwerkt.

Pia 4: gegevensverwerking„door gemeente in het sociale domein
i

t*"

V

^ "

PIA4: onderdeel I (type tpersoonsgegevens,
noodzaak, gegevensminimalisering)
i
*
t,
n*

t

Het risico bestaat dat meeLgegevëns worden verwerkt dan nodig voor het doel. Het uitgangspunt van
integraliteit betekent niet datrgegevens kunnen worden opgeteld zonder acht te slaan op de plicht tot
gegevensminimalisering^Met betrekking tot het verwerken sommige persoonsgegevens lijkt geregeld te
- i'

%t r

'f

moeten worden in hoeverre met een systeem van "chinese walls" of met het honoreren van
beroepsgehèirn'adequategegevensbescherrning kan worden gerealiseerd.
Gezien de aard van de dienstverlening in het kader van de Wmo ligt het, afgezien van
analysedoelemden, niet voor de hand gegevens te anonimiseren. Maatschappelijke ondersteuning richt
zich uiteindelijk* op een persoon.

35/252

Duthler ra Associates

PIA4, onderdeel II (doelbinding, koppeling, kwaliteit, profilering)
Het risico bestaat dat betrokkene onterecht in aanmerkelijke mate wordt getroffen door besluiten
genomen op grond van gegevens uit verschillende subsectoren uit het sociale domein met ieder hun
eigen context. Het risico bestaat dat meer gegevens worden verwerkt dan nodig voor het doel.
Wij adviseren om bij de verwerking van persoonsgegevens uit de verschillende onderdelen van het
sociale domein toestemming voor verwerking aan de betrokkene te vragen Dat geeft de gelegenheid
om de gegevens te controleren op juistheid door de gegevens te checken bij de betrokkene Ook om te
voorkomen dat het profileringsverbod van art 42 Wbp wordt overtreden is het aan te.bevelen om een
beslissing op een Wmo-aanvraag pas te nemen na menselijke tussenkomst en dus niet puur op basis van
•A

geautomatiseerde verwerkingen.
' 5J-

PIA4, onderdeel III (instanties, systemen en verantwoordelijkheid)

r

,

*' -

'

Het risico bestaat dat de gemeente onvoldoende voorbereidden geëquipeerd is eh-dat als gevolg
daarvan de gegevensverwerking onrechtmatig is en/of dat betrokkenen gevolgen ondervinden van
onterechte beslissingen.

"

-V ""*
E

.-n
\

**•

*

\

j

Wij adviseren om gemeenten ondersteuning te^bieden,'zonder hun beleidsruimte al te zeer in te perken.
Het risico van een (te) grote diversiteit tussen gemeenten is, gelet op de in het geding zijnde belangen
van burgers, niet te rechtvaardigen Om dit te voorkomen dient op centraal niveau, dus - meer dan nu is
voorzien - in het kader van de onderhavige wet- en regelgeving te (kunnen) worden voorzien in het
" \
\
*. -"*
formuleren van nadere_cntena en concrete vereisten ter zake.
Conform het CBP adviseren WIJ een daartoe strekkende bepaling in het onderhavige wetsvoorstel op te
nemen

J '

.

'

i

PIA4, onderdeel IV (bêveiligihg'/pewanng, vernietiging)
In het wetsvoorstel Wmo*2015 wordt aangekondigd dat deze zaken geregeld worden in een AMvB.
\
x

WIJ signaleerderfd.at een bewaartermijn voor persoonsgegevens in het wetsvoorstel alleen voor

'huiselijk geweld' w o r d t genoemd (15 jaar). Wij adviseren ook overigens om termijnen te noemen of aan
te kondigen dat'deze in de AMvB worden vermeld.
Voor wat betreft de beveiliging van gegevens heeft KING op 7 mei 2013 de Baseline
Informatiebeveiliging Nederlandse Gemeenten gepubliceerd. Onbekend is in hoeverre gemeenten deze
baseline toepassen. Voor de W m o 2015 verdient het aanbeveling om met de verschillende W m o -

36/252

Duthler.® Associates

actoren tot een gedeelde visie op informatiebeveiliging te komen en deze op te nemen in het
wetsvoorstel of in de AMvB.

PIA4, onderdeel V (transparantie en rechten van betrokkenen)
Hoewel het wetsvoorstel Wmo 2015 de voordelen benadrukt van de een verwerking zonder
toestemming van betrokkene, luidt ons advies toch om toestemming aan de betrokkene te vragen
Inderdaad gaat dat gepaard met hogere administratieve lasten. Maar Wmo-besluiten die op grond van
onjuiste informatie zijn genomen, kosten ook geld. Waar de gemeente verantwoordelijk is*voor de ,
informatie in het gehele sociale domein, is al snel ook sprake van aansprakelijkheid, zeket in het geval
van beslissingen die de aanvrager in aanmerkelijke mate treffen, zoals het geval is bij'de Wmo.
Wanneer gegevens niet van de betrokkene worden verkregen, geldt artikel 34 Wbp en moet de
betrokkene later op de hoogte worden gesteld. WIJ verwachten dat dit lastig uitvoe/baar is en in de
praktijk wellicht achterwege zal blijven. Wanneer betrokkene om toestemming voor verwerking
''« x,
"'1*
gevraagd wordt, is dit de betrokkene vanaf dat moment meteen op de hoogte van de verwerking.
', -

f

,

PIA 5: gegevensverwerking in het kader van 'huiselijk geweld'

~* * • *

C v-

PIA5: onderdeel I (type persoonsgegevens, noodzaak, gegevensmimmalisering)
Het betreft hier zeer gevoelige gegevens. Dit stelt hoge eisen aan doelbinding en waarborgen. De
si'

%

B£

"-

'"'•

verantwoordelijke moet zich'overtuigen van de juistheid van de persoonsgegevens. In het geval van
*k %?>
.'
''
huiselijk geweld is datdes te belangrijker omdat de gegevens stigmatiserend kunnen werken en het
onderwerp zich leent voor valse beschuldigingen.
Het voorkomen of beëindigen van huiselijk geweld heeft alleen al vanwege de mogelijke strafrechtelijke
consequenties een,ander karakter dan de overige onderdelen van de Wmo. Dat vraagt andere
,*
* "zw "" c «
maatregelen en waarb'orgen dan voor de andere Wmo onderdelen gewenst zijn. In die zin wijkt huiselijk
**

»'

'!t

geweld af van'het bredere-Wmo kader.
Ons adviesjs om in.de^Wmo 2015 met betrekking het SHG (steunpunt huiselijk geweld) in de wettekst
en de memorie van toelichting in het spoor te blijven van de wetsgeschiedenis van het wetsvoorstel
33062 en de recente AMvB van 30 juli 2013 en daar waar nodig aan deze wetsgeschiedenis te refereren.
PIA5, onderdeel II (doelbinding, koppeling, kwaliteit,

profilering)

Het SHG 'kan de melding nog wel registreren' wanneer na onderzoek geen sprake blijkt te zijn van
huiselijk geweld. Het risico bestaat dat de betrokkene in aanzienlijke mate in zijn privacy getroffen

37/252

Duthler @ Assödates

wordt, ook al als de melding onjuist is. Deze melding (en de inhoud daarvan) wordt in het huidige
wetsvoorstel niet nader beschreven.
Het risico bestaat dat betrokkene onterecht in aanmerkelijke mate wordt getroffen door besluiten
genomen op grond van gegevens uit verschillende subsectoren uit het sociale domein met ieder hun
eigen context. Vermoedens van huiselijk geweld kunnen al stigmatiserend werken, dus de verwerking
van de persoonsgegevens moet aan hoge eisen van zorgvuldigheid voldoen Tegelijkertijd^ het van
groot maatschappelijk belang dat huiselijk geweld in een vroeg stadium herkend wordt,-*zodat er tegen
\
^ * "*X*
opgetreden kan worden. Het dilemma van 'vroegsignalering' versus 'respect voor de persoonlijke"
levenssfeer" leidt bij huiselijk geweld tot ingewikkelde afwegingen. Verantwoordelijken rrïoeten ,*
d

waarborgen treffen en transparant zijn over de gegevensverwerking*

PIA5, onderdeel III (instanties, systemen en verantwoordelijkheids
*,,
%
Gegevens waar de gemeente over beschikt uit hoofde van* andere taken 'dan de Wmo
(Schuldhulpverlening, Jeugdwet, Participatiewet)/nogen gebruikt»worden om situaties van huiselijk
geweld te beëindigen. Een vermoedelijke dader hoeft niet op de hoogte gesteld te worden van het feit
dat er gegevens over hem/haar verzameld worden

. t

"*

PIA5, onderdeel IV (beveiliging, bewaring, vernieègmgf %J^ '
Wij adviseren de bewaartermijn van, 15 jaar te heroverwegen, gezien het risico dat een betrokkene

** * %

•*'"

*' •> J Ê

jarenlang achtervolgd wordt door eeii mogelijkfofijüiste registratie. Het risico kan beheerst worden door
T

een kortere bewaartermijn
PIA5, onderdeelV^trapspqrantie

%\

\•

ên,rechten van betrokkenen)

Het risico dat de inbreuk op de* rechten van de betrokkene onnodig groot is als gevolg van de afwijking
van art 35 Wbp, moet worden afgewogen tegen het belang van het onderzoek naar huiselijk geweld en
bijvoorbeeld de anonimiteit van de melder.
Het risico bestaat dat de verlengingsmogelijkheid met steeds twee weken ertoe leidt dat betrokkene
nooit op de hoogte wordt gesteld.
Wij adviseren conform het CBP om te heroverwegen of de afwijking van artikel 43 Wbp nodis is.

38/252

Duthter © A s s o c i a t e s

3.3 Leidraad voor de afstemming van wetgeving op de Wbp21
De Leidraad voor de afstemming van wetgeving op de Wbp is opgesteld op initiatief van het ministerie
van Justitie om de wetgevingspraktijk bij die afstemming zo goed mogelijk te ondersteunen, door een
werkgroep bestaande uit wetgevingsjuristen van diverse ministeries en van de Raad van State Het CBP
heeft over de Leidraad een positief advies uitgebracht.
De Leidraad is niet bindend, maar bevat nuttige hulpmiddelen voor wetgevingsjuristen/bijvoorbeeld op
»•)
% ' *.
het punt van de bijzondere eisen die worden gesteld aan gegevensbescherming in wetgeving op grond
^*
*
van internationaal en Europees recht en uit de grondrechten. De Leidraad poogt twee wetgevingsvragen

"é

~V

te beantwoorden: (i) hoe stem ik wetgeving af op de Wet bescherming persoonsgegevens en (n) welke
B

j-j

consequenties zijn er verbonden aan de toepassing van die wet waarmee rekenmg moet worden
f
gehouden.
;

Op basis van de uitkomsten van de PIA's is een selectie gemaakt van-de elementen van de Leidraad die
*-*

J

l

V

1

"... \

t

',

-f

-r s

bij uitstek relevant zijn voor de beoordeling van het wetsvoorstel'Wmo 2015 Daarbij gaat het met name
om de volgende aspecten: het verwerkingsverblsd voor bijzondere gegevens (i c medische gegevens),
.

•#&"

-'..

•:

ï,

de afweging van de proportionaliteit en de subsidiariteit en,*daarmee samenhangend en de toets aan
artikel 8 EVRM Voor de opdracht is van belang om1 vast te stellen dat zowel het Toétsmodel PIA
* 't"

i»

*

Rijksdienst en de Leidraad geautorisèerdëdocumeriten zijn. De Leidraad bevat elementen waarmee de
memorie van toelichting nog versterkt kan worden'
M

i

%.

In de paragrafen 3 3 l-.t/m 3 3.3 zijn de p'assages uit de Leidraad weergegeven die op de genoemde
"J=,

^ "

't,

onderwerpen betrekkingihebben
* J

'

3.3.1

1

,

"7j

r

?P

en waaruit WIJ mede onze conclusies getrokken hebben.

s.

Bijzondere persoonsgegevens
, t

11 De wetgevingspraktijk leert dat op de doorbreking van het wettelijk verbod, bedoeld in art. 23,
eerste.lid, onder e [inmiddels vernummerd tot f, PC], Wbp regelmatig een beroep wordt gedaan.
Daarom volgen hieronder enige richtlijnen en voorbeelden voor het gebruik van deze uitzondering.

21
22

Ministerie van Justitie, Leidraad afstemming wetgeving op de Wbp, 96 p.
De complete tekst van het onderdeel 'adviezen voor de wetgevingsjurist' is opgenomen als bijlage.

39/252

Duithler ®.Associates

12. Allereerst
• artikel 23, eerste lid, onder e [inmiddels vernummerd tot f, PC]23, van de Wbp is een
uitzonderingsregeling; met de toepassing daarvan wordt grote terughoudendheid betracht
• ga daarom eerst zorgvuldig na of de voorgenomen regeling niet reeds valt onder de reeds in de
artikelen 17 t/m 22 Wbp geregelde doorbrekingen van het verbod; overleg daarover zonodig met de
directie Wetgeving van het Ministerie van Justitie
,*
13. Vervolgens
«• ^
• ga zorgvuldig na of de voorgenomen regeling niet reeds valt onder de in artikel 23, eerste lid,
onder a toten met d, Wbp geregelde gevallen
''"* ,
V-s-^
• zie voor de vereisten waaraan toestemming in de context van de Wbp (en dus o'ók in dï*contex't"»,
van art. 23, eerste lid, onder a, van de Wbp) moet voldoen: art 1, onder i, Wbp
\ ^
-*

U)

'

"

.

.

*
* *>*

*

14. Tenslotte
\ é
• wanneer blijkt dat de gewenste voorziening noodzaakt totjietsopstellen varihiieuwe wetgeving - al
dan niet gecombineerd met de aanvraag van een ontheffingvbij het College bescherming
persoonsgegevens - voorzie dan eerst in een grondige motivering van-het zwaarwegend algemeen
belang en expliciteer welke passende waarborgen voor'de bescherming van'de persoonlijke
levenssfeer worden geboden
'4^ " p * „ **5
*i
I )
'v ,. %.
-„ *
° in het wetsvoorstel dienen tenminste expliciet té zijn geregeld doeleinde(n) van de voorgenomen
gegevensverwerking, omvang van de gegevensverstrekking - zWveel mogelijk te relateren aan
specifieke bijzondere persoonsgegevens -^identiteit van de verantwoordelijke, regeling van de
verstrekking van gegevens en van 'de eventueel^ Beoogde^verdere verstrekking, mede in relatie tot
bestaande wettelijke geheimhoudingsplichten^waartiorgen voorde gegevensverstrekking,
(sub)delegatie is gelet op de tekst van-art 23, eerste lid, onder e, Wbp niet aanvaardbaar
• in de memorie van.toelichtmg wordt een expliciete motivering van het zwaarwegend algemeen
belang gegeven envworden de_te treffen waarborgen voor de bescherming van de persoonlijke
levenssfeer expliciet uiteengezet i
' t»
• na afrondirfg van het wetgevingsproces geldt een notificatieverplichting voor de betrokken
Minister aan de Europese Commissie (art 23, derde lid, Wbp)
-1
"* ,
l'
,>V
*•*
'
Voor^dé Wmo 2015 is*met name van belang dat de verwerking van de bijzondere persoonsgegevens'(i.c.
betreffende gezondheid en^het seksuele leven) in de memorie van toelichting gemotiveerd wordt aan de

f

v~

't.

23

** , >
V

Artikel 23 lid sub f Wbp luidt:
1. Onverminderd de artikelen 17 tot en met 22 is het verbod om persoonsgegevens als bedoeld in artikel
16 [bijzondere persoonsgegevens], te verwerken niet van toepassing voorzover: (...)
f. dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden
geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het
College ontheffing heeft verleend.(...)

40/252

.Büthlerl® Associates.

hand van het zwaarwegende algemeen belang en de te treffen waarborgen voor de bescherming van de
persoonlijke levenssfeer.

3.3.2

Afweging proportionaliteit en subsidiariteit

Draag in de toelichting bij een regeling die specifiek betrekking,heeft op de bescherming van
persoonsgegevens zorgvoör een expliciete afweging van de in geding zijnde belangen van
verantwoordelijken en betrokkenen in relatie tot de doeleinden van gegevensverwerking
Op dit punt kan de memorie van toelichting bij het wetsvoorstel Wmo 2015 n;óg versterkt worden '

3.3.3

Toets aan artikel 8 EVRM

De Leidraad biedt aanknopingspunten voor de toets aan'artikel 8-lid 2 EVRM Een dergelijke toets is
vereist wanneer een bepaalde beperking op de persoonlijke'levens_sfeer moet^worden geregeld, zoals
het geval is bij de verwerking van persoonsgegevens in het kader van het wetsvoorstel Wmo 2015. De
Leidraad zegt daarover het volgende

_

'

*"'"

Waar het betreft de bescherminf van persoonsgegevens'gaat het daarbij nietzelden om het
verwerken van persoonsgegevens^/oor een aiVder doel dan waarvoor ze oorspronkelijk zijn
verzameld. Vaak dient zich daarbij dejioodzaak aan van het verstrekken van persoonsgegevens van
de ene naar de andere verantwoordelijke, buite'n toestemming van de betrokkene. Soms moet een
regeling worden getrpffen voor dé^verwerkirïg van bijzondere persoonsgegevens.

t

"hi

'< ' ' r „

Dergelijke wetsvoorstellen moeten in beginsel steeds worden aangemerkt als een inmenging,
respectievelijk eenSnbreuk>op de gro'ndrechten van artikel 8 EVRM, respectievelijk artikel 10 van de
Grondwet Uit-de jurisprudentie van het EHRM volgt dat dit bijzondere eisen stelt aan de motivering
van"ée"n dergelijk-.voorstel. In paragraaf 2.11 zijn bij wijze van illustratie enige relevante arresten van
het EHRM genoem'd, waariruspecifieke eisen zijn gesteld aan de wetgeving die een inmenging regelt.
De,memórie van toelichting behoort dan ook een uitdrukkelijke - en dus geen impliciete - motivering
te bevatten.v
•*,

*.\

v

Omvang en inhoud van de motivering dienen de ingrijpendheid van deinbreuk - zowel naar zwaarte
als naar<het.aantal personen dat hetbetreft - te weerspiegelen. Het is niet goed mogelijk om in zijn
algemeenheid te omschrijven hoe deze eis in de praktijk moet worden toegepast. Belangrijke
aandachtspunten zijn in ieder geval de relatieve zwaarte van de inbreuk, de omvang van de kring van
betrokkenen, de te volgen procedures, bewaartermijnen, kwaliteit van de gegevens, de aan de
betrokkene toekomende rechten van inzage en correctie en het bieden van rechtsbescherming.

41/252

:

Diiit-hlëi-f@ Associates

Wanneer we deze criteria toepassen op de huidige tekst die is opgenomen in de memorie-van
toelichting op het wetsvoorstel Wmo 2015 blijken de belangrijkste elementen reeds vermeld zijn in de
memorie van toelichting. Aan de hand van een vergelijking met de overeenkomstige passage uit de
Jeugdwet kan gecontroleerd worden of nog argumenten kunnen worden toegevoegd. Zie ook paragraaf

3.4.1.

3.3.4

Samenhang tussen PIA en Leidraad

Het CBP heeft zich in zijn advies24 op het Toetsmodel PIA Rijksdienst uitgesprokener de*samenhanV
tussen het (toen nog: concept) Toetsmodel PIA Rijksdienst en de Leidraad Naar aanleiding van
commentaar van het CBP is de samenhang tussen het ToetsmpdeLPIA Rijksdienst en de Leidraad als
volgt verduidelijkt:

u%

<-,,r""i

",

Indien de PIA wordt uitgevoerd in het kader van ontwikkelingvan beleid dat moet resulteren in
wetgeving, moet in de fase van juridische verfijning van^et wetsvoorstel de in het IAK [Integraal
Afwegingskader] opgenomen Leidraad voor dfeafstemming op'de Wbp worden gebruikt.
tagjT'
•i'

3.3.5

5 *•

»

Conclusie naar aanleiding van de Leidraad '

De door het CBP beschreven werkwijze is gevolgd in het kade'r van de onderhavige opdracht: Voor
verwerking bij de verfijning van de wetsartikelen enfde memorie van toelichting van het wetsvoorstel
Wmo 2015 wijzen WIJ op ónze deelcp'nclusies^in de'hoofdstukkèn 2 en 3 en op de overkoepelende visie
in hoofdstuk 4.

""

<

"f ,

'* J

\'"&
- f .*-

v

l

24

/

' •

Brief van CBP aan BZK, 5 maart 2013, Advies-concept Toetsmodel Privacy Impact Assessment, Bijl. p. 6

42/252

DüthLerJIfAssödates

3.4 Juridisch kader
De verschillende gegevensuitwisselingen die vereist zijn in de nieuwe Wmo worden, voor wat betreft de
gegevensbescherming, beheerst door in het bijzonder het volgende juridische kader, het EVRM, de Wet
bescherming persoonsgegevens, de toekomstige Europese Privacyverordening, het wetsvoorstel
meldplicht datalekken.

'

, ».
1

.

r

J

Vanwege de inhoudelijke samenhang met de Wmo hebben WIJ ook het overige juridisch kadenn een
quick scan verkend: AWBZ, Zorgverzekenngswet en de Jeugdwet Ook andere-wetten kunnen meer of

Vt

minder relevant zijn in de integrale benadering van de Wmo 2015 WIJ noemen '
•

De WGBO is betrokken voor zover de geheimhoudingsplicht van toepassing is op de hulpverleners
'/',
- "\
Het wetsvoorstel Wet kwaliteit, klachten en geschillen zorg6(Wkkgz)-is de voortzetting van het in

werkzaam binnen de Wmo.
•

*>

* X -

juni 2010 ingediende wetsvoorstel Wet chentenrèchten zorg.(Wcz)
o

De Gedragscode zorgverzekeraars/>de Wet gemeentelijke schuldhulpverlening en de Wet SUWI.

•

De informatiebeveiligingsnorm vóór de zorg'NEN 7510 en Zekere Zorg 3 (de Toezichthouders IGZ en
«*• v

'

* t-

CBP beschouwen deze(nqrm als een'standaard'voor de zorgsector)

*.*K;
-it'%

'^
-fl

%

"

t ** i-,

Voor het juridisch ka'der zijn ook rëlevanf de wetgevingsadviezen van het CBP zoals: de adviezen op de
%
re*
*N
-&Jeugdwet, de Wet:fheldcode':Huiselijk geweld, Wet elektronische gegevensuitwisseling in de zorg.

A

3.4.1
V

/EuropeéSjVerdrag tot bescherming van de Rechten van de Mens (EVRM)
"*-

De verwerking van^pejsoonsgegevéns in het wetsvoorstel Wmo 2015 vormt een inmenging van het
-* --> ^ openbaar gezag op het recht op eerbiediging van het privé, familie- of gezinsleven. Ingevolge artikel 8
* "-.f
van het Europees Verdrag tot bescherming van de Rechten van de Mens (EVRM) is een dergelijke
inmenging slechts toegestaan als kan worden aangetoond dat de gegevensverwerking noodzakelijk is in
een democratische samenleving in het belang van de nationale veiligheid, de openbare veiligheid of het
economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de

43/252

Duthler f i i Associates

bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden
van anderen en bij wet in de inmenging is voorzien.

"Bij wet voorzien" houdt onder meer in dat "the law must indicate the scope of any such discretion
conferred on the competent authorities and the marmer of its exercise with sufficient clanty,
having regard to the legitimate aim of the measure in question, to give the individual adequate
protection against arbitrary interference".

^
1,»

Met name in de doelbinding moet dit grondrecht tot uiting gebracht worden

<"*

,

<• y
v
v ,

t

4

"\

H '*"
De memorie van toelichting op het wetsvoorstel bevat in paragraaf 7 2 2 de volgende tekst
' T fi
- '
Tw
A
In het Internationaal Verdrag ter bescherming van de Burgerlijke en Politieke rechten (IVBPR) en het
Europees Verdrag voor de Rechten van de Mens (EVRM) zijn artikelen^opgenomen ter bescherming
van de persoonlijke levenssfeer.
V *
\
"* *
Artikel 17 van het IVBPR geeft een ieder het rechfeop^bescheYming door de wet tegen willekeurige en
onrechtmatige inmenging in de persoonlijke levenssfeer. Gelet op'dë tekst, is inmenging in de
persoonlijke levenssfeer, zoals de verwerking van'persoonsgegevens, slechts toegestaan als deze
noodzakelijk is en op een gerechtvaardigde grondslag geschied! •
Het wetsvoorstel voldoet aan de,vereisten vanartikel 8 EVRM Het eerste lid bepaalt dat een ieder
recht heeft op eerbiediging van zijn persoonlijke'levenssfeer Het tweede lid ziet op de mogelijkheid
om het recht in te perken Volgens^het tweede.lid mdet.de inmenging bij wet zijn voorzien,
noodzakelijk zijn in een democratische samenleving en een legitiem doel nastreven. Het
wetsvoorstel voldoet aan<het vereiste dat^de inmenging bij wet moet zijn voorzien omdat de
bevoegdheid tot het verwerken yan.gegevens bij wet wordt geregeld, de burger toegang heeft tot de
wet en de bepahngenduidelijk zijn omschreven
Het wetsvoorstel voldoetook aande eis dat de inmenging noodzakelijk moet zijn in een
democraüsdiësarnenleving^Dit betekent dat er een dringende maatschappelijke behoefte dient te
bestaan en'öat de inmenging proportioneel en subsidiair is. Er is in dit geval sprake van één
dringende maatschappelijke beRoefte omdat gebleken is dat de burger met ondersteunïngsvragen
op meerdere domeinen temaken krijgt met meerdere professionals die langs elkaar heen werken en
aan wie^e^btirger telken male zijn verhaal moet doen. Het totale resultaat, namelijk het meedoen in
de maatschappij, bevorderen van de gezondheid en zelfredzaamheid, wordt hierdoor onvoldoende
^ behaald^ Het belang"van de burger is gediend bij het breed bezien van de problemen op het terrein
van de gezondheid levensdomein en het afstemmen van het ondersteuningsaanbod op de sociale
context'"Jévëns is deze maatregel noodzakelijk omdat de eisen die worden gesteld aan de
organisatie van de langdurige zorg, aan het veranderen zijn. De eisen aan de kwaliteit van het leven
zijn hoger, zoals zo lang mogelijk zelfstandig thuis kunnen wonen en niet eenzaam zijn. Hervorming is
ook nodig vanwege de financiële houdbaarheid van de langdurige zorg. Om de solidariteit en
langdurige zorg die ook beschikbaar is voor toekomstige generaties, te waarborgen, maakt de^
regering nu keuzes. Vaak zal ook ondersteuning van het eigen sociale netwerk of andere algemene
voorzieningen nodig zijn voordat hetcollege komt tot een beschikking voor een maatwerk
voorziening. Het college kan de in dit wetsvoorstel opgelegde verplichting om integraal en

44/252

D u t h l e r ® Associates

levensdomein breed afweging te maken tot een maatwerkwerkvoorziening, niet uitvoeren zonder
daarbij te beschikken over bepaalde (bijzondere)gegevens van de burger. Als de gegevensverwerking
niet per wet wordt geregeld zal uitwisseling via informele en dus onbeveiligde weg plaatsvinden,
zoals nu vaak de praktijk is. Dit wetsvoorstel voorziet daarom in bepalingen conform de Wbp om
bescherming van de persoonlijke levenssfeer bij de uitvoering van deze wet te waarborgen.
Het voorstel voldoet ook aan de vereiste van proportionaliteit en subsidiariteit. Het doel van de
maatregelen is om de gezondheid van de burgers te beschermen. Om ditdoel te kunnen bereiken
(met behulp van het eigen netwerk, en waar nodig de ondersteuning van het college, de burger in
staat stellen om mee te kunhen doen in de maatschappij, zo lang mogelijk thuis kan blijven wonen,
zelfredzaam te zijn en/of anderen te ontmoeten) zal het college informatie over de betrokkene
moeten kunnen inzien om tot een onderbouwde, passende en rechtmatige ondersteunirig^te komen.
De proportionaliteit is,gewaarborgd doordat er slechts gebruik wordt gemaakt van een mmimaal,»'
noodzakelijke gegevensset. Het college en andere betrokken partijen kunnehjin ieder geval inzien
dat een betrokkene ook al via andere stelsels of voorzieningen ondersteuning óntvangtof.heeft
ontvangen. Vervolgens kan met toestemming van de betrokkene'nadereiinformatie opgevraagd
worden. Met déze mate van gegevensverwerking wordt de persoonlijke levenssfeer zo mm mogelijk
ingeperkt en wordt de burger zo min mogelijk belast met onnodige administratieve lasten, maar kan
hij wel rekenen op optimaal'afgestemde dienstverlening Ook wordt-tyanuit het'opgpunt van
doelmatig en rechtmatig besteden van de middelen het mogelijk gemaakt om-dubbele
verstrekkingen en het langs elkaar heen werken van professionals te voorkomen.
Naast de waarborg dat deze maatregelen conform de.Wbp* zullen worden uitgevoerd, zal de
gegevensset tot een minimum worden beperkt e*n kan uitwisseling alleen onder voorwaarden
geschieden Dit zal in een AMvB nader worden uitgewerkt In de AMvB wordt vast gelegd exact
welke gegevens die verkregen zijn voor het doel van déze wet op welke wijze verwerkt mogen
worden. Dit wordt beperkt tot de minimale informatie 'dat' een burger ook zorg en of ondersteuning
ontvangt uit andere stelsels of voorzieningen van deJWrrio
Subsidiariteit betekent dat er^geen minder ingrijpend middel is om het doel te bereiken. Voor dit
wetsvoorstel is gekozen om hét college zo beperkt mogelijk inzicht te geven in de gegevens van de
burgers door middel van een systeem waarbij primair alleen gezien kan worden dat een burger
ondersteuning ontvangt Er zijntgeên alternatieven waarop de gemeente de gezondheid op gelijke
wijze kan bescherme'n en maatwerk kan leveren waarbij er een kleinere inmenging op de
persoonlijke levenssfeer plaatsvindt Er zijn andere alternatieven overwogen. Zo is overwogen om
niets per wet vast te leggen'met betrekking tot de gegevensuitwisseling. Dit zou een te groot risico
met zich meebrengen^at uitwisseling via informele kanalen en zonder transparantie van de burger
plaats' zal vinden Een ander alternatief dat overwogen is, behelst het volledig overdragen van
persoonsgegevens over deUürger aan de verschillende ketenpartners. Hiertoe is niet besloten
omdat de aanpak via een "hit-no hit" een beperkte inmenging in de persoonlijke levenssfeer
oplevert en daarmee de voorkeur heeft.
Het laatste vereiste van artikel 8 EVRM is dat het beperken van het recht in het belang moet zijn van
een in^het tweede lid opgesomd legitiem doel. Het legitieme doeldat dit voorstel nastreeft is het
beschermen van de gezondheid van de burger. Dit is een van de döelcriteriazoals genoemd in artikel
8 EVRM.
De bepalingen van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995
betreffende de bescher.ming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens zijn uitgewerkt in de Wbp.

45/252

Duthier^^tesstÖBiatês

3.4.2

Wet bescherming persoonsgegevens 25

Art. 7 Welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen
'Welbepaald en uitdrukkelijk omschreven' houdt in dat men geen gegevens mag verzamelen zondereen
precieze doelomschrijving. Het doel moet zijn bepaald alvorens men tot verzamelen overgaat.
f.

i

'Welbepaald' houdt in dat deze doelomschrijving duidelijk moet zijn, niet zo vaag of ruin b*ij voorbeeld
ys-

; •* s

dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan worden of de gegevens
i*
M>
-. ; v--,
nodig zijn voor dat doel of niet. Het doel mag ook niet in de loop van het verzamelproces geformuleerd
worden. Uitdrukkelijk omschreven houdt in dat de verantwoordelijke het doel waarvoor hij've/wefkt,
moet hebben omschreven bij de melding die hij op grond van artikel 27 verplicht is te doen'-2-5'

*

K

•. *

'Gerechtvaardigde doelen' wil zeggen dat de verwerking gebaseerd 'moet zijn op een doel dat voldoet
aan artikel 8.

•,.- %

Art. 8 grondslag

- ,

,

\

* *

"h

**

Artikel 8 Wbp bepaalt wanneer de verwerking van persoonsgegevens gerechtvaardigd is. Dat is het geval
wanneer de betrokkene uitdrukkelijk foestemming heeft verleend (sub a) of wanneer de verwerking
•&

^

*

noodzakelijk is ter uitvoering van een'overeenkomst (slib b), ter nakoming van een wettelijke
"J,

»~

verplichting (sub c), ter vrijwaring van éen vitaal belang van de betrokkene (sub d), voor de goede
vervulling van een publiekrechtelijke taak doon,een"bestuursorgaan (sub e) of ter behartiging van het
gerechtvaardigd belang van de verantwoordelijke, tenzij het belang of de fundamentele rechten en
vrijheden van dé betrokkene, in het bijz"bnder het recht op bescherming van de persoonlijke levenssfeer,
prevaleert (subf)._ (e»;
In een aa'ntal gevallen zal de'gegevensverwerking door bestuursorganen kunnen worden gebaseerd op
'f,
i - , '
T
^
artikel 8 sub,c Wbp Dat is echter lang niet altijd het geval. Een gegevensverwerking ter vervulling van
een publiekrechtelijke-t'aak zal immers veelal geschieden zonder dat daaraan een wettelijke verplichting
ten grondslag ligt Intlat geval zal de gegevensverwerking onder artikel 8 sub e Wbp moeten vallen. Die
bepaling ziet,"zo blijkt uit de tekst, op een tweetal verschillende situaties. Allereerst kan een verwerking
Voor deze paragraaf is onder meer gebruik gemaakt van het rapport: WODC, Gegevensuitwisseling
door Toezichthouders, onderzoek uitgevoerd in opdracht van het WODC door UvA, juni 2012 (TK 20112012, 32761, nr. 43)
Wbp-naslag: www.cbpweb.nI/wbpnaslag/2/Paginas/wbp-artikel-7.aspx

46/252

•Duthler H l Associates

noodzakelijk zijn met het oog op een publiekrechtelijke taak die het bestuursorgaan zelf verricht.
Daarnaast laat de bepaling uitdrukkelijk ruimte voor verwerking van gegevens ten behoeve van de
publiekrechtelijke taak die door een ander bestuursorgaan wordt verricht, voor zover dat met het oog
op die taak noodzakelijk is.

Een van de specifieke uitgangspunten van de Wbp is het beginsel van doelbinding Dit beginsel komt
met name tot uitdrukking in de artikelen 7 en 9 Wbp. De doelbinding dient reeds'bij het verzamelen van
gegevens aanwezig te zijn. Artikel 7 schrijft voor dat persoonsgegevens voor welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde doeleinden worden verzameld. Er moet dus eenduidelijke

J

doelomschrijving zijn alvorens gegevens verzameld mogen worden Deze dient welbepaald te zijn, dus
niet zo vaag of ruim dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan
'

*•

' t

'

worden of de gegevens nodig zijn voor dat doel of niet Het is evenmin toégestaan'orrt'riet doel pas te
^.

<-

~*

\

" •*

formuleren in de loop van het verzamelproces Is er sprake van een^meldingsplicht op grond van artikel
27 Wbp, dan dient het doel van de verwerking bij de melding uit'drukk'elijk te zijn omschreven.
: ji

^

Het beginsel van doelbinding is ook terug te vinden in artikel 9 Wbp, dat.aan de reeks van
**
-*
"'<
gerechtvaardigde verwerkingen in artikel 8 Wbp een meer algemeen vereiste toevoegt. Mede daarom
heeft deze bepaling een niet te onderschatten belang

Artikel 9: verdere verwerking^
^

„

,
,

irf

^

;s]<

Artikel 9, eerste lid, Wbp bepaalt da't persoonsgegevens niet verder worden verwerkt op een wijze die
f

V

*

$%•

onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Daarmee maakt de bepaling duidelijk
^

" *

'

v

.

"

••

dat deze verdereVerwerkingYiiet ongeoorloofd is, maar stelt zij daar tegelijkertijd een grens aan. Deze
^r
II
*
eis van verenigbaar gebruik geldt zowel binnen als buiten de organisatie van de verantwoordelijke. Het
tweede lid kentjen niet-limitatieve opsomming van factoren die mede bepalend zijn voor het antwoord
i"*

op de vraag of;er sprake is van verenigbaar gebruik. Elk van de genoemde factoren dient - mogelijk in
samenhang met andere factoren die in het concrete geval als relevant moeten worden beschouwd - in
onderling verband te worden beoordeeld en gewogen ter beantwoording van de vraag of sprake is van
verenigbaar gebruik.

Voldoende verwantschap:

dubbele

doelbinding

Een belangrijke factor is de verwantschap tussen het doel waarvoor de verantwoordelijke de gegevens
overweegt te gebruiken enerzijds en het doel waarvoor de gegevens zijn verkregen anderzijds (artikel 9,

47/252

Duthler «Associates

tweede lid, sub a, Wbp). Deze verwantschapsfactor kan bij uitstek als uitdrukking van het beginsel van
doelbinding worden beschouwd. Hoe nauwer de verwantschap, hoe eerder er sprake is van verenigbaar
gebruik. Een tweede factor is de aard van de gegevens (artikel 9, tweede lid, sub b, Wbp).-Te denken valt
uiteraard aan de in artikel 16 Wbp genoemde bijzondere gegevens. Daarnaast wijst de MvT erop dat de
context waarin gegevens worden gebruikt, deze tot gevoelige gegevens kunnen maken. Zo kan een
V"
persoonsgegeven dat ziet op een betalingsachterstand, gevolgen hebben voor de kredietwaardigheid.
Daarbij geldt dat hoe gevoeliger het gegeven, hoe minder snel van het oorspronkelijke^doel mag worden
afgeweken. Een derde factor wordt gevormd door de gevolgen van de beoogde verwerking,voopde^
betrokkene (artikel 9, tweede lid, sub c, Wbp). Daarbij is met name ook relevant"of de gegevens worden
gebruikt als basis voor mogelijke beslissingen jegens de betrokkene De twee laatstgenoemde.factoren
7

*t

ƒ

zijn de wijze waarop de gegevens zijn verkregen (artikel 9, tweede lid, sub d, Wbp), bijvoorbeeld buiten
1

*

9

*

,

1

betrokkene om of juist met diens instemming, en de mate waarin jegens betrokkenen^wordt voorzien in
*
r
passende waarborgen. Genoemde factoren dienen in onderling verband te worden toegepast Zo is hét
gebruik van de gegevens in de gemeentelijke basisadministratie, 'dierweinig informatie bevatten, voor
1

1 t

"-'*•

*'

''

v_

uiteenlopende doelen veel eerder in overeenstemming met .artikel 9 Wbp dan hèt door een ziekenfonds
*
,1
^
aan een f a b r i k a n t v e r s t r e k k e n v a n gegevens van p a t i ë n t e n die e e n b e p a a l d e o p e r a t i e h e b b e n
p
1 <!
ondergaan.
» "~
)K

ï
Mag een gemeente

medische'persoonsgegevens

vetwerken?

«0 <.>
*'
•*>; , e-J
Art 21 lid 1 sub f maakt het mogelijk dat gemeenten ("bestuursorganen") medische gegevens verwerken
"voor zover dat noodzakelijk is voor een goede uitvoering van wettelijke voorschriften (...) die voorzien
*?

*•*

in aanspraken'diè afhankelijk'zijn van deigezondheidstoestand van de betrokkene".
^

k

*
K*

rf
A

v^
^

, .3
r

i

*

Mogelijketoplossmg Samenwerkingsverband
De ervaringen/net de geïntegreerde aanpak van de georganiseerde criminaliteit laten zien dat de
•**
samenwerking veel afstemming vergt Elke partner in het convenant blijft gebonden aan het "eigen"
^ V.
gegevehsbeschermingsregime In het kader van de Wet Bibob doet de vraag naarde mogelijkheden van
-tv

t

de gegevensuitwisseling zich steeds per casus voor. Bij de W m o gaat het om grote aantallen
persoonsgegevens die verwerkt moeten worden. De afstemming die vereist is bij de uitwisseling van
gegevens in een samenwerkingsverband zou uit het oogpunt van bedrijfsvoering onhanteerbare
vertraging opleveren.

48/252

Duthier ®-Assóciates

Te verkennen oplossing: kaderwet a la SUWI, stelselontwerp, berichtenverkeer
•Voordeel: bekende en geaccepteerde methodiek in het werk & inkomen deel van het sociale domein.
Nadeel: Uit onderzoek van de Inspectie Werk en Inkomen27 blijkt dat gemeenten een zwakke schakel in
het geheel van de SUWI-keten vormen wat betreft informatiebeveiliging. In het wetsvoorstel Wmo 2015
krijgen gemeenten de verantwoordelijkheid voor het brede sociale domein (opgevat als de terreinen die
bestreken worden door de Jeügdwet, Participatiewet en Wmo).
Standaardisatie
Verder gelegen oplossingen: standaardisatie van begrippen, vastlegging in een taxonomie en'
uitwisseling tussen partijen van uitsluitend die gegevens waar partijen op grond'Van 'business rules'
over mag beschikken Het wettelijk kader is verwerkt in protocollen die zorgen voor geautomatiseerde
procesorkestratie.

3.4.3

Europese Privacyverordening (EPV)

De aankomende Europese Privacyverordening kenmerkfczich'ÖndéFmëèr door een versterking van de
rechten van betrokkenen ten opzichte van de Richtlijn 95 en'de daarop gebaseerde Wbp.
*

-'t

-v

•

De EPV is relevant voor het wetsvoorstel Wmo 2015 omdatde EPV mogelijk in 2014 van kracht zal
»' * * •jworden. EU-verordeningen hebben rechtstreekse werking in cle lidstaten. In augustus 2013 is nog
*

•

<

* , *

onvoldoende duidelijk in hoeverre,de aanvankelijke,versie van de EPV de eindstreep zal halen.
Voor de Wmo 2015 is^ relevant dat/mét name de volgende aspecten van de EPV tot aanscherping van de
huidige regelgeving kunnen-leiden
o
•

De rechten van betrokkenen v
'
'*
Verplichting onvyerwerkirig te documenteren (in plaats van huidige meldingsplicht)

o
«

Dataportabiliteit
i,,
Boetes bij overtreding van de EPV

'\*

*%

-

'r

l"

Naar onze mening zal begin 2014 moeten worden bezien of aanpassingen via nota van wijziging c.q.
novelle wenselijk of nodig zijn gezien de EPV zoals die dan luidt.

27

Inspectie Werk en Inkomen, Nota van Bevindingen, Vervolgonderzoek Beveiliging en privacy in de
SUWI-keten, december 2011, p.8.

49/252

Duthler «Associates

3.4.4

Het wetsvoorstel meldplicht datalekken

In juni 2013 heeft de minister van V&J het wetsvoorstel Meldplicht Datalekken naar de Tweede Kamer
gestuurd. Het wetsvoorstel maakt het mogelijk dat de toezichthouder, het College: bescherming
persoonsgegevens, een boete oplegt van maximaal ,€ 450.000 wanneer een verantwoordelijke een
datalek niet tijdig meldt. De wetgever joopt hiermee vooruit op overeenkomstige bepalingen in de
tl

Europese Privacyverordening die naar verwachting in 2014 van kracht wordt.
t

f

*
<

t

4

,

.

.- v :*v

V, H* * *
Deze bestuursrechtelijke boete staat los van eventuele vorderingen die gedupeerden kunnen'instellen
; %

i.

"*

ingeval van onrechtmatig handelen. Voor een civielrechtelijke vordenng'is onder meer vereist dat de
betrokkene aantoont dat hij schade lijdt als gevolg van het datalek én dat dê onrechtmatige handeling is
toe te rekenen aan de verantwoordelijke. Naar verwachting z'ullendaims^van ge'dupeercien van
datalekken in de toekomst vaker voorkomen. Enerzijds omdat er'steeds meer datalekken optreden en in
de publiciteit komen en anderzijds als gevolg van de versterkte'posftiè van dejndividuele betrokkenen.
Voor het wetsvoorstel Wmo 2015 moet rekening gehouden woYöen_met de mogelijkheid28 dat er
datalekken zullen optreden De impact op de persoonlijke levenssfeer van betrokkenen als gevolg van
-* ^

J

^

J

een dataiek bij de uitvoering van de Wmo is potentieel grootromdat het gaat om veel en gevoelige
't

t

" ' -

-

"*

•

gegevens. Door de koppeling van gegevens uit de verschillende sectoren van het sociale domein
"x
*
^
ké
(schuldhulpverlening, huiselijk geweld, gegevens over werk en inkomen op grond van de
1

^

f)

ij

'&'"

1

^

y|"~

*i^*
^

Participatiewet, medische gegevens'op grond van de Wmo) ontstaat een rijke mix van bijzondere en
gevoelige gegevens^

' *

t

De gemeente is in het wetsvoorstel (artikel 4.1.1) aangewezen als verantwoordelijke voor een aantal
verwërkingeryn'het sociale domein. Op grond van artikelen 6 en 13 van de Wbp is de gemeente
'"•gehouden om dejDersoonsgegevens op zorgvuldige wijze te verwerken en passende
beveiligingsmaatregelen te treffen. Eerdere onderzoeken naar de uitvoering van de Wmo en de
beveiliging van Suwi-net hebben aangetoond dat sommige gemeenten de gegevensbescherming nog
moeten verbeteren.

28

In informatiebeveiligingskringen gaat men er tegenwoordig van uit dat zich op enig moment een
datalek zal voordoen en neemt men beheersmaatregelen die daarvan uitgaan.

50/252

•Duthler® Associates

In juli 2012 stuurde de minister van SZW aan alle gemeenten een brief29 naar aanleiding van onderzoek
van de Inspectie Werk & Inkomen waaruit bleek "dat de beveiliging van persoonsgegevens die worden
gebruikt voor de uitvoering van de sociale zekerheid bij een aantal gemeenten waarschijnlijk
onvoldoende is".

In dat licht bezien is de samenvoeging van persoonsgegevens uit diverse bronnen een nsicp'met
potentieel grote impact op de bescherming van bijzondere en gevoelige gegevens Beheersmaatregelen
t

kunnen gezocht worden in beveiliging, maar ook dient overwogen te worden of gemeenten deze
gegevens in deze omvang moeten verwerken. Om de impact van datalekken te verminderen moeten zo
min mogelijk persoonsgegevens verwerkt worden: dataminimalisatie. Watje niet hebt kan je immers
ff
niet verliezen.
-V"

3.4.5

AWBZ
4_

Gegevensverstrekking in de AWBZ is geregeld irïde artikel 52 t/m 57b. Hierin is onder meer bepaald dat
zorgverzekeraars, zorgaanbieders en indicatieorganen het burgerservicenummer mogen verwerken en
1
^
l "*
dat de bewaartermijn voor de gegeveVis 7 jaar beclraagt"(artikel 52). Artikel 53 AWBZ bevat
\

i

%f

verplichtingen om persoogsgegevehstte verstrekken aan zorgverzekeraars:
l.Een zorgverzekeraar of een dobï'éën zorgverzekeraar of Onze Minister aangewezen persoon en:
%
a. een zorgaanbieder,^
X
b. een indicatieorgaan als bedoeld in artikel 9a, eerste lid,
verstrekken elkaar kosteloos de persoonsgegevens van de verzekerde, waaronder persoonsgegevens
betreffende de gezondheid als'bedoeld in de Wet bescherming persoonsgegevens, die noodzakelijk
zijn voor de uitvoe'nngVan deze wet, dan wel stellen elkaar deze gegevens voor dit doel voor inzage
of,het nemen"van afschrift ter beschikking.
2.Voorzover de verzekerde daartoe uitdrukkelijk toestemming heeft verleend, verstrekken een
indicatieorgaan als bedoeld in het eerste lid, en een zorgaanbieder elkaar kosteloos de
persoonsgegevens van de verzekerde, waaronder persoonsgegevens betreffende de gezondheid als
bed3e|idjn,ide Wet bescherming persoonsgegevens.
6. Bijrninisteriële regeling kan worden bepaald:

29

Brief Minister SZW aan gemeenteraden, Informatiebeveiliging en bescherming persoonsgegevens bij gebruik
Suwinet, 8juni2012

51/252

DuthlerWAssociates

a. tot welke gegevens de verplichting, bedoeld in het eerste of derde lid, zich in ieder geval
uitstrekt;
b. op welke wijze gegevens, bedoeld in het eerste, tweede of derde lid, worden verwerkt;
o volgens welke technische standaarden gegevensverwerking plaatsvindt;
d. aan welke beveiligingseisen gegevensverwerking voldoet;
e. in welke gevailen gegevens, bedoeld in het eerste of derde lid, verder worden verwerkt met het
oog op de uitvoering van deze wet,.een zorgverzekering als bedoeld in de Zorgverzekenngswet of
een aanvullende ziektekostenverzekering, voor zover deze gegevens niet worden gebruikt voor het
beoordelen en accepteren van een aspirant-verzekerde voor een aanvullende verzekering en
bovendien noodzakelijk zijn voor:
<
•• *>
1°. de betaling aan een zorgaanbieder of de vergoeding van zprgkosten aan een^verzekisrde,
2°. de vaststelling van eigen bijdragen,
%
"%-»> "^ pa
jt
3°. het uitoefenen van het verhaalsrecht, of
•Ï N , *%f
4°. het verrichten van controle of fraudeonderzoek.
,
**
*~v
...
..,,.f ^ .-.^
De nadere regeling ex artikel 53, lid 6 AWBZ bepaalt dat de zorgverzekeraar voor omschreven
Sw

^

^,

** ,

jrft

doeleinden (onder meer: betaling aan de zorgaanbieder, betaling aamde verzekeVde, vaststelling eigen
bijdrage, fraudeonderzoek) bepaalde persoonsgegevens (onder meer naw-gegeyens,
burgerservicenummer, de indicatie die door een vindicatieorgaamis vastgesteld)' mag verwerken. De

-t A

*"h ", " * ~%

nadere regeling bepaalt ook dat de zorgaanbieder en het inclicatieorgaan verplicht zijn om bepaalde
persoonsgegevens te verstrekken aan de zorgverzekeraar c q dé'verzekerde
Opmerkelijk is dat de uitwisseling van rnedische persoonsgegevens tussen zorgaanbieder en

'^

f* V-v, %

indicatieorgaan op grond van art. 53 lid 2 AWBZ gebondenjis aan de toestemming van de verzekerde.
^"V ? ^
4
Terwijl de verwerking van deïmdicatie die door het indicatieorgaan is vastgesteld, zonder toestemming
«.'* 1

^A-v

**v

'$

•

•

-

,

.

-

van de verzekerde door de zorgverzekeraar opgevraagd mag worden bij het indicatieorgaan.
Conclusie

z

}

t-

In de AVyBZ en de'daarop gebaseerde nadere regeling is tot op het niveau van de afzonderlijke
persoonsgegevens bepaald welke instantie welke persoonsgegevens mag verwerken, inclusief
bewaartermijnen en uitwisselingsrelaties.
\
$
De gegevepsbeschermingsparagraaf in de wetsvoorstellen LIZ (kern-AWBZ) en Wmo 2015 zal worden
afgemeten aan de standaard die in de AWBZ in combinatie met de nadere regeling is bepaald. Met

30

Regeling van de Staatssecretaris van Volksgezondheid, Welzijn en Sport van 6 juni 2011, kenmerk
MC U 3052251, houdende regels in verband met de verwerking van persoonsgegevens door
zorgverzekeraars bij de uitvoering van de AWBZ

52/252

Duthler ÊÈ) Assoéiates

andere woorden: de AWBZ biedt een referentiekader voor de opstelling en de beoordeling van de
gegevensbeschermingsparagraaf van beide wetsvoorstellen.

3.4.6

Zorgverzekeringswet (Zvw)

De Zorgverzekeringswet regelt in hoofdstuk 7 (artikel 86 t/m 93) de gegevensverstrekking tussen
zorgaanbieders, zorgverzekeraars, indicatieorganen, College zorgverzekerin|en,en dezorgautoritéit.'ln
artikel 86 is geregeld dat zorgverzekeraars het burgerservicenummer mogen gebruiken
De gemeente wordt in de Zvw niet genoemd als instantie waarmee gegevens uitgewisseld wo'fden.

* '

~/v

Gemeente ambtenaren van de burgerlijke stand worden wel genoerrjd zij zijn verplicht om kosteloos
aan verzekeraars uittreksels te'sturen.31

*-

De Wmo wordt niet genoemd in Zvw als een wettelijke basis voor gegevensuitwisseling.
^

't

fy

De gegevensverwerkingsparagraaf in de Zvwjs als volglppgebouwd Ten eerste bevat hoofdstuk 7 van
de Zvw de grondslag voor de verwerking van persoonsgegevens, waaronder medische
persoonsgegevens, die artikel 23 lid Tsub f van' de Wbp vereist Artikel 87 bevat een kapstokbepaling
voor een nadere regeling Artikel 87 lid 6 Zvw luidt.
*

""' I | V -

* •

BIJ ministeriele regeling kan worden bepaald ><
a tot welke gegevens de verplichting, bedoeld in het eerste of tweede lid, zich in ieder geval
uitstrekt,
, " '•
%\
f*.
b op welke wijze; gegevens, bedoeld in het eerste of tweede lid, worden verwerkt;
c volgens welke technisdifëf'standaarden gegevensverwerking plaatsvindt;
d aan welke beveiligingseisertgegevensverwerking voldoet,
e in welke gevallet?gegevens, bedoeld in het eerste of tweede lid, verder worden verwerkt met het
oog op^de uitvoering van"de zorgverzekering of een aanvullende ziektekostenverzekering, voor zover
deze gegeyens niet worden gebruikt voor het beoordelen en accepteren van een aspirantverzekerde voor een aanvullende verzekering en bovendien noodzakelijk zijn voor:
1° de'betaling'aan een zorgaanbieder of de vergoeding van zorgkosten aan een verzekerde;
2° "de vaststelling van eigen bijdragen of nog openstaand verplicht rif vrijwillig eigen risico;
3° hef uitoefenen van het verhaalsrecht, of
4°. het verrichten van controle of fraudeonderzoek.
Deze nadere regeling genoemd in art. 87 lid Zvw is de Regeling Zorgverzekeringswet.32

31

Art. 89 lid 5 Zvw

53/252

•Düt<hlért@ Associates

Artikel 7.2 van deze regeling luidt als volgt:
De zorgverzekeraar beschikt ten behoeve van de in het voorgaande artikel aangegeven doelen en
van de uitvoering van artikel 7.4a, over de volgende gegevens van de verzekerde:
a. naam, adres, postcode en woonplaats;
b. polisnummer, burgerservicehummer of, bij het ontbreken daarvan, sociaal-fiscaalnummer
geslachten geboortedatum;
c. de prestatiebeschrijving van de aan de verzekerde geleverde prestatie;
d. wanneerde prestatie is geleverd;
'
r
e. het voor de geleverde prestatie in rekening gebrachte tarief;
-'
}
f. de gegevens die op grond van een declaratieregeling moeten worden verstrekt, ** , '
g. de gegevens die noodzakelijk zijn om vast te stellen of de prestatie behoort tot'het verzekerde
pakket van die verzekerde en
"*• ***•
h. het bank-of girorekeningnummer;
1
*"* ^ *" ^
f
i. overige gegevens die noodzakelijk zijn voor het verrichten van-materiele controle dan wei
fraudeonderzoek.
•"* <*'
i

*

Conclusie

'^

s

\ ,

$,

De Zvw kan voor de Wmo 2015 als voorbeeld dienen voo> wat betreft deopbouw van de
gegevensverwerkingsparagraaf. In de Zvw is mogelijk g e m a a k t d l t medische persoonsgegevens worden
verwerkt voor de omschreven doelen In de Regeling Zvw zijn Je persoonsgegevens verder
gespecificeerd.

*

y

%

*"* i

Om de door de Wmo 2015 beoogde gegevensverstrekkingen zorgverzekeraars aan gemeenten
mogelijk te maken, verdienj-het aanbeveling om d W v w aan te passen en gemeenten en de Wmo
expliciet op te nemenjn de Zvw De^Regehng Zvw.zaï moeten worden aangepast, omdat daarin de
persoonsgegevens moeten worden vermeld die mogen worden verwerkt.

3.4.7 ?

Jeugdwet

.De Jeugdwet wordt samen met de Participatiewet en de Wet op de Schuldhulpverlening genoemdI iin
artikel 4 1 i,|,d 2 vangnet wetsvoorstel Wmo 2015. Het college van B&W krijgt in dit-artikellid de
bevoegdhêid^m ten behoeve van de uitvoering van de Wmo 2015 persoonsgegevens te verwerken die
het heeft verkregen ten behoeve van de uitvoering van deze wetten.

Regeling van de Minister van VWS van 1 september 2005, nr. Z/W-2611957, houdende regels ter zake
van de uitvoering van de Zorgverzekeringswet (Regeling zorgverzekering)

54/252

Du'thler® Associates

Op grond van de Wmo 2015 wordt de gemeente verantwoordelijk voor de uitvoering van jeugdzorg op
grond van de Jeugdwet. Met de taken die de gemeenten op grond van de Participatiewet
toebedeeld krijgen, wordt het gemeenten mogelijk gemaakt om de centrale regie te voeren over het
brede sociale domein.

De Raad van State is kritisch over gegevensbescherming in Jeugdwet33. Met name de aspecten
Verwijsindex Risicojongeren (VIR) en de gegevensoverdracht aan de gemeenten krijgen forse kritiek.
Verwijsindex Risicojongeren:

,„
f>%'

'

\ *

\ ,

Voorts adviseert de Afdeling ofte zien van de Verwijsindex Risicojongeren (VIR), nu de beperkte meerwaarde
ervan niet opweegt tegen de inbreuk die wordt gemaakt op de pèrsoo'nlijke levenssfèer.f )
De evaluatie toont de beperkte effectiviteit van de VIR aan. De enige^ gebleken meerwaarde - in bovenregionale
situaties - is naar het'oordeel van de Afdeling onvoldoende om de inbreuk dietde VIR maakt op het recht op
bescherming van de persoonlijke levenssfeer te rechtvaardigen
**
*"i
1

i

f

*

"
.
v-'
Overdracht persoonsgegevens aan gemeenten
,\
>>
"~"
'%
'*"*'
' JQ
Het voorstel bepaalt, met het oog op continuiteikyan zorg voor de jeugdige en zijn ouders, dat in de
overgangsfase instanties en zorgverleners bepaalde gegevens over de jeugdige en zijn ouders overdragen aan de
gemeente. Het gaat om gegevens van de Bureaus Jeugdzorg, het indicatieorgaan van de A WBZ (het CIZ) en de
beroepsbeoefenaar, bedoeld in artikelJ)b, vijfde lid, van de AWBZ Voorts betreft het persoonsgegevens,
waaronder ook gegevens betreffende iemands gezondheid De gegevensoverdracht dient zo spoedig mogelijk na
publicatie van de wet plaatsje vinden De gegevens moeten in ieder geval drie maanden voor inwerkingtreding
van de wet zijn overgedragen",jaldus de toelichting De Afdeling onderkent het belang van de continuïteit van
zorg aan jeugdigen fin^hun ouders na'mwerkmgtreding van de wet, en tevens de noodzaak dat gemeenten
daartoe tijdig ove f noodzakelijke gegevens beschikken om adequate zorg te kunnen bieden. De Afdeling merkt
echter op dat het hier gaat om gegevensverwerking van bijzondere persoonsgegevens en daarmee om een
inbreuk op het recht op bescherming van de persoonlijke levenssfeer als.bedoeld'in artikel 10 van de Grondwet
en artikel 8 ÊVRM Ingevolge artikel 8 EVRM kan een dergelijke inbreuk gerechtvaardigd zijn als is voldaan aan
een aantal vereistenjEenwan deze vereisten is dat de inbreuk noodzakelijk moet zijn in een democratische
samenleving In datyerband moeten de beginselen van proportionaliteit en subsidiariteit worden gewogen. De
subsidianteitseis houdt in dat het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op
een andere, voor betrok'k'ene minder nadelige wijze kan worden verwezenlijkt. De toelichting gaat nauwelijks in
1
- t op de rechtvaardiging ^an de inbreuk op de persoonlijke levenssfeer. Vermeld wordt slechts dat het verkrijgen
van de expliciete toestemming van betrokkenen, gelet op de aard van de doelgroep, een zeer langdurig en
arbeidsintensief pïoces zou zijn en bovendien geen garantie zou bieden dat vande gehele doelgroep tijdig
toestemming zou kunnen worden verworven De Afdeling acht dit niet overtuigend. Het gaat hier mede om
verwerkinq'van medische gegevens, en dus om een ernstige inbreuk op de persoonlijke levenssfeer. Het feit dat
hét vragen'van toestemming aan jeugdigen en.hun ouders wellicht arbeidsintensief en tijdrovend kan zijn, vormt
geen rechtvaardiging voor een dergelijke ernstige inbreuk op de persoonlijke levenssfeer. Bovendien valt niet in
te zien waarom jeugdigen en ouders die toestemming niet tijdig zouden geven voor de overdracht van hun

33

Tweede Kamer 2012-2013, 33684 nr. 4, Advies Raad van State en nader rapport,

55/252

M h l é r ï l l Associ ates

dossier aan de gemeente. Het is juist in hun belang dat de zorg in de nieuwe situatie adequaat-gecontinueerd
wordt. Hetbeoogdë doel - tijdig beschikken over noodzakelijke gegevens door gemeenten - kan aldus op een
minder nadelige wijze worden bereikt. Gelet hierop is de Afdeling van oordeel dat de noodzaak, van de gegevensverwerking onvoldoende is aangetoond. Zij adviseert hierop in de toelichting in te gaan.
9. Overgangsrecht en.gegevensverwerking
Naar aanleiding van de opmerking van de Afdeling is de toelichting op de artikelen 10.4 tot en met 10.6
aangepast en uitgebreid.
Onder verwijzing naar de door de Afdeling genoemde criteria waarvan de toepasselijkheid inmenging in de
persoonlijke levenssfeer rechtvaardigen, wordt getoetst en uiteengezet dat de gegevensoverdracht als in deze
artikelen bedoeld, een gerechtvaardige inmenging vormt: In de eerste plaats moet de verwerking van de
persoonsgegevens bij wet worden voorzien. In de tweedeplaats moet de verwerking nobdzakehjk'zijn^n een
democratische samenleving; meer in het bijzonder betrefthet de criteria dringende maatschappelijke*bevrfoefte,
proportionaliteit,en subsidiariteit. Het derde en laatste criterium voor gegevensoverdracht is*clat deze een """
geoorloofd, expliciet genoemd doel dient.
C
'•,
*****"••
§
~»

"<•

^

' - i ,

" ^

*

^

Deze passages zijn van belang voor het wetsvoorstel Wmo, omdat ook in het wetsvooistel Wmo 2015 eveneens (en

'K

";&

wellicht meer) medische persoonsgegevens bij de gemeenten terecht zullen.komen Het advies,van de Raad van
State geeft een nadere invulling van de eisen die gesteld worden als gegevens zonder toestemming van
betrokkenen worden uitgewisseld. De Raad van State acht in het geval van^rnedische persoonsgegevens de/inbreuk
!l*

t,\\^

'""'

, ''*•

op de persoonlijke levenssfeer zo ernstig dat toestemming van betrokkenen voor verwerking vereist is. Het feit dat
•*

s

\

"**

- '£»,

*

*

«.•%,.

"^

^

' -- - i ,

net proces van verkrijging van toestemming arbeidsintensief en tijdrovend zal zijn, kan geen reden opleveren dm
V-,
\
" "^i
geen toestemming te vragen, aldus de Raad van State
i- ,
\« <•
" / ' -."*-*' ^

v

i-

",A

In de PIA's die zijn uitgevoerd in het kader van dit advies ovef-het wetsvoorstel Wmo 2015 is eveneens
geconstateerd dat verwerking zonder toestemming van betrokkenen een risico oplevert voor de rechtmatigheid van

>„

h-

^

'

" '

de verwerking Dat is bijvoorbeeld het geval bij de gegevensuitwisseling tussen gemeenten en zorgaanbieders, maar
ook bij de gegevensverwerking van de gemeente in het kader van artikel 4.1.1 van het wetsvoorstel Wmo 2015. Op
f

K

*

H ?

•"

" "'

deze punten moet-rekening gehouden worden met een overeenkomstig advies van de Raad van State als het advies
< t

•>•

^

)

over de Jeugdwet Het verdient aanbeveling om dit advies bij voorbaat te verwerken in hetwetsvoorstel Wmo 2015
•f
•
'
en betrokkenen zoveel mogelijk om toestemming voor verwerking te vragen, zeker waar het medische gegevens
betreft "*, ,.

3.4.8

v »

Parfïcïpatiewet

De Participatiewet, Wet op de Schuldhulpverlening en Jeugdwet worden alle drie,genoemd in artikel
4.1.1 lid 2 van het wetsvoorstel Wmo 2015. Het college van B&W krijgt in dit artikellid de bevoegdheid
om voor de uitvoering van de Wmo 2015 persoonsgegevens te verwerken die het heeft verkregen ten
behoeve van de uitvoering van deze wetten. Voor de Participatiewet geldt mutatis mutandis hetzelfde
als hiervoor is opgemerkt voor de Jeugdwet. Kortheidshalve verwijzen wij naar paragraaf 3.4.7.

56/252

Duthler S'Associates

3.4.9

Wet gemeentelijke schuldhulpverlening

De Participatiewet, Wet op de Schuldhulpverlening en Jeugdwet worden alle drie genoemd in artikel
4.1.1 lid 2 van het wetsvoorstel Wmo 2015. Het college van B&W krijgt in dit artikellid de bevoegdheid
om voor de uitvoering van de Wmo 2015 persoonsgegevens te verwerken die het heeft verkregen ten
behoeve van de uitvoering van deze wetten.

j ,

In deze paragraaf wordt onderzocht welke persoonsgegevens dat kunnen zijnen welkejnvloed de Wet
op de Gemeentelijke Schuldhulpverlening heeft op de Wmo.

Doelbinding

%.

j

•>

Een gemeente heeft de plicht om armoede en schuldenproblematiek tegen te gaan door de participatie
van haar burgers verbeteren, waarbij arbeidsparticipatie voorop staat De definitie van
schuldhulpverlening luidt als volgt 'het ondersteunen bij het vinden van een adequate oplossing gericht
op de aflossing van schulden indien redelijkerwijs is te voorzien dat een natuurlijke persoon niet zal
kunnen voortgaan met het betalen van zijn schulden of indien hij in'detoestand dat hij heeft
opgehouden te betalen, alsmede de'nazorg'^
De Memorie licht de schuldhulpverlening als volgrtoe 'Integrale schuldhulpverlening is een
*

*

i.

* *>

*

samenhangend hulpaanbodwan preventie tot en met zorg gericht op zowel de financiële- als
psychosociale en andere,oorzaken van schulden fHet kan daarbij bijvoorbeeld gaan om relatieproblemen,
'•Wr,.

* .

de woonsituatie, de gezondheid, de verslaving en de gezinssituatie' (memorie van toelichting bij art. 1).
Vi
*
'*_
""
,

'

' \ ^ - ' ' . - . -

•'

Welke persoonsgegevens worden verwerkt?

* »^- i

'

't %

Art 5 (inlichtingenplichtpkent een ruime formulering: 'de verzoeker doet aan het college op verzoek of
onverwijld uit eigen beweging mededeling van alle feiten en omstandigheden waarvan hem
* « ,

*

• » " '

redelijkerwijs duidelijk moet zijn dat zij van invloed kunnen zijn op de hem van toepassing zijnde
' * -\
schuldhulpverlening

of voor de uitvoering van deze wet'.

In ieder geval geldt er een identificatieplicht in de zin van Wet op de identificatieplicht.

In het kader van de gegevensuitwisseling aan en door het college van Burgemeester en wethouders is
art. 8 relevant:

57/252

Duthler ©Associates

1.
'Bestuursorganen en andere bij algemene maatregel van bestuur aangewezen personen en
instanties verstrekken aan het college de gegevens en inlichtingen waarvan kennisneming van belang
kan zijn voor de uitvoering van deze wet;
2.
Het college kan onder bij algemene maatregel van bestuur te bepalen voorwaarden aan
bestuursorganen en aan bij algemene maatregel van bestuur aan te wijzen instanties gegevens
verstrekken voortvloeiende uit de uitvoering van deze wet, die deze bestuursorganen en instanties
behoeven in verband met uitoefening van hun taak en dienstverleningen,
i j,
3.
Het vragen en het verstrekken van gegevens door het college aan en door de in het eerste en
tweede lid bedoelde bestuursorganen en instanties kan geschieden door tussenkomst van het
Inlichtingenbureau, bedoeld in artikel 63 van de Wet structuur uitvoeringsorganisatie werk en
inkomen .
f *

'

De Memorie licht voorgaande als volgt toe:
'Bij de uitvoering van de taak op grond van deze wet kan het'college gegev'ens verwerken', die
verkregen worden van andere bestuursorganen of instanties, cfié .verwante taken uitoefenen.
Daartoe zal het college ook gegevens behoevende vejstrekkén Indien het gegevens betreft die
verkregen worden van een overheidsorgaan (een bestuursorgaan) zakdaarbij gebruik gemaakt
kunnen worden van het burgerservicenummer .Dit^gebfuik-'vloeit voort uit öë Wet algemene
bepalingen burgerservicenummer. De gegevensuitwisselmgiwordt Begrensd door de noodzaak van
hét gebruik van gegevens van andere bestuursor,ganer?en instanties door het college van'zijn taak op
het terrein van schuldhulpverlening De uitwisseling van gegevens met name met instanties die geen
bestuursorgaan zijn wordt nader uitgewerkftn een algemene maatregel van bestuur. Bij de
uitwerking van de algemene maatregel van bestuur zal de samenhang met de
gegevensinfrastructuur die al bestaat op terrein van,werk-en inkomen nader worden bezien.34

. / -'/"•

*§

De AMvB over gegevensuitwisseling'van 'dë^Wet gemeentelijke schuldhulpverlening moet nog voor
.*'*
">. % . "'^ Vj't?
advies naar het CBP erfde Raad van State De AMvB wordt na de zomer voorgelegd aan de VNG voor de
uitvoeringstoets Dat heeft staatssecretaris Klijnsma van SZW laten weten in antwoord opvragen van de
VNG.35

-*''*,•

Het wetsvoorstel Wmo 2015 maakt het mogelijk om dat het college van B&W de gegevens die het uit
f hoofde van deiuitvoenng van de Wet op de gemeentelijke schuldhulpverlening heeft verkregen, ook kan
gebruiken voor de uitvoering van de Wmo. In een recente brief aan de Tweede Kamer schrijft de
staatssecretaris van SZW over de plannen om gegevensuitwisseling zonder toestemming van de
schuldenaar om 'vroegsignalering' mogelijk te maken.

34
35

Tweede Kamer, 2009-2010, 32291, nr. 3, p.23
Voortgang AMvB gegevensuitwisseling schuldhulpverlening, 3 juli 2013, www.vng.nl

58/252

.DüthléKraAssociates

Opmerkelijk is dat de Wmo hierin niet genoemd wordt. Nu het de bedoeling is om persoonsgegevens
ook buiten de schuldhulpverlening, namelijk in de Wmo-uitvoering te gaan gebruiken, moet dat nieuwe
gebruik hetzij in de wet, hetzij in de AMvB mogelijk gemaakt worden,

Bij gebreke van vermelding van de 'uitvoering van de Wmo' in de doeleinden van de Wet op de
gemeentelijke schuldhulpverlening, moet worden vastgesteld of het gebruik ten dienste van de Wmouitvoering verenigbaar is (in de zin van artikel 9 Wbp) met de het oorspronkelijke doel van üe
verwerking: schuldhulpverlening. Dat is een basis die minder rechtszekerheid biedt K<

* "

Wellicht dat deze aspecten nog aan de orde komen naar aanleidingvan h'etaangekondigde streven naar
'vroegsignalering'en een CBP-advies daarover:

'

"'

Gegevensuitwisseling is een noodzakelijk onderdeel van vroegsignalering en raaktdaarmee ook
direct het privacyvraagstuk. Gemeenten geven aan knelpunten te ervaren, maar tegelijkertijd
hebben zij daar iri de praktijk oplossingen voor gevonden Een mbgelijk instrument dat gemeenten in
hun aanpak vroegsignalering kan ondersteunen/is uitbreiding van de gegevensuitwisseling zonder
voorafgaande toestemming van de schuldenaar. Gegevensuitwisseling in het kader van de Wet
gemeentelijke schuldhulpverlening is nusbeperkt tot het moment waarop de schuldenaar een
aanvraag schuldhulpverlening doet Door dit moment te vervroegen, kan het gemeenten
bijvoorbeeld helpen om voordateéri aanvraag aan de orde is snel na te gaan of er sprake is van een
bredere problematiek, om inzicht te bieden in de'(globale) financiële positie van iemand, om
risicogroepen in beeld te brengen'of om de pnqnterinf'van hulpvragen te ondersteunen.
Gemeenten zijn verdeeld over de wenselijkheid van een dergelijk instrument en vragen zich af of de
privacy van mensen njet in het geding komt Daarom ga ik in de komende periode de wenselijkheid
en de haalbaarheidvin samenhang-iinet de privacy onderzoeken.36
f

f

Zolang de inhou'd van de AMvB niet beleend is, kan de vraag welke persoonsgegevens worden verwerkt
in het kader vanJde Wet op de gemeentelijke schuldhulpverlening niet worden beantwoord.

3.4.10

Wet gemeentelijke basisadministratie (Wet GBA)

In deze paragraaf wordt onderzocht welke invloed de WGBA heeft op de verwerkingen binnen de
gemeente en 'dè verstrekkingen door de gemeente aan derden in het kader van de Wmo, zoals voorzien
in het wetsvoorstel Wmo 2015.

36

Brief van de staatssecretaris SZW aan Tweede Kamer, Intensivering armoede- en schuldenbeleid, 3 juli
2013, p.14

59/252

DüthlêR®^sroMitê5

Een eerste vraag die beantwoord moet worden luidt als volgt. Mag de gemeentelijke afdeling die de
Wmo uitvoert, gebruik maken van de persoonsgegevens die zijn geregistreerd in de gemeentelijke
basisadministratie voor de uitvoering van Wmo-taken of is daarvoor aanvullende regelgeving nodig? Een
volgende vraag is of de persoonsgegevens die afkomstig zijn uit de gemeentelijke basisadministratie
verstrekt mogen worden aan andere Wmo-actoren zoals de zorgaanbieders en zorgverzekeraars.
'h
r

Binnengemeentelijke afnemers

J"r

*

* *J**

-, v

Wmo-medewerkers van de gemeente zijn te beschouwen als binnengemeentelijke afnenters Uit art 96
V*

T'.v '

- ^

t

Wet GBA volgt dat de toegang van binnengemeentelijke afnemers tot het'GBA-systeëm en daarmee de
t4r±

systematische verstrekking van gegevens, wordt geregeld bij of krachtens eervgemeentelijke
verordening. Ook hiervoor geldt dat de verstrekking slechts plaatsvindt voor zoverdeze gegevens
noodzakelijk zijn voor de vervulling van hun taak Om welke'gegevensverstrekking het precies gaat
(algemene, administratieve, bijzondere of verwijsgegevensl^wordt niet nadefgespecificeerd.
-,
ï

\
JJ

Onder een binnengemeentelijke afnemer moët,worden verstaan elke afnemer die een orgaan is van de
gemeente waarvan het college van burgeméester'en wethouders de verantwoordelijke is voor de
nK

"f'f

S

„^

~'f

verwerking van persoonsgegevens in de desbetreffende basisadministratie. De gemeentelijke GBAverordening moet vermelden welke medewerkers bevoegd zijn om kennis te nemen van de in de GBA-

-

* k ~l

~\>^ , . V

geregistreerde persoonsgegevens van Wmo-aanvragers
^ ^
-«'
*j&

Zo heeft de gemeente Bergambacht bijvoorbeeld als bijlage 7 bij de GBA-verordening37 onder meer
opgenomen dat "medewerkers van_de afdeling Wmo" de in de bijlage gespecificeerde
persoonsgegevens mogen opvragen uit de GBA om te controleren of op een adres van een Wmoaanvraag samengewoond wordt of niet, omdat samenwoning van belang is voor de beslissing op de
Wmo-aanvraag ^?> r "''

Derden

37

Bijlage 7 Verordening gemeentelijke basisadministratie persoonsgegevens gemeente Bergambacht
2010, www.bergambacht.nl/document.php?m=l&filetd=5857&f=4b5f8cdfa55358eb039b3-28ebc9fel93
&attachment=0&a=153

60/252

Duth Ier 111 Associates

Zorgverzekeraars en zorgaanbieders zijn te beschouwen als derden in de zin van de Wet GBA. Onder
voorwaarden genoemd in artikel 99 Wet GBA mogen zij systematisch algemene en verwijsgegevens
verstrekt krijgen uit de GBA.

Zorgverzekeraars worden genoemd in art. 99 lid 1 onder c.
Art. 99 Wet GBA bepaalt als volgt: 'Bij of krachtens algemene maatregel van bestuur kan éen regeling
worden getroffen omtrent de systematische verstrekking van algemene en verwijsgegevens'. De
systematische verstrekking van gegevens is echter wel beperkt tot een aantal catego*rieen', waaronder:
pensioenfondsen, banken en zorgverzekeraars . De 'algemene en verwijsgegevens uit de GBA mogen
aan zorgverzekeraars systematisch verstrekt worden:
"voor zover deze gegevens noodzakelijk zijn voor de vervullifig'van hun bovengenoem'de taak en
voor zover de verstrekking haar grond vindt in de uitvoeringyan'een algemeeYhver.bindend
voorschrift dan wei in het verwerken van persoonsgegevens op eén'wijze die toelaatbaar is
ingevolge de Wet bescherming persoonsgegevens Dè maatregel bepaalt welke fondsen,
verzekeraars en instellingen voor de verstrekking in aanmerking komen "'
Voor zorgaanbieders geldt eèn'overeenkomstige tekst, lid 3 van artikel 99 Wet GBA:
Bij of krachtens algemene maatregel van bestuur kan een regeling worden getroffen omtrent de
systematische verstrekking van ajgemehe.en verwijsgegevens aan instellingen en voorzieningen voor
onderwijs, gezondheidszorg en maatschappelijke dienstverlening, voor zover deze gegevens
noodzakelijk zijn voor de vervulling van hun taak en voor zover de verstrekking haar grond vindt in
de uitvoering van een algemeén.verbindend voorschrift dan wel in het verwerken van
persoonsgegevens op,een,wijze die toelaatbaar is ingevolge de Wet bescherming persoonsgegevens.
De maatregel bepaalt^weike instellingen en voorzieningen voor de verstrekking in aanmerking
komen.
* •'

*

38

Uit de praktijk van de Kafkabrigade komt het volgende bericht:
Wmo-koppeling
"^
De gemeente heeft ook de Wmo-afdeling gekoppeld aan de GBA. Hier gaat het om een Turkse vrouw
- - , die hulp in de_huishouding heeft aangevraagd. Omdat de kinderen er.opk wonen, vindt de gemeente
' dat geenrecht q'p.hulp bestaat. De Turkse vrouw zegt dat de kinderen er niet wonen. Dat is gek, dus
everf lajigs Er is niemand thuis, maar en staan wel sloffen voor de deur, maatje 43 of groter, die niet
passen bij/een kleine vrouw. Rapport opmaken. Onze conclusie: Geen zuivere koffie wellicht, maarte
weinig info om t o t conclusies te komen. Dus meer onderzoek gewenst.

38

www.kafkabrigade.nl, GBA adresonderzoek: het sompige moeras van de complexiteit ontstaat in Den
Haag, 25 maart 2013

61/252

EJyfihler | 1 | Associates

De gemeente in kwestie controleert dus actief de juistheid van de Wmo-aanvraag aan de hand van de
GBA. Dit lijkt een voor de hand liggende en zorgvuldige handelwijze: om de gegevens die de cliënt aan
de gemeente verstrekt in het kader van de Wmo-aanvraag te toetsen aan de gegevens in de GBA.

Conclusie
Om de binnengemeentelijke verwerking van algemene en verwijsgegevens uit de GBA dobr de afdeling
Wmo mogelijk te maken, moet de gemeentelijke GBA-verordening vermelden welke medewerkers
bevoegd zijn om kennis te nemen van de in de GBA-geregistreerde persoonsgegevens vanA/Vmo-' ,*
£*

aanvragers.

,

:

••**&

-

Om de systematische verstrekking van algemene en verwijsgegevens uit de GBA aan derdemzoals
zorgverzekeraars en zorgaanbieders mogelijk te maken, moet daartoe bij of krachtens algemene
maatregel van bestuur een regeling worden getroffen De maatregel moet bepalen^welke verzekeraars,
instellingen en voorzieningen voor de verstrekking in aanmerking komen *

t

Voor het wetsvoorstel W m o is met name deze laatsteconstatenng van belang Het wetgevingstraject zal
4

-*

<

i

dus moeten voorzien in (een aanpassing van) een AMvB dat de gegevensverstrekking aan
*

\

'

zorgverzekeraars en zorgaanbieders mogelijk"maakt

t v*

*•

"1

t

V
>

3.4.11

<\

'

l

¥Si4

Wet op de Geneeskundige Behandelingsovereenkomst (Wgbo)
T5^u

* f * i

f

De Wet op de Geneeskundige Behandelingsovereenkomst bevat een geheimhoudingsplicht voor
hulpverleners van de medische gegevens van'patiënten. In deze paragraaf wordt onderzocht in hoeverre
de geheimhoudingsplicht doorwerkt in de Wmo uitvoering.
'x*
• *
Hef'GBP heeft hierover eerder, in het advies39 over de W m o 2007, slechts opgemerkt dat
"voor wat betreft djg verwerking van medische gegevens, bijvoorbeeld bij indicatiestelling, naast de
Wbp mogelijk opk'het bepaalde in de Wet op de geneeskundige behandelingsovereenkomst van
(overeenkomstige) toepassing is".

39

Brief CBP aan VWS, 16 maart 2005, Advies Wetsvoorstel Wmo

62/252

Duthlër «Associates

De geheimhoudingsplicht uit de Wgbo is zowel direct als indirect van toepassing op de Wmo. De Wgbo
is direct van toepassing voor handelingen die zijn te kenschetsen als "verplegen en verzorgen". Dat volgt
uit artikel 446, lid 3 Bk 7 BW:
Tot de handelingen, bedoeld in lid 1, worden mede gerekend het in het kader daarvan verplegen en
verzorgen van de patiënt en het overigens rechtstreeks ten behoeve van de patiënt voorzien in de
materiële omstandigheden waaronder die handelingen kunnen worden verricht.
Voor deze handelingen geldt dat de hulpverlener daarover geheimhouding moet betrachten.de directe
toepasselijkheid. Indirect is de Wgbo van toepassing als bij de verwerking van Wmo-aanvragen door de
gemeente en de indicatiestelling door het CIZ wellicht ook al medischerpersoonsgegevens,yerwerkt
zouden moeten worden, die ontleend zouden moeten worden aan een voorafgaande medische
behandeling, terwijl de geheimhoudingsplicht van de Wgbo dat verbiedt In die situatie is.de Wgbo
indirect van toepassing. Hieronder wordt onderzocht wat de geheimhouding uit de Wgbo voor de
Si

gegevensverwerking bij aanvraag en indicatie betekent.

WGBO en geheimhoudingsplicht

,~

'" ^

< -'

\'*.„

-

•&

^
"V-

De Wgbo is van toepassing op patient-hulpverïenersrelaties. De Wg'Bo is onderdeel van Boek 7 Burgerlijk
Wetboek, Titel 7, Afdeling 5 (de Overeenkomst inzale.de geneeskundige behandeling). Het doel van de
Wgbo is de rechtspositie van de.patiënt te verbeteren Zo heeft de Wgbo onder meer de bewaartermijn
."? ***
?j
van patiëntgegevens in7 het dossier gewijzigd

"h "' "' >.

s i

"

De patiëntgegevens (in de Wgbo "bescheiden" genoemd), zoals bedoeld in art. 7:454 BW, worden in
">• ,

~<m^

beginsel vijftien jaren bewaard ten behoeve van statistiek of wetenschappelijk onderzoek op het gebied
$k

van de volksgezondheid. In beginsel, omdat een verzoek van de patiënt aan de hulpverlener om de
gegevens te vernietigen, er voor zorgt dat de gegevens binnen drie maanden dienen worden vernietigd
(art art 7 455 BW)
Geheimhoudingsplicht

is niet absoluut

Uitgangspunt is dat de hulpverlener er voor zorgt, dat aan anderen dan de patiënt geen inlichtingen
over de patiënt dan wel inzage in of afschrift van de bescheiden worden verstrekt. In het kader van de
Overeenkomst inzake de geneeskundige behandeling geldt er duseen geheimhoudingsplicht van de
hulpverlener. De wet formuleert echter drie vormen van doorbreking van de geheimhoudingsplicht:

63/252

Duthlef ® Associates

1. Indien de patiënt instemt met de gegevensverstrekking, mag de hulpverlener inzage geven van de
bescheiden zoals bedoeld in art. 7:454 BW. Hierbij doet zich wel de voorwaarde voor dat indien
verstrekking plaatsvindt, deze slechts geschiedt voor zover daardoor de persoonlijke levenssfeer van
een ander (een derde) niet wordt geschaad.(art. 7:457 lid 1 BW);
2. De verstrekking van bescheiden kan plaatsvinden zonder inachtneming van de beperkingen, bedoeld
' 'ik ' '"
in de voorgaande volzinnen, indien het bij of krachtens de wet bepaalde daartoe verplicht (art. 7:457
**
*
lid 1 BW);
<<;„••
3. Met de inwerkingtreding van de Wgbo is geregeld dat bescheiden kunnen worden verstrekt in het
_

„ ^

• - - . *

kader van statistiek of wetenschappelijk onderzoek op het gebied van de volksgezondheid, zonder
"ï*
""_., "^J*
dat daarvoor toestemming van de patiënt is vereist (art. 7:458 BW. Met betrekking tot deze vorm
van gegevensverstrekking gelden aanvullende voorwaarden: art. 7:458 lid 2),

*K

l

C

:

i \

* >

- -**

De vraag rijst nu of de verstrekking van bescheiden in het kader van de Wmo onder een van de drie
!

V**

, »

genoemde gevallen kan worden geschaard, zodat de verstrekking legitiem is^Vastgesteld moet worden
dat verstrekking van bescheiden in het kader van de Wmo niet kan worden geschaard onder statistiek of
l

' ^

t *"

wetenschappelijk onderzoek, behalve wellicht voor zover het'gaat om beleidsinformatie. De Wmo moet
een dergelijke doelstelling bevatten onfde verstrekking tën behoeve van statistiek mogelijkte maken.
't-,

'

,

-

'

De bescheiden kunnen dus wel worden verstrekt indien de patiënt daarmee instemt, of als degegevens
nodig zijn voor de behandeling, of irfdien de~wet daartoe verplicht Voorbeelden van wettelijke plichten
zijn bepalingen in de Wet op de lijkbezorging en de Wet publieke gezondheid

Opname van eenwettelijke plicht tot informatieverstrekking in de Wmo ligt niet voor de hand. Het
r '
';
*f' •-•,
publieke belang van de Wet'publiekë gezondheid is zodanig ver verwijderd is van het individuele
/*
'l
iif
'
karakter van.de Wmo dat dit geen basis biedt voor een wettelijke plicht tot informatieverstrekking.

Gezien de vèrwanteaard van de wetgeving kan echter wel een analogie gemaakt worden met de
verstrekking van medische informatie in het kader van Werk en Inkomen. In de sectorwëtgeving SUWI is
geen wettelijke plicht opgenomen die de geheimhoudingsplicht opheft. De verstrekking van medische
gegevens door behandelaars aan verzekeringsartsen in het kader van de sociale zekerheid is

64/252

.DuthleriS-Assbdatès

geprotocolleerd door de KNMG in de Richtlijnen omgaan met medische gegevens40. Deze richtlijnen
gaan uit van toestemming van de patiënt. Toestemming in plaats van een wettelijke plicht zou ook voor
de gegevensverstrekking in het kader van de Wmo kunnen gelden.
Zo adviseert ook het CBP in diens informatie over geheimhouding41:
Het verkrijgen van toestemming van de betrokkene is de ideale werkwijze Soms is dat echter niet
mogelijk, terwijl een beroepsbeoefenaar of hulpverlener het wel noodzakelijk kan yin den om
informatie te delen met andere instanties. In dat geval kan, alleen in Uitzonderingssituaties,
'buitenkant'-informatie gedeeld worden BIJ elke situatie moet een beroepsbeoefenaar alle belangen
afwegen om te kunnen beoordelen of het delen van 'buitenkant'-informatie onontkoombaar is Zo
mag een GGD geen diagnose (bijvoorbeeld dat iemand schizofreme'heeft) verstrekken aan een
woningcorporatie, maar kan het wel noodzakelijk zijn om voor h^et bestrijden of voorkomen van
overlast informatie als 'onvoorspelbaar impulsief agressief gedrag' te delen met de * ^ *
woningcorporatie. Ook kan het bijvoorbeeld nodig zijn de woningcorporatie te laten weten dat de
betrokkene onder behandeling is en dat de verwachting is dat de geconstateerde.próblemen zullen
afnemen.
*
\
-t
c

*

,t-

Het beroepsgeheim staat dus niet in de weg om in bepaalere gevaljen, mede in het belang van de
cliënt, relevante informatie over hulpverlenmgscontacfen demogelijkheden daartoe te delen met
instanties als politie en woningcorporaties Uiteraard is dé beroepsbeoefenaar of hulpverlener
degene die in een concreet geval de afwe'gmg moet maken of hij'informatie wil delen met anderen.
Conclusie

Persoonsgegevens die onder d^.geheimhoudingsplicht van de Wgbo vallen, kunnen door de
hulpverlener met toestemming van de betrokkene worden verstrekt
Overigens blijven de^algernene bepalingen van de Wbp van toepassing Dat betekent onder meer dat
voldaan moet zijn aan de eisen van subsidiariteit en proportionaliteit.

3.4.12

^

"Xh,

' -V

"%a

.„Wet kwaliteitrklachten en geschillen zorg (Wkkgz)

Op 4 juli 2013 heeft de -Tweede Kamer ingestemd met de Wet op de kwaliteit, klachten en geschillen
zorg (Wkkgz)'Momenteel ligt het wetsvoorstel42, ter beoordeling bij de Eerste Kamer. Inwerkingtreding
van de wet moet er voor zorgen dat de positie van de patiënt bij geschillen en/of klachten wordt

40
41
42

KNMG, Richtlijnen inzake het omgaan met medische gegevens, 2010.
www.cbpweb.nl/Pages/inf_va_samenwerkingsverbanden.aspx
Eerste Kamer, 2012-2013, 32.402, E

65/252

DüthlerW Associates

verbeterd. Invoering van de Wkkgz zal er voor zorgen dat iedere zorgverlener verplicht is om een
duidelijke interne klachtenregeling op te stellen (hoofdstuk 2). Daarnaast dient de zorgverlener zich aan
te sluiten bij een onafhankelijke geschilleninstantie (hoofdstuk 3). Andere belangrijke bepalingen in de
nieuwe wet gaan over het informeren van patiënten, de verslaglegging in het patiëntendossier en de
omgekeerde bewijslast. Dit laatste betekent dat bij eèn incident niet de patiënt moet bewijzen dat er
iets fout is gegaan, maar de zorgverlener dat de behandeling wél goed is uitgevoerd

Qe reikwijdte van de Wkkgz is ruim. De bepalingen in de Wkkgz zijn van toepassing op1alle*'»',*
f

* ~

V

< • „ , * " • . -

zorgaanbieders en alternat|eve-zorgaanbieders. Onder een zorgaanbieder worclt verstaan 'een<c
, ^
^>
f
instelling dan wel een solistisch werkende zorgverlener' Onder een«alternatieve-zorgaanbteder wordt
verstaan: 'een solistisch werkende, niet-geregistreèrde zorgverlener die andene zorg levert, dan wel een
instelling die uitsluitend door niet-geregistreerde zorgverleners^andere zorg doet verlenen' (art. 1
Wkkgz). Het is de bedoeling dat patiënten met deze nieuwe wettelijke regeling goede zorg krijgen, niet
alleen bij de individuele geneeskundige behandeling,*maar in allerelaties tussen patiënten ën
zorgaanbieders in de gehele keten van zorg.

•*"*

»\

V.

*

Het doel van de Wkkgz is dat de patiënt, als hij dat wil, gemakkelijker kan kiezen voor de zorgaanbieder
\

?•-

V

-i

die bij hem en zijn zorgvraag past, en dat de dient goede zorg krijgt die is afgestemd op zijn behoeften.
Als een cliënt niet tevreden is over de zorg die hij heeft ontvangen, kan hij gemakkelijker en effectiever
daarover klagen.

»\

""^

,i"v'

'* : "" %*,
j,

*< ii " ^

Als het doel van de Wkkgz tegen het doeUvan de Wmo wordt afgezet, dan lijkt gegevensuitwisseling
&
-^
uitgesloten De doeleinden om gegevens te verwerken in het kader van de Wkkgz en de Wmo lijken ver
uit elkaar te liggen Bbyendien'szou men zich kunnen afvragen in hoeverre de informatie die in het kader
lj

van de Wkkgz (bijvoorbeeld de klachtenregeling) van belang kunnen zijn voor de bepaling óf een
:v
*~
^>
aanvrager in aanmerking komt voor Wmo-voor'zienirigen.

3.4.13

Gedragscode zorgverzekeraars

De Gedragscode Zorgverzekeraars geeft de beginselen en gedragsregels weer waaraan

66/252

Duthlef ©Associates

zorgverzekeraars zich dienen te houden inzake het omgaan met persoonsgegevens. De inhoud van de
Gedragscode bestaat voor een groot deel uit de regels van de Wbp, maar dan vertaald naarde setting
van zorgverzekeraars. Bij,besluit van 13 december 2011 heeft het CBP een goedkeurende verklaring
afgegeven met betrekking tot de Gedragscode.

In de Gedragscode is zoveel mogelijk geabstraheerd van de vigerende verzekeringswetten, zodat de
gedragsregels voor langere tijd hun waarde kunnen behouden. Als dit relevant is voor'een thema of
gedragsregel, wordt onderscheid gemaakt tussen Zorgverzekeringswet (Zvw), Algemene WetBijzondere
\
'''
Ziektekosten (AWBZ) en aanvullende ziektekostenverzekeringen (AV) Verzekeraars zijn tot dusver niet
'*T\
betrokken bij de Wmo, dus die wordt niet genoemd in de Gedragscode Waarschijnlijk zal dê
"*' h>
Gedragscode aangepast moeten worden aan de Wmo 2015.

3.4.14

Wet Structuur Uitvoering Werk en Ink'ómeriJWet SUWI)

De Wet SUWI wordt voor wat betreft de gegevensverwerkingen
wel eens beschouwd als een
4
**
nastrevenswaardig voorbeeld voor de Wmo In'het domeinn'werk en inkomen' is wetgeving ontwikkeld
die het mogelijk maakt om gegevens opnieuw-te gebruiken en uit te wisselen tussen partners. SUWI
kent bovendien een infrastructuur die^beheerd wordt door een Bureau Keten Werk & Inkomen (BKWI).
l

•* »

*

"'t

Deze infrastructuur vormt een techïhisch kader dat gebaseerd is op standaardisatie en uitwisseling
«,*/•"

* * : -

*

/

*

•

•»/

mogelijk maakt Slechtstgeautoriseerde medewerkers van aangesloten instanties hebben toegang tot de
W

gegevens.

i

'*>«

«|
,

^

S,

w.

'\'

'Si

Onderdeel van de SUWI-keten zijn UWV, Sociale Verzekeringsbank (SVB); gemeentelijke sociale
diensten (GSD);"Stichting Inlichtingenbureau (IB), Sociale Inlichtingen- en Opsporingsdienst (SIOD),
Arbeidsinspectie (Al) en Bureau Keteninformatisering Werk en Inkomen (BKWI). In de SUWI-keten is de
uitwisseling van gegevens tussen 'ketenpartners' geregeld in de Wet SUWI, het Besluit SUWI en de
Regeling SUWI.
De SUWI-wet- en regelgeving kent een uitgebreidere structuur dan de huidige Wmo-wet- en
regelgeving, zodat die wellicht ook een leidraad kan zijn voor de Wmo 2015 wet- en regelgeving. De Wet
SUWI geeft de regelingin hoofdlijnen van de instituties die de uitvoeringsstructuur voor werk en

67/252

•:Dw€hléH® Associates

inkomen vormen. De Wet bevat ook de kernpunten aangaande het gegevensverkeer ende
informatierelaties.43
Het Besluit SUWI (een AMvB) bevat in hoofdstuk 5 'Gegevensverwerking' gedetailleerde bepalingen
over de persoonsgegevens die per thema (reïntegratie, opsporing fraude) en per instantie (SVB, UWV,
gemeente) verwerkt mogen worden, inclusief de instanties aan wie de gegevens verstrekt mogen
worden.
%

\\
'r,

De Regeling SWI specificeert de taken van de partners, bevat de opsomming van de persoonsgegevens
die tussen specifieke partners uitgewisseld mogen worden. Bijlage 1 bevat het 'Stelselontwerp &*v „
Beveiliging Kaders en uitgangspunten aangaande de.gezamenlijk elektronische'Voorzienmgen Süwi

(GeVS)'.

• * .,

X

*>

"''

*
'
* ~
K
Een dergelijke opbouw in detaillering is wellicht ook haalbaar voor Het domein 'langdurige zorg en

--S

** ' t

maatschappelijke ondersteuning'. Op korte termijn is zo'rïónderneming met helemaal te overzien,
i

i

\ *

'*!

""*"'

alleen al vanwege het feit dat de taken van de beoogde,partners~nog nader Bepaald moeten worden
-i- •>

"

!

*

*•

' • i

Dat neemt niet weg dat een ontwikkelingsperspectiefJangs de lijnen vao.wet, besluit en regeling, reeds
tK

' ^

' -

>

geschetst kan worden in de memorie van toelichting op het wetsvoorstel Wmo 2015
->

»f >«

%
x
i

*

De Wbp vereist op grond van artikel»13 een 'passend' niveau van beveiliging van persoonsgegevens.
Een conclusie uit IW-onderzoek naar de infoVmatiebeveiliging in de SUWI-keten luidt:
* \
**'
%
"De genomen maatregelen sluiten^aan op het in 2009 door IWI gegeven oordeel. Daarmee is de
informatiebeveiliging vansde SUWI keten echter nog niet op orde.
Dat ten minste honderd gemeenten in de monitor van BKWI niet goed presteren op het gebied van
zorgvuldig gegevensgebruik, vindt de inspectie, ondanks de slag om de arm die BKWI houdt ten
aanzien van de monitor, verontrustend " ( ) "Zolang er geen normenkader in wet- en regelgeving is,
waaraan alle'partijen.diegegevens uitwisselen via Suwinet, zich moeten houden, en ervoor
gemeenten geen verplichting is om zich te verantwoorden over de beveiliging van de
'"• ^gegêvensuitwisseling.via Suwinet (zoals die wel geldt voor UWV, SVB en IB), kan de sector Werk en
Inkomen niet aantoonbaar maken dat er alles aan wordt gedaan om misbruik of oneigenlijk gebruik
van persoonsgegevens van burgers te voorkomen."44

43

Tweede Kamer 2000-2001, 27 588 nr. 3 memorie van toelichting, hst 1.6, Opbouw van de regeling
Inspectie Werk en Inkomen, Nota van Bevindingen, Vervolgonderzoek Beveiliging en privacy in de
SUWI-keten, december 2011, p.8.

44

68/252

Düthlër.® Associates

Voor wat betreft de uitvoeringspraktijk laat het IW-ohderzöek zien dat de informatiebeveiliging zelfs bij
een ingekaderd informatiesysteem als Suwinet een aandachtspunt blijft.

3.4.15

NEN 7510

De Wbp vereist op grond van artikel 13 een 'passend' niveau van beveiliging van persoonsgegevens. Het
CBP heeft in februari 2013 de Richtsnoeren beveiliging van persoonsgegevens

gepubliceerd. Daarin

stelt het CBP dat voor informatiebeveiliging gebruik gemaakt kan worden van.standaarden die per
sector ontwikkeld zijn. Een zeer veel gebruikte beveiligingsstandaard is*de Code voor
Informatiebeveiliging (NEN/ISO 27002:2007 nl) Deze standaard is onderdeel yan een groep onderling
samenhangende standaarden voor het initiëren, implementeren, Handhaven en verbeteren van de
7

f-

Ff

informatiebeveiliging in een organisatie. Voor de zorgsector is dèCode 'voor Informatiebeveiliging nader
uitgewerkt in de standaard NEN 7510. De Code voorjnformatiebev'eiliging en^NEN 7510 zijn
• S , Kbeveiligingsstandaarden die het hele terrein van de informatiebeveiliging binnen een organisatie
afdekken.

NEN 7510 geeft richtlijnen en uitgangspunten voor het bepalen, instellen en handhaven van
maatregelen die een organisatie in de^gezondheidszorg moet treffen ter beveiliging van de
informatievoorziening De organisaties waarop de norm zich richt, varieren van individuele
zorgverleners tot grote'zorginstellingen!en andere organisaties die bij de informatievoorziening in de
*•- ' t
-v
gezondheidszorg zijn betrokken, zoals netwerkorganisaties en zorgverzekeraars. Het toepassingsgebied
omvat de beveiliging van alle typen informatie in en tussen de genoemde organisaties en alle mogelijke
vormen waarin de informatie wordt weergegeven, vastgelegd en overgedragen. Om de vereiste
waarborging van'vertroüwelijkheid, integriteit en beschikbaarheid van de informatie te bepalen is een
risicobeoordeling nodig
s
/'
15
->

Risicobeoordeling is onderdeel van de eerste fase in de cyclus voor het beheersen van de
informatiebeveiliging. Door implementatie van de beheersmaatregelen bij elk van de

45

CBP, Richtsnoeren beveiliging van persoonsgegevens, Den Haag, 2013, 44 p.
www.cbpweb.nl/downloads_rs/rs_2013_richtsnoeren-beveiliging-persoonsgegevens.pdf

69/252

Duthler @Assbciates

beheersdoelstellingen in deze norm kan een organisatie.voldoen aan,de eisen die in een
risicobeoordeling zijn vastgesteld. NEN 7510 geeft daarmee aanwijzingen voor het organisatorisch en
technisch inrichten van de informatiebeveiliging en biedt zo een basis voor vertrouwen jïi de zorgvuldige
informatievoorziening bij en tussen de verschillende organisaties in de gezondheidszorg.

In het kader van eèn passend beveiligingsniveau voor de Wmo uitvoering zal overeenstemming over de

?

)

toe te passen informatiebeveiligingsstandaard nodig zijn Om de voorkomen dat^een te.grqte diversiteit
ontstaat tussen de verschillende Wmo-actpren, zullen er overkoepelende afsprakerrgemaakt moeten

*

f

K ""v v*

""

worden. NEN 7510 is een gezaghebbende norm in de zorgsector BIJ gemeenten is het beeld diffuser
Wellicht wordt de Baseline Informatiebeveiliging Nederlandse Gemeentemde standaard onder
*•

gemeenten.

.

s

*.•

'

_

l

,
<

\- ;'

'• >
*- =/

Het probleem van informatiebeveiliging in een netwerk mét veel actorenis dat eën tekortschietende
beveiliging bij de één actor, schadelijke gevolgen kan*hebben,yoórvyere andere actoren in het netwerk,
zoals de ervaringen in de SUWI-keten laten zien Dat kan ertoe leiden
dat gegevens niet meer verstrekt
1

•>

"""* ï ,

worden aan 'onbetrouwbare netwerkpartners' De problematiek van verschillende
informatiebeveiligingsstandaarden en wisselendë"comp!iance
door Wmo-actoren, kan voor een groot
r

d,

K

J|.

deel worden beheerst als informatiebeveiliging wordt 'ingefakken' in het Wmo-ecosysteem zoals
s
•"
geschetst in paragraaf 4.10*'
*•
»*J.

3.4.16

Zekere Zorg 3

Op initiatief van het Nederlandse Instituut voor Accreditatie in de Zorg (NIAZ) en.de Nederlandse Orde
van Register EDP-Auditors (NOREA) is begin 2011 een start gemaakt met het opstellen van het
f l normenkader 'Zekere Zorg 3'. Zekere Zorg 3 is een geïntegreerd normenkader waarin eisen zijn
opgenomen aan de inrichting en toepassing van governance, informatiebeveiliging en privacy. Zekere
Zorg 3 geldt als aanvulling op het NIAZ normenkader "Kwaliteitsnorm Zorginstellingen", op basis
waarvan zorginstellingen periodiek worden geaccrediteerd. De academische ziekenhuizen zijn actiefaan
de slag met Zekere Zorg 3 en de algemene ziekenhuizen tonen ook belangstelling voor het initiatief.
Zekere Zorg 3 is een standaard in ontwikkeling die via zorgaanbieders ook relevant zal worden voor de
Wmo.

70/252

Duthler • A s s o c i a t e s

3.5 Adviezen van het CBP
3.5.1

CBP-advies over Wmo in 200546
-7171

De memorie van toelichting op de Wmo 2007

kende slechts een enkele vermelding van de

bescherming persoonsgegevens. In de toelichting op artikel 20 werd gemeld "ten behoeve van de
berekening van

"

\

•

de eigen bijdrage en financiële tegemoetkoming gebruik te maken van gegevens van de belastingdienst
Daardoor is het mogelijk de administratieve lasten van burgers te beperken"
*" _

\

Het CBP adviseerde destijds als volgt:
Verwerking persoonsgegevens in het.kader van de Wmo
<• „
4i
Blijkens de memorie van toelichting is het een bewuste keuze vandit kabinet om de gemeente
maximale vrijheid te geven om hun eigen beleid te voeren' Hierbij hoort dok een vermindering
van de regeldruk. Hieruit kan ook worden verklaard dat,in de.Wmo, uitgezonderd artikel 20
Wmo, geen regels zijn neergelegd met betrekking tot het verwerkent/an persoonsgegevens.
Concreet betekent dit dat in beginsel de Wbp van toepassing'zal zijn op de verwerking van
persoonsgegevens die in het kader van;,Wmo zullen plaatsvinden. Daarbij wil ik u er op
attenderen dat voor wat betreft cle verwe'rking van medische gegevens, bijvoorbeeld bij
indicatiestelling, naast de Wbp mogelijk ook riet bèpa*alde in de Wet op de geneeskundige
behandelingsovereenkomst van (overeenkomstige) toepassing is.
Conclusie

., '

*

**„-

'

Wij concluderen daf de conclusie van het CBPiin 2005 dat de Wbp van toepassing is op de verwerking
van persoonsgegevens, die in h'et kader van de Wmo plaatsvinden, niet heeft geleid tot het naleven van
de Wbp- bepalingen. Zie„3.5 2 en 4 7.

1

3.5.2

'CBP-onderzoek 2011 bij gemeenten naar de uitvoering van de Wmo48

Vier gemeenten (van de vier onderzochte gemeenten, PC) handelen in strijd met de Wet
bescherming persoonsgegevens (Wbp) bij de verwerking van medische gegevens van burgers met
een lichamelijke of psychische beperking die ondersteuning vragen bij de gemeente. Dat constateert

46

Brief CBP aan VWS, 16 maart 2005, Advies Wetsvoorstel Wmo
TK 2004-2005, 30131, nr.3
48
CBP: gemeenten verwerken medische gegevens in strijd met de wet, persbericht, 21 april 2011
47

71/252

Üuthtefl® Associates

het College bescherming persoonsgegevens (CBP) na onderzoek naar de verwerking van medische
persoonsgegevens in hetkadervan de uitvoeringvan de Wet maatschappelijke ondersteuning
(Wmo) bij de vier gemeenten. Het CBP concludeert onder meer dat de gemeenten de dossiers met
medische gegevens van aanvragers van Wmo-voorzïeningen onvoldoende beveiligen. Hierdoor
bestaat het risico dat onbevoegden toegang krijgen tot de medische gegevens in de Wmo-dossiers.
Ook heeft het CBP geconcludeerd dat de gemeenten in strijd met de wet handelen door meer
gegevens op te vragen dan nodig is voor de beoordeling van de Wmo-aanvraag.
Burgers met een lichamelijke of psychische beperking kunnen bij hun gemeente ondersteuning
vragen in de vorm van bijvoorbeeld een rolstoel of thuishulp op grond van de Wm'o De'vier
onderzochte gemeenten vragen bij de Wmo-aanvragen naar de naam van de behandelerïa*spj?cialist
en in een enkel geval ook naar het medicijngebruik, zo constateert het CBP .DezeTnformatie is "
bovenmatig omdat deze slechts bij een klein deel van de Wmo aanvragen relevant?s voorde;
beoordeling. In dat geval kan deze informatie alsnog bij de aanvragéV van de Wmo-voorziemng
worden opgevraagd.
,'
•* <
*„

n«

Het CBP concludeert ook dat de gemeenten onvoldoende^maatregelen hebben getroffen om
onrechtmatige verwerking van de (medische) persoonsgegevens in de Wmo-dd"ssie'rs te voorkomen.
Bij twee gemeenten blijken zowel de fysieke als de digitale dossiers onvoldoende beveiligd tegen
toegang door onbevoegden. Bij een derde gemeente is"defb>eiliging van"de*digitale dossiers niet op
orde, terwijl een vierde gemeente haar fysieke dossiers onvoldoende^ heeft beveiligd.
V "*

Conclusie

Zn

-

** *

^^

.,

Met enige vrijheid moeten wij constateren 'dat vrijwel alle gemeenten nalevingstekorten laten zien wat
>t

betreft de Wbp

3.5.3

_*.

V,

-^

)s

"•* ^

•

•

•

CBP-advies 2012 ov.er wijziginjpWmo 49
1
\
^:'\'*^\<

Het betreft hier weliswaar'een wetsvoorstel'dat is ingetrokken50, niettemin is het advies van het CBP
relevant voor het onderhavige wetsvoorstel voor de Wmo 2015, zolang we.de overeenkomsten en
verschillen tussen beide wetsvoorstellen in aanmerking nemen.
Het CBP spreekt zich uifeover de grondslag, de doelbinding, de 'relatieve maat', de beveiliging, de
' belangenafweging, en de gewenste mate van concretisering van de verwerking van persoonsgegevens
door gemeenten inwerband met deze nieuwe taak
'• /%.
De relevante jassages uit het advies volgen hieronder:
(...) Voorstel van wet (33 127)

Brief CBP aan VWS, 23 april 2012, Advies over overheveling van taken uit de AWBZ naar Wmo
TK 2012-2013, 33127 nr. 69, 19 juni 2013

72/252

.•Duthler"'@Xssóciates

Het wetsvoorstel ziet op de overheveling van taken met betrekking tot ambulante 'begeleiding' uit
de Awbz naar gemeenten, als nieuw onderdeel van de taken die gemeenten uitvoeren in het kader
van de Wet maatschappelijke ondersteuning (hierna: Wmo).
Na inwerkingtreding van het wetsvoorstel is er voor de verwerking van persoonsgegevens door
gemeenten in verband met deze taak sprake van een grondslag in de zin van artikel 8 onder e Wbp
(de goede vervulling van een publiekrechtelijke taak) in combinatie - voor wat betreft de verwerking
van bijzondere persoonsgegevens betreffende gezondheid - met artikel 21 Wbp eerste lid onder f
ten eerste (de goede uitvoering van wettelijke voorschriften die voorzien in aanspraken die
afhankelijk zijn van de gezondheidstoestand van de betrokkene).
In de Wmo (c.q. in dit wetsvoorstel) zijn derhalve geen specifieke bepalingen nodig om een
grondslag te scheppen voor dé verwerking van persoonsgegevens, waaronder persoonsgegevens
betreffende gezondheid door gemeenten bij de uitvoering van deze taak ?'•,
* •
In de Wmo is het vervolgens aan de beleidsvrijheid van gemeenten overgelaten om de uitvoering
van Wmo-taken en de bijbehorende verwerking van persoonsgegevens zelf vorm te geven en in het
oorspronkelijke wetsvoorste] zijn geen extra bepalingen opgenomen dietzien op dè verwerking van
persoonsgegevens door gemeenten in verband met de uitbreiding van taken van de gemeenten
Het CBP constateert dat de nieuwe, naar gemeenten over te hevelen de taak op het gebied van
extramurale begeleiding onmiskenbaar als consequentie heeft dat-gemeenten van^een grote(-re)
groep burgers (meer) persoonsgegevens betreffende gezondheid zullen gaan"verwerken
Gelet op het bijzondere, gevoelige karakter van dedesbétreffende persoonsgegevens is het van
belang dat voldoende zeker gesteld wordt dat naleving zal plaatsvinden van het bepaalde in artikel 7
Wbp (verzameling van persoonsgegevens voor welbepaalde,*1 uitdrukkelijk omschreven en
gerechtvaardigde doeleinden) zowel alsin artikel llrWbp (verwerking van persoonsgegevens slechts
voorzover zij, gelet op.de doeleinden waarvoor ZIJ wórden verzameld of vervolgens worden
verwerkt, toereikend, ter zake dienerïd en<niet bovenmatig zijn). Tevens verdient de naleving door
gemeenten van artikel 13 Wbp (déverantwoordelijkheidVoor het treffen van passende
beveiligingsmaatregelen) extra aanclacht bij verwerking van dergelijke bijzondere persoonsgegevens.
Het CBP constateert datihet in'xle context van de Wmo ontbreekt aan objectieve, eenduidige
aanknopingspunten-om te'kunnen bepalenj,we]ke (aard en omvang van) verwerking van
persoonsgegevens op,structürele basis door de gemeente redelijkerwijs noodzakelijk is te achten bij
de uitvoering van de onderhavige taak Er is in de context van de Wmo sprake van een globale
taakomschrijving voor de gemeente; in de zin van een 'compensatieplicht' en ongeclausuleerde
beleidsvrijheid orrftle gepaste.vorm voor die compensatie te kiezen. Ook wordt in de memorie van
toelichting de verwachting uitgesproken dat bij de bepaling van de aard en omvang van de
noodzakelijke begeleiding sprake zal zijn van 'afstemming met andere gemeentelijke domeinen',
waardoor nog een extra dimensie aan de doeleinden voor de verwerking van persoonsgegevens
door gemeenten wordt^toegevoegd
*

* • '

De in artikel 5 Wmo opgenomen opdracht aan gemeenten om in een gemeentelijke verordening
bepalingen inzake de indicatiestelling op te nemen is niet verder gespecificeerd en geclausuleerd. In
de Wmo ontbreken vooralsnog concrete aanknopingspunten ter bepaling van de aspecten waarin
een gemeentelijke verordening in ieder geval zou moeten voorzien.
Het CBP constateert dat bij een dergelijke ongeclausuleerde beleidsruimte voor gemeenten
onvoldoende zeker gesteld kan worden dat naleving plaatsvindt van het bepaalde in artikel 7 , 1 1 en
13 van de Wbp. Ook bestaat er het risico van een (te) grote diversiteit tussen gemeenten, hetgeen
gelet op de in het geding zijnde belangen van burgers niet te rechtvaardigen is. Om dit te voorkomen
dient op centraal niveau, dus - meer dan nu is voorzien - in het kader van de onderhavige wet- en

73/252

D ut hleflra) Associ a tes

regelgeving te (kunnen) worden voorzien in het formuleren van nadere criteria en concrete vereisten
terzake.
Het CBP adviseert een daartoe strekkende bepaling in het onderhavige wetsvoorstel op te nemen.
Nota van wijziging
Het CBP constateert dat voor gegevensverwerking door gemeenten - in verband mét de
zogenoemde 'warme overheveling' - voorafgaand aan de inwerkingtreding van dit wetsvoorstel geen
grondslag in de zin van artikel 8 onder e Wbp aanwezig is en voor wat betreft de verwerking van
persoonsgegevens betreffende gezondheid geen beroep op artikel 21 eerste lid onder f ten eerste
Wbp mogelijk is. Zolang er geen sprake is van een wettelijke taak van de gemeente op het gebied
vande uitvoering van de ambulante begeleiding, is er derhalve in de systematiek varïde^fbp ook
geen grondslag voor deze gegevensverwerking anders dan met toestemming van'betrokk'enenf;be|i.n
de Nota van Wijziging voorgestelde bepaling (artikel IXA) beoogt tevoorzie*n "inleen-tijdelijke wettelijke grondslag voor zowel de verstrekking van voor de 'warme overheveling' benocjigde**
gegevens door indicatieorganen als voor de verwerking van die~persoonsgegevens doortgemeenten.
In de toelichting wordt de noodzaak om een en ander niet afh'ankelijk te'maken van h i t verkrijgen
van toestemming van betrokkenen nader onderbouwd Eén en ander wordt*oqk geplaatst in het
perspectief van de daaraan te stellen eisen die voortvloeien uit het EVRM, RichtïijnW 95/46/EG en
r
de Wbp.
• >
.
„ «~%
Het CBP constateert dat met de gekozen oplossirjgj<an worden voorzienHin cle lacune die bij de
gekozen wijze van transitie ontstaat Het CBP'conslateert ook dafrmet de gegeven toelichting
aannemelijk wordt gemaakt dat bij de 'warme overheveling''een zodanig zwaarwegend algemeen
belang is gemoeid dat dit de voorgestelde bepaling'die ziet op'verwerkïng van persoonsgegevens,
waaronder persoonsgegevens betreffende'gezondheid/kan rechtvaardigen.
Amendement (33127, nr. 38)
^
*.
">
,\
Het CBP constateert dat bij amendement wordt voorgesteld om aan het wetsvoorstel èen bepaling
toe te voegen die voorziet in de structurele verstrekking van informatie aan gemeenten in verband
met het de goede vervulling en vdrmgeVing.yanJiun taak op het terrein van de ambulante
begeleiding Op voorhand is -donder, nadere toelichting - n i e t goed te bepalen, maar ook niet uitte
sluiten dat met dergelijke - structurele -"«verstrekking van informatie aan gemeenten een aanzienlijk
belang gemoeic! zal zijn Ook is op'voojhand niet goed te bepalen in hoeverre en voor welke
taakonderdelen (blleid, bertèer, inkoop of indicatiestelling) sprake zal zijn van een noodzaak tot
verwerking va"n persoonsgegevens dan wel kan worden volstaan met verstrekking van niet
herleidbare gegevens l h In'yerband met het ontbreken van concretiseringen in de toelichting adviseert het CBP om de
inwerkingtreding van een dergelijke bepaling te binden aan de aanwezigheid van de hierboven reeds
. aanbevolen algemene, nadere regeling van belangrijke aspecten van de verwerking van,
pejsoönsgegevens'door gemeenten in verband met deze nieuwe taak. Bij de totstandbrenging van
die nadere/egelmg kan dan alsnog de toetsing en motivering plaatsvinden van de noodzaak om in
dit verbarfd*persoonsgegevens te verwerken, gezien de vereisten die voortvloeien uit het EVRM,
Richtlijn en Wbp.
Het CBP adviseert u de behandeling van het voorliggende wetsvoorstel in de Tweede Kamer niet af
te ronden, dan nadat daarin met vorenstaande rekening is gehouden.

74/252

D u t h l é r ® Associates

Conclusie

De advisering van het CBP over het ingetrokken wetsvoorstel geeft de lijn aan die in versterkte mate
terugkomt in het advies van 29 juni 2013. Dat is logisch gezien de veel grotere impact van de Wmo 2015
en het feit dat de door het CBP aangekaarte problematiek (risico bovenmatigheid en te weinig aandacht
voor beveiliging) voor gemeenten nog moeilijker te hanteren zal zijn door de opdracht voor integratie te
zorgen in het sociale domein. Uit de in 3.5.2 genoemde onderzoeken blijkt dat er vormen moeten
worden gezocht met meer centrale regie, meer standaardisering, meer samenwerking op het terrein
van IT enz. Zie ook 4.1 voor een in de memorie van toelichting te volgen lijn

3.5.4

CBP advies over wijziging Wet op de jeugdzorg51

'

"-

'- ,

v-

1. Doelomschrijving
Ingevolge artikel 7 Wbp worden persoonsgegevens voor welbepaalde;' uitdrukkelijk omschreven
en gerechtvaardigde doelen verzameld In de memorie van toelichting op.de,*Wbp is dit aldus
verwoord. "Welbepaald, houdt in dat deze doelomschrijving duidelijk moet zijn, niet zo vaag of
ruim bijvoorbeeld dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan
worden of de gegevens wel nodig zijn voor dat doel" (TK 1997-1998, 25 892, nr. 3, p. 79).
In het onderhavige wetsvoorstel is de doelomschrijving vervat iirartikel 2f lid 1 welke luidt:
Er is een verwijsindex van jeugdige'n', zijnde een elektronjsch systeem, waarin meldingsbevoegden
een jeugdige kunnen melden en dat hen bij een'melding'over dezelfde jeugdige door middel van een
signaal met elkaar in contact brengt, met als doel de h"ulp, zorg of bijsturing die zij de jeugdige
verlenen op elkaar af te stemmen -Ai
'",
Noch in de memorie van toelichting, noch in het,concept wetsvoorstel wordt nader afgebakend
voor welke specifieke problememde hulp of zorg aan de jongere wordt verleend. Daarnaast wordt
het begrip 'bijsturing«(zijnde geen zorg- of hulpverlening) geïntroduceerd, zonder dat duidelijk is
aangegeven wat onder 'bijsturing' moet worden verstaan Uit de genoemde voorbeelden bij het
meldingskader en,de domeinen waaruit de mogelijke meldingsbevoegden afkomstig kunnen zijn,
volgt dat hetom problemen in de ruimste zin van het woord gaat.
De in de onderhavige'wet gehanteerde doelomschrijving is derhalve zodanig ruim dat het een
hulpverlener, zorgverlener cq een persoon die 'bijstuurt' geen kader geeft waaraan hij kan toetsen of
het noodzakelijk en'düs gerechtvaardigd is de gegevens van een jeugdige te verstrekken aan de
verwijsindex
Conclusie ,

*'LJ

De stellingname van het CBP in dit geval is van groot belang voor de Wmo 2015 omdat het bij de VIR ook
gaat om integratie maar dan in een veel eenvoudiger vorm dan bij de Wmo 2015. Bovendien is in dit

51

Brief CBP aan de minister voor Jeugd en Gezien, 9 juni 2008, Voorstel tot wijziging van de Wet op de
Jeugdzorg met betrekking tot de verwijsindex risicojongeren

75/252

Düthléflra Associates

geval van begin af aan al gekozen voor een melding dat er sprake is van hulp, zorg of bijsturing: een "dat
gegeven" in plaats van een "wat gegeven". Bij twee of meer meldingen wordt,de uitwisseling van
gegevens voorzichtig opgeschaald. Aan deze stellingname is het CBP bij de Wmo 2015 nóg niet
toegekomen, omdat de concretisering van de gegevensuitwisseling is verschoven naar een AMvB.
Verwacht moet worden dat zonder beleidswijziging in de Wmo 2015 bij de AMvB er een onverkort
negatief advies van de het CBP zal volgen vanwege hetgëbrek aan concretisering Dat lijkfcalleen te
kunnen worden opgelost met een samenstel van aanpassingen waarvoor in onze-overkoepelende visie
aanzetten zijn gegeven.

•
't

%

}.„.
i

•**)

i

>

J

3.5.5

&

CBP-advies over Meldcqde Huiselijk geweld

<*

-

_
i&

"\

v

**v

->
'v
\
Bij brief van 22 februari 2011 heeft u het College bescherming'persoonsgegevens (GBP)'gevraagd om
overeenkomstig artikel 51 lid 2 van de Wet bescherming persoonsgegevens (Wbp^advies uit te
brengen over het concept-wetsvoorstel Verplichte meldcode'huiselijk geweld enkindermishandeling
(hierna: het wetsvoorstel). Het CBP voldoet hiermee aan dit-,verzoek " *- t
f?..

Inhoud van het wetsvoorstel
',<j , %
*,, <
Doel van de in het wetsvoorstel opgenomen bepalingen is te,bevorderen dat sneller en adequater
hulp kan Worden geboden bij huiselijk geweld en kindermishandeling
Het wetsvoorstel voorziet daartoetin dèiinvoenng van een verplichting - op te nemen in diverse
sectorale wetten - v o o r organisaties o m te beschikken o'ver een eigen meidcode huiselijk geweld en
kindermishandeling en om de kennis en het gèbruik'ervan te borgen binnen die organisaties. Het
wetsvoorstel voorziet ook in een verplichting voor - bij AMvB aan te wijzen - gemeentes om zorg te
dragen voor de organisatie van een steunpunt huiselijk geweld (SHG). Voorzien w o r d t in een
wettelijke taakomschrijving voor die SHG'sernih een wettelijke basis voor de verwerking van - i n d i e n
nodig ook bijzondere..- persoonsgegevens in verband met het functioneren van een SHG. Ook
voorziet dit^vetsvoorsteltin een meldrecht voor beroepskrachten van gevallen of vermoedens van
huiselijk geweld/analoog aan de regeling in artikel 53 W e t op de jeugdzorg van een meldrecht bij
r
kindermishandeling.
Samenvatting van'het advies
Het CBP onderschrijft m algemene zin de keuzes zoals gemaakt in het wetsvoorstel t e n aanzien van
•^
de inzet van-instrumenten, met bijbehorendeverwerking van persoonsgegevens; o m sneller en
^adequater hulp te kunnen bieden bij huiselijk geweld en kindermishandeling: Vanuit juridischtechmsch perspectief zijn er echter bezwaren ten aanzien van de systematiek in en de redactie van
de wetsbepalingen die zien op de verwerking van persoonsgegevens en pp de rechten.van
betrokkenen. Daarnaast ontbreekt in de Memorie van Toelichting een adequate onderbouwing van
hoe in dit wetsvoorstel opgenomen bepalingen zich verhouden t o t de vereisten die voortvloeien uit

52

Brief CBP aan de staatssecretaris van VWS, 4 mei 2 0 1 1 , Advies concept-wetsvoorstel Verplichte
meidcode huiselijk geweld en kindermishandeling

76/252

DuthLer ra) Associates

artikel 8 EVRM en Richtlijn 95/46/EG. Het CBP constateert ook dat in de MvT - ten onrechte - geen
aandacht wordt geschonken aan de vraag hoe een meldrecht en/of een meldplicht zich verhouden
tot artikel 8 EVRM.
(...)
In de MvT wordt aangegeven dat het de bedoeling is om 'af te wijken van de hoofdregel' dat
verwerking van bijzondere persoonsgegevens verboden is, opdat het slachtoffer niet verstoken blijft
van de benodigde hulp (p. 18). In de MvT wordt in dat verband aangegeven dat de in de Wbp
opgenomen uitzonderingsgronden op het verbod (van artikel 16 Wbp) zich 'qua aard en achtergrond
...niet goed lijken te vertalen naar het doel van het wetsvoorstel' en dat daarom dit wetsvoorstel
gebruik maakt van de 'restbepaling' in artikel 23 eerste lid onder e Wbp BIJ de kwalificatie van dit
artikel als 'restbepaling' en bij de taxatie van de mogelijkheden die de reguliere bepalingen, van de
Wbp bieden voor de benodigde gegevensverwerking zijn op zich de nodigevraagtekens te plaatsen.
Maar belangrijker is om op te merken dat bij een keuze voor een m'een specifieke wet neer te
leggen grondslag voor de verwerking van persoonsgegevens,_waaronde'r bijzondere'
'
persoonsgegevens, er in de MvT een onderbouwing moet wórden gegeveïvdat aan d'e'Wbpvereisten van een zwaarwegend algemeen belang en passende waarborgen is"voldaan De huidige
MvT schiet in dat opzicht ernstig tekort. Zo wordt inde MvT niet aangegeven welke specifieke
risico's de verwerking van (bijzondere) persoonsgegevens op de in het wetsvoorstel voorziene wijze
oplevert voor de bescherming van de persoonlijke levenssfeer erf welke voorzieningen worden
v
getroffen om deze risico's zoveel mogelijk te'bepérkeri.
Het CBP adviseert de MvT op deze punten aan te vullen „
Conclusie
,,, ,t
Naar het ons voorkomt is in de definitieve*memorie van toelichting adequaat tegemoetgekomen aan de
i\

•"

h i e r v o o r w e e r g e g e v e n o p m e r k i n g e n v a n h e t CBP.

3.5.6

"

"^

'-',' ,

CBP-advies over.cohceptwetsvoorstel uitvoering AWBZ53

Voor de onderhavige advisering dodahet CBP is met name van belang dat in de memorie van
toelichting (p.f22) wordt aangegeven dat voor het realiseren van een goede afstemming tussen Zvwen AWBZ-zorg noodzakejijk is dat de zorgverzekeraar over de medische gegevens van beide
verzekeringen kanhbeschik5l<en. Doel is om de uitvoering van de AWBZ en Zvw zodanig in te richten
dat deze als een samenhangend geheel functioneert (memorie van toelichting, p. 21).
( • • ) %

>

J

r

^ H e t CBP constate r ert r dat er sprake zal zijn van een nieuwe taak waarvoor zorgverzekeraars
persoonsgegevens gaan verwerken, namelijk afstemming van zorg uit de AWBZ met zorg uit de Zvw.
Die niéuwe taak is niet begrepen te achten onder de in artikel 87 Zvw en 53 AWBZ (en overigens ook
in artikel 88'Zvw en 54 AWBZ) aangegeven doeleinden voor verwerking van persoonsgegevens. Het
CBP merkt op dat gelet op het type persoonsgegevens waarop die artikelen zien (namelijk bijzondere

53

Brief van CBP aan de staatssecretaris van VWS, 24 oktober 2011, Advies Conceptwetsvoorstel
uitvoering AWBZ

77/252

DuthlerflIffisöBiëtés

persoonsgegevens veelal verkregen van hulpverleners op wie een beroepsgeheim rust)
inzichtelijkheid van en transparantie bij verwerking van persoonsgegevens bij de uitvoeringvan
ziektekostenverzekeringen van bijzonder groot belang is. Door het in artikel 87 Zvw en 53 AWBZ
expliciet benoemen van 'afstemming van zorg uit de AWBZ met zorg uit de Zvw' als een van.de
doeleinden waarvoor de zorgverzekeraar en de uitvoerder AWBZ persoonsgegevens verder mogen
verwerken, kan daarin worden voorzien. Conform de systematiek van artikel 87 Zvw en-53 AWBZ zal
daarbij dan ook een nadere afbakening moeten plaatsvinden van de aard en omvang van de voor
afstemming van AWBZ- en Zvw-zorg noodzakelijke verdere verwerking van persoonsgegevens.
Het CBP adviseert om de transparantie van de beoogde verwerking van persoonsgegevens te
verhogen door 'afstemming van zorg uit de AWBZ met zorg uit.de Zvw' explioet op te nemen als een
van de doeleinden waarvoor zorgverzekeraars en uitvoerders AWBZ persoonsgegevens'verder
mogen verwerken.
t
w
* *'
^
Conclusie

,

A

"\
*Y

*te

Het onderhavige advies is een voorbeeld waaruit kan worden afgeleid hoeverede concretisering van
- \
'*>
verwerking en uitwisseling van persoonsgegevens hoort te gaan In dit advies wor,dt ook aandacht
gegeven aan de noodzaak om in bepaalde gevallen "Chinese walls" te regelen (bijv om verkeerde
"•fi-'i

>

.

i

selectiemechanismen bij aanvullende verzekeringen te voorkomen Naar onze mening kunnen 'Chinese
i

»;

"^

' + ~"%.

walls' in persoonsdossiers ook breder worden ingezet om bescherming van persoonsgegevens te
-'s,
c "*
'*
realiseren. Het voorkomen van onbevoegde inkijk vraagt ovengens'al vlug om een professionele Trusted
"''*.
\
Third Party.
. s t.
i
%-

3.5.7

CBP-advjes over de Jeugdwet54/j
/ »

r

-

s

r

''f

*>

"**

CBP constateert daarbij dat het wetsvoorstel leidt tot de volgende risico's voor de
gegevensverwerking
•
bovenmatig uitwisselen van persoonsgegevens, door het koppelen van informatiebestanden;
•
gëbruilTvan gegevens voor een ander doel dan waarvoor zij zijn verkregen, door het
samenkomen van informatie bij gemeenten in combinatie met de ontschotting van domeinen;
•
beveiligingsproblemen, door de grote hoeveelheden persoonsgegevens over verschillende
onderwerpen
* f Het CBI? constateert dat nog niet gebleken is dat gemeenten en andere betrokken partijen al
maatregelen nemen om deze risico's te ondervangen en adviseert daarom gemeenten wettelijk te
verplichten een privacy impact analyse (PIA) uit te voeren. Daarbij zouden ook de andere partijen die
gegevens zullen gaan verwerken in het kader van de Jeugdwet, betrokken moeten worden. Het CBP
adviseert bovendien om gemeenten wettelijk te verplichten om regelmatige audits uit te voeren,

Advies CBP, 5 maart 2013, niet afzonderlijk gepubliceerd, maar weergegeven in de memorie van
toelichting bij de Jeugdwet (TK 2012-2013, 33684, nr. 3, gepubliceerd 4 juli 2013), p.108 e.v.

78/252

•Düthler W Associates

waarmee wordt gecontroleerd of aan debepalingen van de Wbp en aanverwante wetgeving wordt
voldaan.
Conclusie

De risico's die het CBP signaleert bij de Jeugdwet, doen zich ook voor bij het wetsvoorstel Wmo 2015.
Ook hier koppelen verschillende partijen hun informatiebestanden. Als gevolg van de Wmo 2015 komt
er meer informatie samen bij gemeenten. Hierdoor ontstaat het risico dat gegevens voor andere
doeleinden gebruikt worden dan waarvoor ze oorspronkelijk verkregen zijn De beveiliging is bij de Wmo
2015 een probleem van vergelijkbare orde als bij de Jeugdwet Het CBP heeft zich èferder kritisch geuit
over de beveiliging van persoonsgegevens bij gemeenten55 (zie 3 5 2) BIJ de Wmo 2015 zijn daarnaast
f!

nog vele andere partijen betrokken waarvan het beveiligingsniveau niet op voorhand bekendjs
N.B. In het wetsvoorstel Wmo 2015 moeten bij voorbaat de verwachte opmerkingen van het CBP zoveel
mogelijk geadresseerd worden. Bij het uitvoeren van de^lA's, de toepassing van de Leidraad en het
juridisch kader zijn de opmerkingen van het CBP steeds betrokken in de beoordeling

3.5.8

CBP-advies over de ,14 juni-versie van het wetsvoorstel Wmo 201556

Het CBP merkt in de 'Opmerking vooraf op dat Ket ho'ofdstuk in de memorie van toelichting over de
bescherming van gegevens op hèt'moment van advisering nog in bewerking is en dat CBP daarom geen
volledig beeld heeft van de afwegingen in het kaderVan de gegevensbescherming. De adviesaanvraag

/•

-

^i

*' ,

aan het CBP dateertvan 14 juni 2013>Smdsdien is de memorie van toelichting op dit punt aangevuld,
* »!'' •
zodat sommige onderdelen van het advies niet meer van toepassing zijn. Onze algemene suggesties in
(•v

V " ,

de overkoepelende visie zijn gebaseerd op de versie van de memorie van toelicht van eind juni en
blijven naar onze mening van belang om te komen tot een memorie van toelichting waarin het CBP
->
f"
(alsmede de Raad van State.en de Staten-Generaal) zich voldoende zal herkennen.
T.,%

Hierna wordt ingegaan op de afzonderlijke onderdelen van de beoordeling van het CBP.

55

CBP: gemeenten verwerken medische gegevens in strijd met de wet, 2 1 april 2011, www.cbpweb.nl
Onderzoek naar de uitvoering van de W m o bij vier gemeenten
56 Brief van CBP aan staatssecretaris van VWS, 29 juli 2013, Advies concept wetsvoorstel
maatschappelijke ondersteuning 2015

79/252

.Duthler® Associates

Het sociale domein
Onder het kopje 'decentralisatie van taken in het sociale domein', adviseert het CBP:
(1) In de MvT te toetsen of de verwerking van persoonsgegevens in het kader van de voorgenomen
integrale aanpak van taken in het sociale domein zoals geregeld in verschillende
(coricept)wetsvoorstellen, gelet op de eisen van artikel 8 EVRM en de Wbp, kan worden
gerechtvaardigd.
(2) Een uiteenzetting in de MvT op te nemen van de waarborgen die worden getroffehfter
ondervanging van de risico's inzake het bovenmatig delen van gegevens, het gebruiken'van deze
gegevens voor een niet verenigbaar doel en de beveiliging van gegevens
' ^ ,
(3) Een privacy impact assessment uit te voeren waarmee in kaart wordt gebracht wélke«gegevens,
voor welk doel, zullen worden verwerkt en welke waarborgen moeten worden getroffen om deze ~<
verwerkingen in overeenstemming te brengen met de eisen van de Wbp
V,
**
^ji
i

Wij adviseren:

„,'?•

%•£

'.

?*

*"*"

<-,.-"

'ï*

s ,

Ad 1 in de memorie van toelichting explicieter uiteen te zetter^waar.om een integrale aanpak kan en
moet kunnen samengaan met een adequaat niveau van .gegevensbescherming dat voldoet aan artikel 8
EVRM en de Wbp. Zie ook 4.1.

-^-r

•

' „\

Ad2 in de memorie van toelichting het resultaat op te nemen van een nieuwe afweging inzake de
centrale regie richting gemeenten en de centrale ondersteuning van gemeenten, zodat meer zekerheid
'

™*

- , ' ,

kan worden verschaft inzake de waarborgen waar het CBP om vraagt,
t-

*

t%

Ad 3 in de memorie van toelichting in een afzonderlijke paragraaf in te gaan op de PIA's die in het kader
van deze rapportage zijn opgesteld en op de vervolgactietHie nodig zijn om met behulp van PIA's het
vertrouwen te krijgen dat de Wmo 2015"eënj:ompl(ance toets wat betreft de Wbp za! kunnen
doorstaan.

_

**

*"*

Onderzoek maatwërkyoorziening
'*
V
ï>
*"-.
Over het onderwerp 'onderzoek maatwerkvoorziening' adviseert het CBP onder 'invulling onderzoek':
in het wetvoorstel op te'nemen welke gegevens gemeenten in het kader van het onderzoek van
' v-artikêl 2 3 2 mogen*verwerken en daarbij te voorzien in passende waarborgen.
Wij adviseren"
o

Om voorbeeldcasussen op nemen in de memorie van toelichting waaruit blijkt welke verwachtingen
er bestaan over het Wmo-dossier nieuwe stjjl en welke persoonsgegevens gemeenten daarbij in het
kader van het onderzoek mogen verwerken (vgl. de onrechtmatige verwerkingen in de onderzoeken
van het CBP bij vier gemeenten, zie 3.5.2);

80/252

Duthler ®'Associates

o

Om aan te geven in de memorie van toelichting tot welk resultaat de nieuwe afweging inzake
centrale regie/ondersteuning leidt op het punt van de gevraagde waarborgen.

Mogelijkheden die kunnen worden benut zonder de vrijheid van gemeenten te zeer te beperken zijn
centrale ondersteuning bij de invulling van modelverordening Wmo nieuwe stijl, centrale ondersteuning
bij standaardisering/gebruik van innovatieve software en de aanpak van organisatievraagstukken, enz.

Het sociale netwerk
Onder'personen uit het sociale netwerk'adviseert het CBP:
*vin de MvT in te gaan op de vraag of en zo ja welke (bijzondere) persoonsgegevens van personen uit
het sociale netwerk van aanvragers van maatwerkvoorziemngen ih riet-kader van het onderzoek van
artikel 2.3.2, tweede lid, onder b, worden verwerkt. In het gevajer persoonsgegeverïs-over personen
uit het sociale netwerk van de aanvrager worden verwerkfadviseert het CBP-dit in de tekst van het
wetsvoorstel op te nemen.
'' •
Daarnaast adviseert het CBP in dat geval in het hoofdstuk over gegevensverwerking m de MvT een
separate paragraaf op te nemen over de verwerking van gegevens van personen uit het netwerk van
de aanvrager.
/•
'*,*'_,
Wij adviseren ook hier om voorbeeldcasussen op nemen jn de memorie van toelichting waaruit blijkt
welke verwachtingen er bestaan over het Wmo-dossier nieuwe stijl en welke persoonsgegevens van
personen uit het sociale netwerk gemeenten daarbij in het kader van het onderzoek mogen verwerken.
t-

*.

'

De separate paragraaf over de»véVwerking van gegevens van personen uit het netwerk van de aanvrager
's
"'"l
en de suggestie van het^CBP om de wettekst op dit'punt aan te passen steunen wij, omdat dit een vrij
$
' '!'
vergaande dossiervorming in het ka'der van de Wmo 2015 betreft, die een aanzienlijke inbreuk op de
persoonlijke levenssfeer met'zich meebrengt WIJ adviseren om het informeren van de betrokkene te
•> „

*•%

combineren met de vraag om toestemming voor de verwerking, zodat de betrokkene 'informed
consent^ kan gevenJ

••H

,>

*-~

*

Samenwerking met zorgverzekeraars en zorgaanbieders
; ZJ
Over "samenwerking met zorgverzekeraars en zorgaanbieders" adviseert het CBP:
in de MvT op te nemen welke persoonsgegevens genoemde actoren met elkaar kunnen delen, wat
eventuele risico's van deze gegevensverwerking zijn en welke maatregelen worden getroffen om
deze risico's te ondervangen
Wij adviseren ook hier om voorbeeldcasussen op nemen in de memorie van toelichting waaruit blijkt
welke verwachtingen er bestaan met betrekking tot de uitwisseling van gegevens nieuwe stijl. Ook zijn

81/252

Duthlër É l l Associates

PIA's noodzakelijk om de risico's van het delen van persoonsgegevens in te schatten en om de
opportuniteit van 'Chinese walls' te onderzoeken.

Wet in plaats van AMvB

f*

Nadere regels over de verwerking van persoonsgegevens zullen worden opgenomen in een AMvB Het
«
t"
wetsvoorstel bevat daartoe een 'kapstokbepaling'. Zonder deze AMvB heeft het CBP geen-zicht op welke
gegevens concreet zullen worden verwerkt. Een samenhangend advies over de Wmo*2015 zal het CBP
pas geven als het integraal wettelijk kader voor de gegevensbescherming is uitgewerkt^ \
i

~„\
;

'
„*

* -;
\

,
•'»

_v*ï
^J-

Het CBP adviseert de waarborgen voor de bescherming van persoonsgegevens op te nemen in de
wettekst in plaats van in een regeling bij AMvB.

*,

-

\ **"'"

Vt
^
Wij adviseren het CBP op verschillende manieren tegemoet te komen-door de onzekerheden die er nu
zijn waar mogelijk weg te nemen. WIJ doen in dezejrapportage daarvoor verschillende suggesties zonder
*
&
f
daarbij uitputtend te kunnen zijn. Het volgeri'vjan deze suggesties'levert een veel completer beeld op
dan in de einde-juni-versie van het wefsVoorstehWmo 2O15"het geval is en zal naar onze mening het
verdere verloop van het wetgevendê'traject ten goedè^komëh

Minimum gegevenssêt

_

„

,,.

Het CBP merkt opiiat de zinsnede 'm elk geval' in artikel 4.1.3 [inmiddels vernummerd tot 4.2.9]
suggereert-dat'de AMvB in een minimum gegevenssêt zal voorzien. Het CBP adviseert:
•/
\ / J *,
''
geletpp het doel van het stellen van regels op centraal niveau, namelijk het regelen van eenduidige
waarb1 orgen_voor dê,bescherming van persoonsgegevens van burgers, "in elk geval" in artikel 4.1.3,
eerste lidj'té laten vervallen

'

- ' t . '
WIJ lezen "in elk geval" als een mogelijkheid om duidelijkheid in de ambities aan. te geven zonder tekort
,4

te doen aan de mogelijkheid om waar nodig andere regels op centraal niveau te stellen. Het komt ons
voor dat dit ook in lijn is met hetgeen het CBP voorstaat.

82/252

Duthler W Associates

Aanwijzing andere instanties
Het tweede lid van artikel 4.1.3 [inmiddels vernummerd tot 4.2.9 lid 3] regelt de mogelijkheid om bij
AMvB andere instanties aan te wijzen aan wie of door wie (bijzondere) persoonsgegevens moeten
worden verstrekt. Het CBP adviseert om verschillende redenen artikel 4.1.3, tweede lid, te laten
vervallen. Wij onderschrijven de redenen om artikel 4.1.3, tweede lid [inmiddels vernummerd tot 4.2.9
lid 3], te laten vervallen en adviseren om verstrekking door of aan andere instanties in he*frwetsvoorstel
te regelen. Voor wat betreft het CIZ kan de systematiek van de AWBZ als voorbeeld dienehr Zie
paragraaf 3.4.5.

^.,

\,

*

Doorbreking beroepsgeheim
I

" " E

'

•4

?

^

Het CBP adviseert om de noodzaak van artikel 4 1 2 8e lid [inmiddels vernummerd tot 4.2 8] in de
memorie van toelichting nader toe te lichten. Het CBP adviseert voorts '
*\<
in de MvT in te gaan op de noodzaak, proportionaliteit en subsidiariteit van de in artikel 4.1.2,
achtste lid opgenomen verplichting. Indien eenwettelijke verplichting tot doorbreking van het
beroepsgeheim blijkt te kunnen worden^gerechtvaardigd, adviseert het CBP de doorbreking van het
beroepsgeheim expliciet en gespecificeerdtop te nemen in de wettekst
Wij menen dat er alle aanleiding is dit advies van het CBP te volgen.

Steunpunt Huiselijk Geweld

"V >'

Ten aanzien van de passages in het wetsvoorstel over het Steunpunt Huiselijk Geweld (SHG) adviseert
het CBP verschillende^adere toelichtingen op te nemen.
, -

*>

*• A

Ons^advies is om in de Wmo 2015 met betrekking het SHG (steunpunt huiselijk geweld) in de wettekst
^ •
''
^ •en de memorie van toelichting in het spoor te blijven van de wetsgeschiedenis van het wetsvoorstel
*':
^
33062 en'de recente AMvB van 30 juli 2013 en daar waar nodig aan deze wetsgeschiedenis te refereren.

Doorbreking beroepsgeheim
Het CBP adviseert met betrekking tot de doorbreking van het beroepsgeheim in artikel 3.4 de tekst van
het wetsvoorstel in overeenstemming te brengen met de MvT.

83/252

y
^!te^

p

^

„N?

.V'

„»)

„<?

#*

/ ^fiaüfe
-'AaSteSSss

^>

f?

«SB

*•

yvw

=•<>•

><?
, - ; #

ASSf

•

^

/

/V

#

^

Ov

,6N

•o*

\^

v

-* ^'
/ /V *
& *r.4#>
AQ'

4

^

^

0~

y

*

»»« i » l

.»
.«»

^v

^

xe,

^
<27

if

•u'1

\:..,

.4>

r

^ i

.'"

V-

^7

,

'

*

,DuthlerB:Associatés

Overkoepelende visie
4.1 Algemeen
De regelgeving met betrekking tot gegevensuitwisseling en gegevensbescherming heeft in hoofdzaak
betrekking op gegevensuitwisselingen tussen twee partijen De gegevensuitwisseling voorde Wmo 2015
geeft echter een nieuwe dimensie aan de vraagstukken die langs de lijnen van in het bijzonder de Wbp
-4

"\i

moeten worden opgelost. Die nieuwe dimensie vloeit voort uit de opdracht aan de gemeenten om de
"* -H

h

maatschappelijke ondersteuning pp een integrale wijze aan te pakken Kenmerk van integrahteit is dat
niet alleen de omgang van de problematiek toeneemt maar ook de ingewikkeldheid van de
problematiek. Dat laatste houdt vooral verband met de interacties diê'onder ogen^moeten worden
gezien. Het probleem van de ingewikkeldheid van het doorzien van interacties is een bekend probleem
i.

s

*

'•&•

bij beleidsvraagstukken. In termen van de effecten van beleidsmaatregelen kan de hiervoor bedoelde
- ,

>'>

''

< . \-

extra dimensie bijvoorbeeld als volg worden geformuleerd niet alleen'de primaire effecten zijn van
f\.
—
^ A
belang bij een integrale benadering, ook de secundaire en tertiaire effecten moeten worden
*

-v

*

*•

meegenomen om tot verantwoorde afwegingen te'komen
i'
De uitdaging om bij de maatschappelijke ondersteuning de weg in te slaan van een integrale aanpak
vraagt om meer dan alleen regelgeving Duidelijk is dat goede regelgeving die in overeenstemming is
met de regelgeving van de^Wbp en andere wettelijke kaders, het startpunt en het kader vormt. De extra
dimensie van de integrale aanpak vergt*echter ook raamwerken en 'policies' om de hiervoor
aangegeven intéractiës^te.begeleiden, transparant en hanteerbaar te maken en om de brug te slaan
^ "

,

*••"

^

-iï

*

•

naar uitvoerbaarheid-met voldoende aandacht voor governance, regelkringen, standaardisering,
'/
«
"V
risicoanalyse,'controle en toezicht
1 r

"W*
't*

l

-t

<r

#

Onze visie is dat het voorgaande een plaats en uitwerking moet krijgen in de memorie van toelichting

4.2 Samenhang in de hervorming
Voor het overzicht van de wetgevende acties om de beoogde hervorming van de langdurige zorg te
realiseren menen wij dat in het wetsvoorstel dat "leading" is (de Wmo 2015) moet worden uiteengezet
welke afzonderlijke wetsvoorstellen naast de Wmo 2015 zijn voorzien en welke andere mogelijke

85/252

Duthtëflliü^ëiatês

wetsvoorstellen kunnen worden verwacht om overige wettelijke aanpassingen en inyoeringskwesties te
regelen. Ook het vraagstuk van de beoogde delegatie via een AMVB kan daarbij worden behandeld en
worden verantwoord. Zonder dit overzicht kan moeilijk worden tegemoetgekomen aan de terechte
vraag van het CBP om vraagstukken met betrekking tot gegevensuitwisseling en gegevensbescherming
in de volle breedte van de beoogde hervorming te bezien. Een dergelijke uiteenzetting is naar onze

A
mening ook nodig vanuit andere dan beleidsmatige en juridische invalshoeken die bij deze transitie aan
de orde zijn.

j

* v *1/'&
<',t.

,
^

„ ,e

In onze visie moet in de memorie van toelichting nu al een zo duidelijk mogelijk zicht worden gegeven op
de voorziene wetgevende en andere regelgevende processen Onder meer wat betreft»
gegevensuitwisseling en gegevensbescherming is dit één van de'vqorwaarden om adequaat te kunnen
adviseren over de verschillende wetgevingsproducten.

,.

*,,*„"

4.3 Uitgangspositie Wmo bij gemeenten ». " ,
Gezien de veel zwaardere rol van de gemeente bij de uitvoeringvan de langdurige zorg zoals voorzien in
de Wmo 2015 is het wenselijk dat de ervaringenen de beheersing van de risico's bij de huidige
gegevensuitwisseling en gegevensbescherming opgrond vanjde Wmo voldoende in kaart zijn of worden
",

~*\

'-'MW.*

gebracht In de memorie van toelichting kunnen daaraan passages worden gewijd die mede kunnen
'

.

"

*

*

•

<

*

dienen óm tegemoet te komen aan de onzekerheid bij adviesorganen zoals het CBP. Vanuit de te
*

„

-#»•'

schetsen uitgangspositie kunnen de risico's in de nieuwe situatie worden gewogen en kan worden
*

i

» ,

beslist over de vormgeving van eventuele extra waarborgen

J

* >

Onze visie met betrekking tot de uitgangspositie Wmo bij gemeenten is dat er niet te licht moet worden
gedacht
q over een verondersteld ontbreken van risico's op het punt van privacybescherming bij de huidige

"" "J

uitvoering van de Wmo In ieder geval is extra aandacht in de memorie van toelichting hierop zijn plaats,
omdot.de brede opzet van het Wmo dossier tot nieuwe risico's zal leiden en dus tot nieuwe afwegingen
inzake beheersingsmaatregelen of andersoortige waarborgen.

4.4 Voorbereidingen op de implementatie
Oe memorie van toelichting gaat zeer summier in op de transitie. De voorbereidingen op de
implementatie zijn echter al geruime tijd aan de gang en zullen blijven voortduren. Het komt oris voor

86/252

Duthler ©Associates-

dat aan deze voorbereidingen meer aandacht kan worden geschonken in de memorie van toelichting.
Dat komt de komende gedachtewisselingen over de Wmo 2015 zeer ten goede.

In onze visie is het verstandig meer samenvattend inzicht te geven in de voorbereidingen op de
implementatie dan nu in de memorie van toelichting wordt gegeven.

4.5 Betrokkenheid van cliënten

"

Vanwege de aard van de onderwerpen waarin de Wmo 2015 voorziet is het onvermijdelijk dat

' ' •- -

bijzondere persoonsgegevens verwerkt worden. Het voorlopige advies van het CBP over het con'cept van
• ' T

?

»,

de Wmo 2015 is daarom een belangrijk uitgangspunt voor de memorie van\toelichting^Het wetsvoorstel
Wmo 2015 beschouwt ondubbelzinnige toestemming (art 8 lid a Wbp) door de"betrokkerïë niet als een

°' * * ' - ' i '

* '**''

bruikbare gerechtvaardigdesgrondslag voor de verwerkingen Hetwetsvoorstel voorziet daarom in
wettelijke gronden voor de verschillende verwerkingen. D&gegevensverwerking1«ordt vervolgens
toegestaan op grond van de verwerkingsgrondslag van artikel 8 lid e Wbp (goede vervulling van een
publiekrechtelijke taak) Het verwerken van.persoorisgegeveris zonder toestemming van de betrokkene
is op het eerste gezicht begrijpelijk uit pragmatische overwegingen
+l

k

«'

t

C
* <
Uit het oogpunt van datakwahteij en transparantie is hef e'chter toch aan"te bevelen om de

*f ' V

>

"^

toestemming van de dient te x vragen voor de^verwerkmg van diens persoonsgegevens daar waar dat
?
. '
.
' ^ * *

mogelijk is BIJ het vragen om toestemming toetst de verantwoordelijke de geregistreerde gegevens in
feite op juistheid en actualiteit bij de betrokkene Zo verkrijgt de verantwoordelijke meer zekerheid over
<•""

"

>

de betrouwbaarheid van de registratie en beperkt hij zijn risico. De nationale en internationale

C-

<0 ,

ontwikkelingen op'.het terrein van privacybescherming zijn een extra argument om de cliënt te
betrekken bij de verwerking en bescherming van bijzondere persoonsgegevens. Ook nu al geeft de Wbp
betrokkenenbèlangrijke rechten ten aanzien van hun persoonsgegevens. Zoals het recht op informatie
over^de verwerkte"gegevens en op correctie van onjuiste gegevens. Betrokkenen kunnen in vele
gevallen verantwoordelijken verzoeken om hun persoonsgegevens niet meer te verwerken.

De verwerking van persoonsgegevens zonder toestemming van de betrokkene zoals voorzien inde Wmo
2015 wijkt af van de bredere maatschappelijk trend van individualisering en zelfbeschikking.
Tegelijkertijd beoogt het wetsvoorstel om mensen zoveel en zolang mogelijk de regie op het eigen leven
te laten behouden. Dé spanning tussen beide uitgangspunten vraagt om meer aandacht en uitleg in de

87/252

.Düth lërlifasiMatês

memorie van toelichting. Wellicht is het inderdaad noodzakelijk om persoonsgegevens op deze manier
te verwerken. Maar dan moet transparant beargumenteerd worden waaruit die noodzaaktoestaat.Dan
moeten alternatieven betrokken worden in de beoordeling en moeten waarborgen worden ingebouwd
tegen misbruik. Tenslotte moet er, alles overziende, een afweging gemaakt worden tussen het belang
van een goede uitvoering van de Wmo 2015 enerzijds en de bescherming van de persoonlijke
t*
levenssfeer anderzijds.
j&.

\
•<

# .

*A
^ ^ „
Onze visie is die van de Leidraad voor het afstemmen van wetgeving op de Wbp "wanneer blnkt\dat de
gewenste voorziening noodzaakt tot het opstellen van nieuwe wetgeving (...) voorzie danreerst in een
grondige motivering van het zwaarwegend algemeen belang en expliciteer welke passende waarborgen
>-'
V
•>„ * •?
voor de bescherming van de persoonlijke levenssfeer warden geboden"

Het argument van de

beperking van de administratieve lasten voor de burger lijkt op voorhandjOnvoldoênde~/echtvaardiging
voor de ingreep in de persoonlijke levenssfeer die het gevolg is van de uitwisseling van persoonsgegevens
tussen 'Wmo-actoren' zonder de toestemming van de betrokkene"'Er zijn vormen van betrokkenheid van

*$

*

i

cliënten te overwegen waarbij "lichte vormep" van'toestemming kunnen worden gerealiseerd.

4.6 Eén PIA zoals het CBP lijkt aante bevelen?
*«

'u.

* < *

•

In het CBP advies van 29 juli 2013 wordt aanbevolen een privacy impact assessment uit te voeren
waarmee in kaart wordt gebracht welke gegevens, %or welk doel, zullen worden verwerkt en welke
~° t

. -

f

X-?

waarborgen moeteniworden getroffen om dezeVerwerkingen) in overeenstemming te brengen met de
*"*'

"i

*%

" ^ ^>

eisen van de Wbp. Dit advies kan verkeerd worden verstaan als men daaruit de conclusie trekt dat met
één PIA kan w'orden volstaan in het onderhavige kader. Een PIA heeft tot doel expliciete afwegingen te
!•

' *">•

'

'^s,

\ >

maken^met betrekking tot de privacybescherming met het oog op een dynamisch proces van
. ^%
*; >
nchtinggeving enttijdfgë corrigerende acties op het punt van privacybescherming. In die zin kunnen
F>

J '

v-,

->, >

•

•%-f--»

; \

paragraaf 7 3 van de memorie van toelichting en het advies van het CBP als abstracte vormen van een
PIA worden gezien De breedheid van de gegevensuitwisseling die wordt geregeld in de Wmo 2015 en
de daarmee samenhangende voorstellen en terreinen, vergt naar onze mening een systematische
beoordeling van alle afzonderlijke gegevensuitwisselingen die in dit kader aan de orde zijn. Deze
afzonderlijke PIA's met behulp van het Toetsmodel PIA Rijksdienst moeten de basis vormen voor de
57

Leidraad p.13

88/252

•Duthleriii Associates

verschillende soorten regelgeving en andersoortige kaders en de toelichtingen die daarbij behoren. Zij
geven ook de mogelijkheid hieruit een samenvatting te destilleren die het vertrouwen kan geven dat de
nieuwe regelgeving toetsing aan de Wbp kan doorstaan.

Onze visie is dat over de afzonderlijke beoogde gegevensuitwisselingen zo spoedig mogelijk moet worden
gerapporteerd op basis van het Tóetsmodel PIA Rijksdienst rekening houdend met het algemene
uitgangspunt zoals dat hiervoor is verwoord in 4.1. De volgende stap is het formuleren-van een
samenvattende PIA waaruit blijkt dat de nieuwe regeling van de maatschappelijke ondersteuning een
compliancetoets kan doorstaan.

' tjr

't

4.7 Decentrale regelgeving
De opdracht die voor de gemeenten voortvloeit uit de Wmo 2015, vraagt ook om meer decentrale
regelgeving. De huidige Wmo kent op grond van de artikelen 3 e v al een opdracht voor gemeenten die
moet worden neergelegd in verordeningen (zie het voorbeeld van de ,VNG in bijlage 6). De Wmo 2015
zal moeten leiden tot aanpassingen van de huidige decentrale.regelgevirig Daarbij moet worden
opgemerkt dat de huidige verordeningen-.weinig expliciete'aandacht schenken aan gegevensuitwisseling
en gegevensbescherming. De ervaring leert bovendien dat bij gemeenten ook overigens
compliancetekorten kunnen worden geconstateerd als hét gaat om de naleving van de Wbp.
Het verdient aanbeveling^en/oor te zorgen dat in dë,hieuwe Wmo verordeningen voldoende expliciete
aandacht wordt gegeven aan gegevensuitwisseling en gegevensbescherming. Ook de feitelijke naleving
ijS,

«.

I

van de Wbp verdient aandacht Een plan van aanpak in de memorie van toelicht met betrekking tot de
decentrale wetgeving is daarom op zijn plaats. Het voorgaande is daarom ook van belang omdat de
Wmo verordeningen basismateriaal zijn voor de PIA's waar gemeenten bij betrokken zijn. Zonder
*f

"Vrf

<,

bedoelde aanpak in de memorie van toelichting kan niet met voldoende gezag worden beschreven dat
-

**'

?

' >„

- kan worden voldaan aan comphance met betrekking tot de Wbp.

t

*

Onze visie met betrekking tot de decentrale regelgeving brengt mee dat in het kader van de (memorie
van toelichting van de) Wmo 2015 tijdig regie moet worden gevoerd zodat zowel voor de verordeningen
als de PIA's (tijdig) beschrijvingen voorhanden komen die voldoende vertrouwen geven in het kunnen
doorstaan van een Wbp compliance toets.

89/252
.

@

~

:

•

Du t h lef ^tessötiaiés

4.8 Juridisch kader
Onze overkoepelende visie is mede bepaald aan de hand van wat wij hebben gezien als juridisch kader
voor de Wmo 2015 uitgaande van de integrale benadering zoals omschreven in de memorie van
toelichting. Dat kader wordt voor de gegevensuitwisseling en gegevensbescherming primair gevormd
door het EVRM, de Wet bescherming persoonsgegevens, de toekomstige Europese Privacyverordening
en het wetsvoorstel meldplicht datalekken en vanwege de inhoudelijke samenhang met de Wmo de
AWBZ, de Zorgverzekeringswet en de Jeugdwet. In paragraaf 3.4 zijn voorts nog andere Regelingen,
wetsvoorstellen en norm aangeduid als (mogelijk)relevant. In deze paragraaf.rjjaatsen'wij onze
^
\
*
kanttekeningen bij de onderdelen van dit juridisch kader in relatie tot hetgeen wij'hebben aangetroffen
in de memorie van toelichting.

4.9 CBP-adviezen

,

J

\

^

"•

•* t -

Decentralisering in het algemeen en in het bijzonder bij de WmO'levert spanning op met de

r " * % *> "
verplichtingen op grond van de Wbp Het CBP heeft de afgelopen jaren kunnen constateren dat'het bij
de W m o veel moeite kost een redelijk niveau s van comphance aan de Wbp te bereiken en te handhaven.
Ook met de nieuwe Europese regelgeving m Jiet vooruitzicht is het begrijpelijk dat het GBP kritisch
reageert op het concept van de W m o 2015 Eus^immers veel'onduidehjk en nog in bewerking.
Bovendien is de memorie van'toelichtirïg sober in zijn aandacht voor de bekende thema's van de Wbp
terwijl het W m o dossier, nieuwe stijl daar wel omdraagt. In paragraaf 3.5.8 hebben wij aangegeven
waar
WIJ,deze
hethandreikingen
advies van hetverwachten
CBP volgende-handreikingen
het CBP
mogelijk
en wenselijk
achten1.
Zonder
WIJ een onverkortaan
negatief
advies
van het
CBP.
•*

\

Onze vis|e houdt mHdat w a t Betreft gegevensuitwisseling en gegevensbescherming voor een
voorspoedigwetgevend
traject op allerlei fronten extra inspanning moet worden geleverd. Daarbij kan
L
--het clausuleren en faseren van het ambitieniveau helpen. De extra inspanning moet in onze visie op

v

r *
-a >
twee manieren t o t uiting worden gebracht: enerzijds door het zo veel mogelijk terugbrengen van
' %*,
onzekerheden en onduidelijkheden waar dit mogelijk is, anderzijds door het opsommen van
inspanningsverplichtingen die in de komende tijd leiden t o t resultaten en waarborgen.

90/252

D u t h l e r ® Associates

4.10 Structurele gegevensbescherming en -uitwisseling in de Wmo:
uitgangspunten
Voor de uitwerking van onze visie op de beoogde integrale aanpak van de Wmo 2015 (zie paragraaf 4.1)
kunnen een aantal richtinggevende uitgangspunten voor de uitvoering worden opgesteld:

A. Het Wmo-ecosysteem

"<^,

, ,_

Van een individu bestaan in administraties van instellingen vele verschillende persona's*(karakterisering
van een bepaald type gebruiker). De verschillen vloeien voort uit het hanteren vahVerschillende
definities van begrippen, gehanteerde contexten en/of de informatie over de^ersona's is gewoonweg
fout.

,

"

,.

Kwaliteit van informatie maakt een effectieve en efficiënte verwerking van informatie mogelijk. Dat
geldt vooral voor het uitwisselen van informatie tussen verschillende instellingen en actoren in een
keten.

-v
a-

Adequate en onderling samenhangende definities van begnppenjde semantiek) vormen de basis voor
het organiseren van kwaliteit van informatie De relevante wet- en regelgeving vormt de basis (de
legitimatie) voor de definitie van begrippen. De definities van begrippen en ook de definities van
processen worden vastgelegd in gezaghebbende (door het bevoegd gezag geaccrediteerde)
!
','
\
taxonomieën. De complexiteityan de onderlinge samenhang tussen de vele relevante wetten en regels
f/
'*v - ;
kan hierbij worden gemanaged mêf een pólicy framework Een Trusted Third Party (TTP) of ook wel een
semantisch Trust Center (sTC) beheert de taxonomieën (notarisfunctie) en kan de uitvoering faciiiteren
r
'*,
„^
\i,
(makelaarsfunctie) Op deze manier bouwen de deelnemers in het netwerk een Wmo-ecosysteem: een
'.f

,

* •

*

tot evenwicht gekomen samenwerkingsverband voor de uitvoering van de Wmo met een zekere
f
.
~\,
C»
tolerantie en een grote mate van zelfregulatie.
5

B Hëbmdividu,

*. •> «

''

de betrokkene,

in control

Uitgaande van het W m o ecosysteem waarbij gegevens- en procestaxonomieën richtinggevend zijn voor
de taken, bevoegdheden en verantwoordelijkheden van de actoren w o r d t de verantwoordelijkheid van
de kwaliteitvan informatie bij het individu (en of zijn vertegenwoordiger) gelegd. Om deze
verantwoordelijkheid te dragen faciliteert het sTC het individu met de informatie over zijn of haar
verschillende persona's uit de administraties van de instellingen.

91/252

DütJhlëri^KsioMafës

Verschillende persona's van een individu kunnen beoogd en wenselijk zijn. Het individu heeft echter wel
het recht op inzage, correctie, doorhaling en zelfs het recht om vergeten te worden. Het individu moet
dan ook worden "empowered" de rechten uit te oefenen door verzoeken voor te leggen aan instellingen
de persona's aan te passen.
Het verschuiven van de taak naar het individu om de kwaliteit van zijn of haar informatie te borgen
geeft invulling aan het toestemmingsvereiste uit het wettelijk kader. Tegelijkertijd wordSde
iik.

"**'

verantwoordelijkheid en hiermee de aansprakelijkheid van de instelling voor het»borgèn,va"n de kwaliteit
van de informatie over het individu verlaagd tot te managen proporties.
C. Voldoen aan de eisen van het wettelijk

.

%,-,

, * "*

kader

-H

*".$",

Door het toepassen van het Wmo-ecosysteem waarbij de toestemming van het individu voor het
verwerken van zijn of haar informatie expliciet is ingekaderd in het raamwerk van'de faken,
bevoegdheden en verantwoordelijkheden van de actoren klinnen ook aan"de andere eisen uit de
»%
* '• ^
(aankomende) wetgeving - door de instellingen zelf -(invulling worden gegeven WIJ benoemen hier
zonder volledig te willen zijn expliciet het ontwikkelen en uitvoeren van en daarover verantwoording
afleggen ovér.beleid op het vlak van gegevensbescherming en veiligheid, aanstellen van een functionaris
'» „
•t?
voor de gegevensbescherming, in stand hoifden van overzicht en inzicht in de gegevensverwerkingen,
f

l

voldoen aan de actieve en passieve informatieplicht, uitvoeren van PIA's, toepassen van privacy by
design en privacy by default, facihtèren
van dataportabiliteit en melden van datalekken.
f
"V- s ''"1
Het wettelijk kader vraagt om'nauwe^samenwerking tussen actoren in de keten en/of het.netwerk.
Dataportabiliteit kan meteoor slech\s een aantal instellingen worden afgesproken. Er is een
onafhankelijke.-.en onp^artijdige'Öerde nodig die non-competitieve randvoorwaarden faciliteert voor het
ecosysteem
-'. " % ,'"
x
"
D. Bestuurlijke en bedrijfsmatige component
7

1*^

•* " V

Hét toepassen van wet- en regelgeving op het vlak van gegevensbescherming kan leiden tot majeure
efficiency^en kostenverbetermgen in het ecosysteem. Drijver hierbij is datakwaliteit. Het toepassen van
'
il.
de wet zondereen ecosysteem leidt tot majeure kostenstijgingen en slecht af te dekken risico's voor
bijvoorbeeld (niet) melden van datalekken.
Het eco-systeem biedt de verschillende instellingen in de keten of het netwerk voldoende beleidsruimte
om bedrijfsprocessen voor gegevensverwerking naar eigen inzicht in te vullen.

92/252

Duthlër ©Associates.

In de (her)verdeling van taken, bevoegdheden en verantwoordelijkheden tussen instellingen onderling
neemt het sTC onnodige complexiteit weg en maakt bruikbare modellen van decharge mogelijk.
Hiermee kan worden voldaan aan de uitgangspunten van goed bestuur.

93/252

©yfh{irfSlss0Ei:aïis

5 Afhechting van deze rapportage
Deze rapportage is opgesteld in de maanden juli en augustus 2013 op basis van conceptstukken Wmo
2015 van eind juni 2013. In augustus zijn al concepten van deze rapportage uitgewisseld met de
opdrachtgever, hetgeen zijn weerslag heeft gevonden in de concept Wmo 2015 zoals dieiis voorbereid
voor verzending naar de Raad van State. In het laatstbedoelde concept is een belangrijke stap gezet om
%l, *

t,

te kunnen voldoen aan een compliancetoets met betrekking tot de Wbp. Niet langër3wordt ^ »,„-«
'%_
**% \ « ^ -**>
voorbijgegaan aan het vereiste van adequate betrokkenheid van cliënten. Ookop veel andere punten
zijn adviezen en visies uit deze rapportage gevolgd en verwerkt Er blijven nietteminYiog veel'suggesties
SS

^*

<•*•

over die moeten worden afgezet tegen het concept van de Wmo,2015 zoals difeeind augustus luidt. Voor
een deel kunnen deze suggesties hun weg vinden in de op korte termijn te concipiëren AMvB. Wij
't %

>

*

A

menen dat een ander deel kan worden meegenomen m SeTueuwe ministeriele regeling gebaseerd op
de Wmo 2015. Ook aan het concept voor deze rninistejri^ele regeling zou op grond van een verantwoord
"' -i

*""%*

* J>

proces van wet- en regelgeving naar onze mening snel moeten wordefTgewerkt Blijven over suggesties
uit de overkoepelende visie die bijvoorbeeld b'etrekkmg' hebben opj'de regie bij de onderhavige
«^V,
4-,
' §,
decentralisatie en de onderdelen dienen watjangere adem vergen, zoals standaardisering. In onze visie
is het tenslotte verstandig het vorenbedoelde onderscheidjn de op grond van deze rapportage nog te
,^>.

't

ondernemen acties op korte termijruwat meer uit te werken, zodat de adviesperiode van de Raad van
"
~'!V
i„^
""> „ V
State optimaal kan worden gebruikfiter^behoeye van het vervolg van het tot stand brengen van de
Wmo 2015.

'*-"

'-

%-

94/252

,

_—.— ,.,,„. -,,,.a..

Duthlër ra) Associates

Bijlage 1 Toetsmodel PIA Rijksdienst
Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst58
A. Ten geleide
1. Wat is een PIA?
1. Een Privacy Impact Assessment (PIA) is een hulpmiddel om bij ontwikkeling van beleid, en de daarmee
gepaard gaande wetgeving of bouwvan ICT-systemen en aanleg van databestanden, privacyrisico's op
gestructureerde en heldere wijze jn kaart te brengen. Het PIA-toetsmödeHs specifiek gericht op de
Rijksdienst en bedoeld voor toepassing op alle beleidsgebieden en binnen alle re'chtsdoméinën.
2. De PIA heeft de vorm van een toetsmodel/vragenlijst. Op die lijst staan zowéïfeitelijke en technische
vragen als vragen die zijn gebaseerd op nationale en Europese juridische vereisten. Het richt zo in een
vroegtijdig stadium en op hoofdlijnen de aandacht op alle onderdelen van de beoogde verwerking van
persoonsgegevens die aandacht en uitwerking behoeven.
3. Een PIA is geen vrijblijvende enquête. In het bijzonder is de vragenlijst inhoudelijk gezien zowel
richtinggevend als corrigerend bedoeld. Daarnaast moet het bearitwoordingsproces als zodanig ook
bewustwording stimuleren vandë'uiteenlopende privacy-aspecten waarmee rekening moet worden
gehouden bij ontwikkeling van een wetgeving en beleid en iri dat kader te ontwikkelen ICT-systemén en
databestanden.
4. Een PIA is richtinggevend in de zin dat de (uitputtende) vragenreeks kan wijzen op relevante privacyrisico's die in de vroege fase van beleids- of systeemontwikkeling (wellicht nog) niet zijn onderkend. Als
dat het geval is, moet de betreffende vraag zó worden opgevat dat het noodzakelijk is om deze aspecten
alsnog in de uitwerking mee te nemen.
5. Een PIA is ook corrigerend. Door de vragenvolgorde zal het vaak nodig zijn voorlopige antwoorden op
eerdere vragen te heroverwegen, eri vervolgens voor een andere (minder priva'cy-inperkende) oplossing
te kiezen. Het zal dan ook geregeld voorkomen dat in een eerder stadium van beleids- of
systeemontwikkeling overwogen opties en oplossingen bij nadere beschouwing niet goed genoeg
kunnen worden onderbouwd vanwege de hiermee gepaard gaande prïvacy-risico's.
6. Vanwege het richtinggevende en corrigerende karakter van een PIA zal het invullen van de vragenlijst
vaak een dynamisch proces zijn> waarbij concept-(beleids)oplossingen of hét concept-functionele
systeemontwerp geleidelijk worden aangescherpt.
7. Een PIA moet worden gehanteerd naast, en ih afstemming met andere hulpmiddelen voor
ontwikkeling van wetgeving en beleid, en daarmee gepaard gaande bouw van ICT-systemen en aanleg
van databestanden. Een PIA komt dus niet in de plaats van deze bestaande instrumenten, en is niet
bedoeld daarmee te overlappen.
8. Indien de PIA wordt uitgevoerd in het kader van ontwikkeling van bejeid dat moet resulteren in
wetgeving, moét in de fase van juridische verfijning van het wetsvoorstel de in het IAK opgenomen
Leidraad afstemming op de Wbp worden gebruikt.

58

Toetsmodel PIA Rijksdienst, TK 2012-2013, 31051 nr. F.

Duthler U I Associates

9. Indien de PIA wordt uitgevoerd in het kader van ontwikkelingvan beleid waarmee (ook) de aanleg van
databestanden of de bouwvan ICT-systemen wordt voorzien, moet ook rekening worden gehouden met
de beheersmaatregelen zoals beschreven in het handboek portfoliornanagement Rijk voor projecten
met een grote ICT-component.
.
,
•
10. Beantwoording van de PIA-vragenlijst resulteert in een geschreven document.
2. Wanneer is verwerking van persoonsgegevens door de Rijksdienst, inclusief ZBO
noodzakelijk (en komt een PIA aan de orde)?
1. Gebruik van persoonsgegevens, waaronder door de overheid, vormt in veel gevajlen een inperking
van het grondrecht van bescherming van de persoonlijke levenssfeer (artikel 10, le'den 2 e'^3 Grondwet,
4
artikel 8 EVRlyi, artikel 8 EU:Grondrechtenhandvest).
\j,
""V, ' %; " " V '
2. Zodra hieraan wordt gedacht in het kader van ontwikkeling van beleid^en wetgeving, enjde daarmee
gepaard gaande bouw van ICT-systemen èn aanleg van databestanden,fnoet eerst worden*vastgesteld
of verwerking van persoonsgegevens noodzakelijk is voor het tet bereiken doel Hierbijipeelt zowel de
vraag naar subsidiariteit als proportionaliteit.
. J'
%
, £
3. Voor wat betreft subsidiariteit is de (voor)vraag: is het alleen-door-middel van verwerking van
persoonsgegevens mogelijk het gewenste beleidsmatige ^resultaat te bereiken? Zijn er ook effectieve
praktische of technische alternatieven die helemaal niet ingrijpen orj^de privacy? (Hierbij kan
bijvoorbeeld worden gedacht aan het niet verwerkeYTvan op*d#persoon herleidbare gegevens voor
aspecten van het voorstel die enkel trends of algémene'patronen willerftyastleggen) Indien
alternatieven voor verwerking van persoonsgegevens^met hetzelfde beleidsmatige resultaat
voorhanden zijn, moet daarvoor worden gekozen
"*•-%,
(
4. Voor ontwikkeling van beleid en wetgeving kan voor het*beantwoorden van deze vragen naar de
subsidiariteit van de verwerking van persoonsgegevens ook'gebruik worden gemaakt van de in het IAK
opgenomen checklist afstemming op (internationale) (klassieke) grondrechten.
5. Indien de (voorlopige) bevindmgjs dat alternatieven voor verwerking van persoonsgegevens niet
bestaan, is het zaak het PLA-tóetsmodel ter hand te^nemen Zo kunnen alle aan proportionaliteit
gelieerde vragen van de voorziene yerwerking'vaiVpersoonsgegevens helder in beeld worden.gebracht
en kunhen oplossingeffworden gefofmüfêerdI die niet verdergaan dan nodig om het gewenste resultaat
te bereiken (Hierbij kan bijvoorbeeld'worden'gedacht aan het differentiëren van 'maatregelen (is
verwerking van dezelfde persoonsgegevens nodig voor alle aspecten van het beleidsvoorstel?), of het
toestaan van dejnogelijkheid van een "opt-out" aan betrokkenen in bepaalde specifieke
omstandigheden) Ti«.Y" ^
>
6 Een PIA moet dus zo vroeg mogelijk in het proces van de vorming van beleid dat verwerking van
persoonsgegevens voorziet, al dan niet gepaard gaande met wetgeving of bouw van ICT-systemen,
worden-gebruikt

3. Hoe moet een PIA worden gehanteerd?
n«

1. Beleids- en wetgevingsinitiatieven binnen de Rijksdienst om persoonsgegevens te verwerken kennen
vele.gedaanten Aan de ene kant kan het gaan om een geheel nieuw databestand of systeemwaarin een
nieuwe verzameling persoonsgegevens voor een nieuw doel zal worden verwerkt. Aan d e a n d e r e kant
kan het gaan om het toevoegen van een nieuw type persoonsgegevens aan de verwerking in een al
bestaand ICT-systeem, of het koppelen van verschillende al bestaande databestanden of systemen om
een nieuw doel te bereiken. Ook kan het gaan om nieuwe vormen van verstrekking, uitwisseling,
openbaarmaking en (meervoudig) gebruik van gegevens.

96/252

Duthlérfil Associates

2. De PIA-vragenlijst is opgesteld voor het gehele spectrum van nieuwe vormen van
gegevensverwerking. Het met het aflopen van de vragen te ondervangen privacy-risico zal echter sterk
afhangen van de aard van hetbeleids- óf wetsvoorstel of het voorgenomen ICT-systeem of databestand.
Het zal dus per geval verschillen welke van de PIA-vragen moeten worden beantwoord.
3. Het is niet nodig om de gehele vragenlijst af te werken als het gaat om:
- uitbreiding van het databestand binnen een bestaand ICT-systeem (volstaan kan worden met
beantwoording van de vragen in secties I en IV)
- gebruik van een bestaand databestand of ICT-systeem voor aanvullende of nieuwe doelen (volstaan
kan worden met beantwoording van de vragen in sectie II en IV)
<,
- koppeling van verschillende al bestaande databestanden of ICT-systemen voor(bestaande_of
aanvullende of nieuwe doelen (volstaan kan worden met beantwoording van de vragen in secties H-V)
Vanzelfsprekend is het bij het uitvoeren van een dergelijke "PIA-hght" verstandig terug te grijpen op
eventuele eerdere stukken (uitgevoerde PIA's, andere impact assessments, toelichtingen).
4. In alle andere gevallen moet, mede gezien de eerder genoemde samenhang tussen de vragen, en het
richtinggevende en corrigerende karakter van de PIA, wel de gehele Vragenlijst worden afgelopen
5. De uiteindelijke beantwoording van de PIA-vragen zal als basis en bron móeten dienen voor
technische, beleidsmatige en juridische verantwoording van keuzen (ziesdaarovèf nader-onder 5)

4. Wie? Uitvoering en afstemming

"
*" >

r

*r**-*
i%

'tZ'

''

t

>* >
'••

1. De PIA-vragenlijst moet worden ingevuld door-.de belei^dsmedewerkef^of wetgevingsjurist van de
Minister die, of het ZBO dat "verantwoordelijke" is of zal zijn yodr een verwerking van
persoonsgegevens in de zin van de Wet bescherming persoonsgegevens
2. Van "verantwoordelijkheid" is sprake, in de bewoordingen van de Wbp, als dit onderdeel van de
Rijksdienst de entiteit is die het doel'van en de middelen voor de verwerking van persoonsgegevens
vastlegt.
'\
"<•'
- tji
3. Een PIA hoeft niet te w o r d e n ondernomen doorbeleidsmakers of wetgevingsjuristen van het
ministerie of het onderdeel'van de Rijksdienst dat slechts als "bewerker" optreedt in de zin van de Wbp,
d.w.z. als slechts in opdr,acht van een!verantwoordelijke w o r d t gehandeld Neem contact op met de
juridische afdeling van^uw Ministerie'als hierove'rbnduidehjkheid bestaat
4 De Functionaris Gegevensbescherming (FG)'is binnen uw departement verantwoordelijk voor het
onafhankelijk toezicht op toepassing en'naleving van de W e t bescherming persoonsgegevens U kunt
met de FG contact opnemen voor^ advies tijdens de beantwoording van de vragenlijst of over de
resultaten van de'beantwoording^De FG kan aandachtspunten signaleren en risico's helpen duiden.
5 Als uw beleids- of wetgevingsvoorstel betrekking heeft op de bouw van een ICT-systeem of het
aanleggen van een databestand, neem dan ook tijdig contact op m e t uw departementale Chief
Information Officer (ClOj^Deze^geeft een oordeel bij de start of tussentijdse wijziging van een project,
*zoajs opgenomen in dé*»l-strategie. Onderdeel hierin is de beoordeling of in het projectplan is
opgenomen of er binnen het project sprake is van het opnemen van privacygevoelige gegevens of van
het kopp'elen^pf verrijken van data, en of daarbij beargumenteerd is of een PIA gewenst is.
5. Gebruik en v e r a n t w o o r d i n g PIA-resultaten
1. Een serieus uitgevoerde PIA zal richtinggevend en corrigerend hebben gewerkt. Plannen zijn
toegespitst en uitgewerkt. Dit heeft t o t gevolg dat bij voorbereiding van wetgeving, beleid en
overheidsICT-systemen privacy-aspecten als zodanig onderdeel zijn geworden van het afwegingsproces.
Omdat hierop gebaseerde aanpassingen hiermee al zullen zijn meegenomen in de uiteindelijke

97/252

M ï h t ë r l i l Associates

beantwoording van de PIA-vragen moéten alleen de definitieve antwoorden worden gebruikt bij de
verdere ontwikkelingvan beleid en systemen.
2. Deafwëgingen en keuzes die uit dé'uiteindelijke antwoorden blijken zullen per wets- of
beleidsvoorstel danwei ICT-systeem verschillen. Voor de verantwoording van het uiteindelijke 'gebruik
van persoonsgegevens zal tevens moeten worden verwezen naar eerdere beleidskeuzes en oplossingen
in andere contexten. Ook nieuwe aspecten, of elementen die afwijken van eerder gemaakte'keuzes (bv.
meer gegevens dan voorheen, een ander systeem dan voorheen, etc), zullen nadere toelichting
verdienen.
**•
3. Resultaten van een PIA moeten worden gezonden aan de betrokken FG en de CIO- Afhankelijk van !de
context waarin de PIA wordt uitgevoerd, worden de resultaten echter op verschillendë.manieren
verwerkt.
'
*«'r(j * " ^ H ^ ,
4. Waar hét gaat over beleid dat de bouwvan ICT-systemen of de aanleg van databestanden voorziet, •<
zal de FG op basis hiervan advies kunnen geven bij het bepalen vari de,nodige maatregeleni,en "?,.
waarborgen die moeten worden neergelegd in beleidsregels, aanwijzingen, gebruikshandleidingen en
procedures. Daarnaast zullen ClO's de resultaten kunnen gebruiken voor advisering over»( 'JjS
informatiebeveiliging en systeemontwerp Ook kunnen de PIA resultaten input,v^prmen voor een
eventuele melding van de voorgenomen verwerking aan het GBP of de FG/die volgens"de daarvoor
geldende regels openbaar gemaakt wordt
,
\
'T'
5. Bij wetgeving wordt over PI A-resultaten een passage opgenomen in de toelichting Daarin kan dan
een samenvatting worden gegeven van de belangrijkste afwegingen en keuzès^Het ligt voor de hand
deze passage toe te voegen aan de al standaard op,te nemen Beschouwing over het grondrechtelijke
kader en de toetsing aan de Wet bescherming persoönsgegeVens.(zie ook hierboven, onder A). Hoewel
een volledig gestandaardiseerde verantwoordmgsparagraaf dus niét kan worden gegeven, zou een
model-element van deze memorie van^tpelichting^paragraaf kunnen zijn

< ,

' ^ "f

»i>

"Gezien de aard van dit voorstel is m^defase van'beleidspntwikkelmg een Privacy Impact Assessment
uitgevoerd (zie ook Kamerstukken^2010/ll, 3105^1, nr D, motie-Franken) Met behulp hiervan is de
noodzaak van gegevensverwerking bekeken,en zijn ; op gestructureerde wijze de implicaties van de
maatregel(en)/het systeem op*gegevensbeschermmg in kaart gebracht Hierbij is in het bijzonder
aandacht besteed aa|?cle beginselen van gegevensminimalisermg en doelbinding, hét vereiste van een
goede beveiliging en 'de rechten van de bêtrbk'kenen [Beschrijving specifieke aspecten en de in dit.geval
gemaakte belangenafweging]
^*

98/252

•Duthlér'@Associates

B. Vragenlijst
Vooraf : Gegevensverwerking is sterk juridisch ingekaderd. Anderzijds wordt de tekst van de Wet
bescherming persoonsgegevens (Wbp) vaak juist als abstract en ondoorgrondelijk ervaren. In dit licht
bevat de onderstaande vragenlijst zowel praktische als meer juridisch getinte vragen. De praktische
vragen zijn ervoor bedoeld om het hele traject van gegevensverwerking, en daarbij betrokken instanties,
goed in kaart te brengen. Waar het gaat om juridisch getinte vragen luistert de formulering van de
vragen nauw. In dat geval is zoveel mogelijk geprobeerd deze toe te lichten en voorbeelden toe te
voegen. Indien er onduidelijkheid bestaat over de inhoud van de vraag, is het raadzaam daarover
contact op te nemen met de Functionaris Gegevensbescherming van uw ministerie of de juridische
afdeling.
I. Basisinformatie: type persoonsgegevens, type verwerking en ^ \
noodzaak/gegevensminimalisering

.«***

'*

c

1. Wilt u als verantwoordelijke persoonsgegevens gaan gebruiken voor de"verwerking~diè u voorziet7 Zo
ja, van welk type?
"•
, ,
t,f a

ft.

t

* J%

Toelichting: Definitie persoonsgegeven: elk gegeven betreffende eemgeidentificeerde of identificeerbare
J
persoon (art. 1 Wbp).
'
'>
*-''
Definitie bijzondere (gevoelige) persoonsgegevens gegevens over godsdienst of levensovertuiging, ras,
politieke gezindheid, gezondheid, seksueel leven, lidmaatschap yaneeii vakvereniging, strafrechtelijk
verleden; Cf. art. 16 Wbp
' ,
*v?
Definitie Een verantwoordelijke is een natuurlijke persoon, \echtspersoon of ieder ander die of het
bestuursorgaan dat, alleen of tezamen met anderen, het dóehvan en de middelen voor de verwerking
van persoonsgegevens vastlegt
" £i
„^
N B Als uw organisatie slechts als bewerker (degene^die ten behoeve van de verantwoordelijke
persoonsgegevens verwerkt- zondeVaan zijnjcechtsireeks gezag te zijn onderworpen) optreedt, moet
deze vragenlijst door de'verantwoordelijke éh niet door u worden ingevuld.
Definitie verwerking^elke handeling of elk^geheel van handelingen met betrekking tot
persoonsgegevens, waaronder in ieder gevaï'h'et verzamelen,vastleggen, ordenen, bewaren, bijwerken,
wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of
enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede
het afschermen, uitwisselen of vernietigen van persoonsgegevens.
2 Andere specifieke'persoonsgegevens7
2a Is het dë-b/fcioeling omgegevens over de financiële of economische situatie van betrokkenen, of
,, andere gegevens die kunnen leiden tot stigmatisering of uitsluiting te verwerken?
'Toehchtmg Hieronderfvallen bijvoorbeeld gegevens over (problematische) schulden, gokverslaving,
prestaties op school of werk of relatieproblemen.
2b Is het de bedoeling om gegevens over kwetsbare groepen of personen te-verwerken?
Toelichting hieronder vallen bijvoorbeeld minderjarigen, verstandelijk gehandicapten, mensen die te
maken hebben met stalking, klokkenluiders of informanten voor politie of het OM.
2c.Is het de bedoeling gebruikersnamen, wachtwoorden en andere inloggegevens te verwerken?
Toelichting:De mogelijke gevolgen voor betrokkenen hangen af van de'vërwerkingen en van de
persoonsgegevens waar de inloggegevens toegang toe geven. Hierbij moet er rekening mee worden
gehouden dat veel mensen wachtwoorden hergebruiken voor verschillende verwerkingen.
2d. Is het de bedoeling om uniek identificerende gegevens, zoals biometrische gegevens, te verwerken?

99/252

DuthlëffSHsüittës

Toelichting: Dittype gegevens is weliswaar nietformeei aangemerkt als bijzonder persoonsgegeven in de
dataprotectierichtlijn 95/46 en op basis daarvan in de Wbp, maar Wordt in de nationale en Europese
rechts- en toepassingspraktijk inmiddels wei als zodanig behandeld. Aanhangige Europese voorstellen
voor aanpassing van dataprotectieregelgeving continueren deze trend door verwerking van biometrische
gegevens als specifiek risico aan te merken.
2e. Is het de bedoeling om het BSN-nummer, of een ander persoonsgebonden nummer te verwerken ?
Toelichting: De Wbp (art 24) bepaalt dat een bij de wet voorgeschreven nummer ter identificatie van een
persoon bij verwerking van persoonsgegevens slechts verwerkt wordt ter uitvoering van de
desbetreffende wet of doeleinden bij de'wet bepaald.
y
't.
Raadpleeg zonodig het Besluit gebruik sófi-nummer Wbp van 15 augustus 2001. *
\\ 'f\
3. Kan van eik van de onder vraag 1.1 en vraag 1.2 opgevoerde typen persoonsgegevens worden gesteld
dat zij beleidsmatig of technisch direct van belang enonontbeerlijk zijn voorwet bereiken va'n'de *"->%•'
beleidsdoelstelling? Wat zou er precies niet inzichtelijk worden als ervoor wordfigekozen'bepaalcle,
gegevens niet te verwerken ? Licht per te verwerken persoonsgegeven toe
"*\
4>
Toelichting: De Wbp legt het zogenaamde principe van datammimalisatie neer Persoonsgegevens
mogen slechts worden verwerkt als daarvoor een noodzaak bestaat (art 8) Art* 11, lid f bepaalt
daarnaast dat persoonsgegevens slechts mogen worden verwerkt voor zoyer zij, gelet op de doeleinden
waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet
bovenmatig zijn (relevantie-eis). Verder is van belang dat'verwerkmg van'geyoeljge persoonsgegevens in
principe verboden is (art. 16-23 Wbp), en slechts onderstnkte(re)rvoorwaardenis toegestaan.
4. Kan als het gaat om gevoelige persoonsgegevens he\zelfde beleidseffect of technisch resultaat worden
bereikt op een van de volgende wijzen: (a) door (gecombineerd) gebruik van normale persoonsgegevens,
(b) door gebruik van geanonimiseerde af gepseudommiseerde gegevens'?
Toelichting: Anonimisering betekent verwijdering van alle djrect erfuniek identificerende gegevens.
Pseudonimisering betekent systematische vervanging van direct identificerende gegevens van personen
door bv. een code waardoor in de toekomst bepaalde geautoriseerde partijen nog steeds gegevens
kunnen toevoegen, maar terugleidmg'tot de specifieke persoon met meer mogelijk is. Dit kan bv. door
persoonsgegevens direct na verzamelingen een bepaald algoritme om te zetten, waardoor analyse en
vergelijking mogelijk blijft maarte bron van detgegevens als zodanig in principe niet meer is op te
5
roepen.
"Vt
f?' ^
5. in welk breder wettelijk, beleidsmatig of technisch kader wordt het voorziene
beleid/databestand/mformatiesysteemipntwikkeld en wat voor soort(en) verwerking(en) van
persoonsgegevens gaan hiervdnideel uitmaken bij het voorziene traject? Wordt hierbij gebruikt gemaakt
van (nieuwe) technologie of informatiesystemen?
Toelichting Inventariseer alle^verwerking van persoonsgegevens en verantwoordelijkheden en geef het
geheel bijvoorbeeld door middelvan een grafische weergave overzichtelijk weer zodat.het helêtrajëct
van gegevensverwerking inzichtelijk wordt.

II. Doelbinding, koppeling, kwaliteiten profilering
Doeleinden/doelbinding en koppeling
1. Hebt u het/de specifieke doel(en) waarvoor u de persoonsgegevens gaat verwerken in detail
vastgesteld? Geldt hiervoor één en hetzelfde specifieke doel?
Toelichting: De Wbp (art. 7) bepaalt dat persoonsgegevens slechts voor welbepaalde, uitdrukkelijk
omschreven en;gerechtvaardigde doelen mogen worden verzameld. Zo kan bijvoorbeeld worden
aangegeven in wetgeving dat persoonsgegevens worden verwerkt voor het vastomlijnde döél van
tegengaan van illegale immigratie. De verwerking dient gerechtvaardigd te zijn door één van de gronden

100/252

Duthler «Associates

van artikel 8 Wbp. Indien meerdere doelen worden nagestreefd met het verzamelen van de
persoonsgegevens moeten die allemaal worden genoemd, en moet voor eikvan die doelen worden
gerechtvaardigd waarom de (hele) voorziene set van persoonsgegevens hiervoor noodzakelijk is.
2. Gaat het bij het project/systeem om gebruik van nieuwe persoonsgegevens voor een bestaand doel,
of bestaande doelen binnenal bestaande systemen? (scenario toevoeging nieuwe persoonsgegevens).
Toelichting: De Wbp legt hetzogenaamde principe van dataminimalisatie neer. In art. 11, lid 1 bepaalt
het dat persoonsgegevens slechts mogen worden verwerkt voor zover zij, gelet op de doeleinden
waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, terzake dienend en niet
bovenmatig zijn. Dit betekentdat als de gegevens die wordt verwerkt.in een bestaand systeem wordt
uitgebreid, voor elk van de, nieuw te verwerken persoonsgegevens een rechtvaardiging^moet bestaan. Zie
voor een beoordeling van de toe. te voegen gegevens ook vragen 1.1-4 hierboven. ' « ; ,
, - ,
3. Gaat het bij het project/systeem om het nastreven van nieuwe/aanvullenaeïdoeleinden door
bestaande persoonsgegevens, of verzamelingen daarvan, te gebruiken, vergelijken, delen]* koppelen of
anderszins verder te verwerken? (scenario toevoeging doeleinden) Zo ja,- hebben alle
personen/instanties/systemen die betrokken zijn bij de verwerking dezelfde doelstelling met de
verwerking van de desbetreffende persoonsgegevens of is daarmee spanning^mogelijk gelet op hun taak
of hun belang? Gelden dezelfde doelen voor het hele proces''^
"'*
,
Toelichting: De Wbp (art. 9, lid 1) bepaalt dat persoonsgegevens niet verder mogen worden verwerkt (bv.
in de vorm van koppeling of vergelijking met andere persoonsgegevens, of toevoeging van andere
persoonsgegevens voor hei bereiken van een nader doel) opeen wifzè^die onverenigbaar is met het/de
doel(en) waarvoor ze in eerste instantie zijn verkregen ""Loop het hele voorziene traject van de
persoonsgegevens na en geef bij elk onderdeel aan of er sprake is-yan een ander doel dan waarvoor de
gegevens zijn verzameld.
' ,
*
4. Indien u positief hebt geantwoord og vragen'll 2 of II 3,"hoe wordt een dergelijk voorgenomen
gebruik (d.w.z. gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande
persoonsgegevens voor nieuwe doeleinden) gemeld aan. (a) de functionaris voor de
gegevensbescherming, of (b) het CBP indien er geen FG is?"
Toelichting: De Wbp (art 62) maakt het mogelijk om een functionaris voor de gegevensbescherming (FG)
te benoemen. Deze functionaris ziet toe op de verwerking van persoonsgegevens. Het toezicht door deze
functionaris strekt zich\iit tot de verwerking van'persoonsgegevens door de verantwoordelijke die hem
heeft benoemd De functionaris kan aanbevelingen doen aan de verantwoordelijke die strekken tot een
betere bescherming van de gegevens die^worden verwerkt. Volgens art. 27, lid 3 moeten voorgenomen
verwerkingen aan de FG worden gemeld Als er geen FG is, moet dit gebeuren aan het CBP.
5 Indien u positief geantwoord hebt op vragen 11.2 of 11.3, welke (nadere) controles op een dergelijk
gebruik (dwz gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande
persoonsgegevens voor, nieuwe "doeleinden) zijn voorzien?
Toelichting zie.toelichting bij vragen 11.2 en 11.3. Het kan bijvoorbeeld gaan om het plannen van een
'intern evaluatie-moment, of een externe evaluatie.
Kwaliteit,. .'
6 Welke periodieke en incidentele controles zijn voorzien om de juistheid, nauwkeurigheid en
actualiteit van de in het beleidsvoorstel, wetsvoorstel op overheidsICT-systeem verwerkte
persoonsgegevens na te gaan?
Toelichting: De Wbp (art. 11, lid 2) bepaalt dat maatregelen moeten worden genomen om er voor te
zorgen dat persoonsgegevens, gelet op de doeleinden waarvoor zijn worden verzameld of verder
verwerkt, juist en nauwkeurig zijn.
Profilering

101/252

Duthler © Associates

7. Zullen de verzamelde/verwerkte persoonsgegevens gebruikt worden om het gedrag, de aanwezigheid
of de prestaties-van mensen in kaartte brengen en/ofte beoordelen en/ofte voorspellen' Zijn de
betrokkenen daarvan op de hoogte? Zijn de gegevens die^hieryoor worden gebruikt, afkomstig uit
verschillende (eventueel externe) bronnen en zijn zij oorspronkelijk voor andere doelen verzameld?
8. Wordt pij deze analyse/beoordeling/voorspelling gebruik gemaakt van vergelijking van
persoonsgegevens die technisch geautomatiseerd is (d.w.z. niet door mensen zelf wordt uitgevoerd)? Zo
ja, hoe wordt geregeld dat, indien dit geautomatiseerde proces tot een beoordeling of voorspelling over
een bepaalde persoon leidt, hierop pas concrete actie wordt ondernomen na tussenkomst en (tweede)
controle van (menselijk) personeel?
*
Toelichting: De Wbp (art. 42, lid 1) stelt dat niemand aan een besluit kan worden onderworpen waaraan
rechtsgevolgen zitten voor hem indien dat besluit alleen wordt genomen op grond van eèfW*»--»
geautomatiseerde verwerking van persoonsgegevens bestemd om een beeld te knjgen\an bepaalde
f
aspecten van zijn persoonlijkheid.
"" s
%
*.
i

*

III. Betrokken instanties/systemen en verantwoordelijkheid
1. Welke interne en externe instantie(s) en/of systemen is/zijn*betrokken bij de voorziene verwerking in
elk van deonder 1.5 onderscheiden fasen? Welke verstrekkers zijVi er e'n welke ontvangers7 Welke
bestanden of deelbestanden en welke infrastructuren7 *' -.^
\
'**
^r'
2. Is (in ieder stadium) duidelijk wie verantwoordelijk-is voor'de<verwerking van de persoonsgegevens?
Zo ja, is deze persoon of organisatie daarop voldoende 'voprbe'r.eid 'en geëquipeerd wat betreft de
nodige voorzieningen en maatregelen, waaronder middelen, Jaelèid, taakverdeling, procedures en intern
toezicht?
\ ,
'\
*\ ^ t
Toelichting: De Wbp (art 1, d) merkt als,verantwoordelijke'aan de natuurlijke persoon, rechtspersoon of
ieder ander die of het bestuursorgaanïdat, alleen ofdezamën met anderen, het doel van en de middelen
voor de verwerking van persoonsgegevens vaststelt ^
.
/
3. Wie binnen uw organisatie, en elk van de andere.betrokken organisaties, krijgen precies toegang tot
de persoonsgegevens7 Bestaat de kans dat bij het gebruik ervan de gegevens ter beschikking komen van
onbevoegden7
^
ï
-t
•.' r\ ^jT,
4. Geldt voor een of meer van de'betrókk'en instanties een beperking van de mogelijkheid om
persoonsgegevens te verwerken als gevolg van geheimhoudingsverplichtingen (in verband met
functie/wet) 7 r< *" > \
* r
Toelichting De Wbp (aYt 9, hd'tybepaalt dat de verwerking van persoonsgegevens achterwege blijft
voor zover een geheimhoudingsplicht uithoofde van ambt, beroep of wettelijk voorschrift daaraan in de
weg staat^ Van een dergelijke geheimhoudingsplicht is bijvoorbeeld soms sprake voor medici en
(jeugd)hulpverleners J % t
5. Zijn alle stap'pen van de verwerking in de zin van soorten gegevens en uitwisselingen, in kaart
gebracht of te brengenfzodanig dat daardoor voorde betrokkenen inzichtelijk is bij wie, waarom en hoe
de persoonsgegevens worden verwerkt?
Toelichting De kenmerken van de verwerking moeten altijd beschikbaar zijn als voorwaarde om als
verantwoordelijke "in control" te kunnen zijn, en in het bijzonder in verband met de meld- en
inlichtingenplicht t.b.v. betrokkenen (artikel27, eerste lid, Wbp, en artikel30, lid3, Wbp).
6. Zijn er beleid en procedures voorzien voor het creëren en bijhouden van een verzameling van de
persoonsgegevens die u wilt gaan gebruiken? Zó ja, hoe vaak en door wie zal de yerwerkingworden
gecontroleerd? Omvat de verzameling een verwerking die namens u wordt uitgevoerd (bijvoorbeeld
door een onderaannemer)?

102/252

'Dut hier ( ® Associates

7. Is er sprake van overdracht van persoonsgegevens naar een (overheids)instantie buiten de EU/EER?
Heeft dit land een niveau van gegevensbescherming dat als passend is beoordeeld door een besluit van
de Europese Commissie of de Minister van Veiligheid en Justitie? Worden daarbij alle of een gedeelte
van de persoonsgegevens doorgegeven?
Toelichting: De Wbp (art. 76) bepaalt dat persoonsgegevens slechts naar een land buiten de EU en EER
mogen worden doorgegeven indien dat land een passend niveau van gegevensbescherming waarborgt.
Voor wat betreft de VS heeft de Europese Commissie bepaald dat organisaties die.zich hebben verplicht
tot naleving van de zogenaamde safe harbour principles ook geacht worden een passendji
beschermingsniveau te waarborgen. Een volledige lijst van Commissie-besluiten over de adequaatheid
van het beschermingsniveau in overige derde landen (zoals bijvoorbeeld Israël, Argentime en Australië) is
te vinden op de volgende website.•http://ec.europa.eu/justice/data-protection/document/internationaltransfers/adequacy/index_en.htm
\
.t

IV. Beveiliging en bewaring/vernietiging
Beveiliging

^
^

"\
'"2^

<

1. Is het beleid met betrekking tot gegevensbeveiliging binnen uw orgamsatie**op orde7 Zo ja, wie/welke
afdeling(en) is/zijn binnen de organisatie verantwoordelijk voor het opstellen, implementeren en
handhaven hiervan? Is dit beleid specifiek gericht op gegevensbescherming en gegevensbeveiliging ?
Toelichting: De Wbp (art. 13) vereist dat passende technische en organisatorische^ maatregelen worden
genomen om persoonsgegevens te beveiligen tegen enige vorm van onrechtmatige verwerking
2. Indien (een deel van) de verwerking bij een bewerker plaatsvindt, hoe draagt u zorg voor de
gegevensbeveiliging, en het toezicht daarop, bij die bewerker?
'
Toelichting: De Wbp (art 14, lid 1) verplicht de verantwoordelijke ervoor zorg te dragen dat een
bewerker, indien die (een deel van) de>verwerkmg op zich neemt, voldoende technische en
organisatorische beveiligingsmaatregelen neemt Conform lid 2 moet hiervoor een
bewerkersovereenkomst worden opgesteld Er moet op'basis van de Wbp toezicht plaatsvinden op de
naleving van de maatregelen,(artjkel 14} lid 1, Wbp)
3. Welke technische en organisatorische beveiligingsmaatregelen zijn getroffen ter voorkoming van nietgeautoriseerde of onrechtmatige verwerking/misbruik van (a) gegevens die in een geautomatiseerd
format staan (bv wa'chtwoord-bescherming, versleuteling, encryptie) en (bj gegevens die handmatig zijn
opgetekend bv sloten op kasten)7 Is er een hoger beschermingsniveau om gevoelige persoonsgegevens
te beveiligen'
* * ,
Toelichting Voor het bepalen varthet juiste risiconiveau kan worden gekeken naar CBP, "Richtsnoeren
Beveiliging van Persoonsgegevens", 2013, op:
http//www cbpweb nJ/Pages/pb_20130219_richtsnoeren-beveiliging-persoonsgegevens.aspx
4 Welke procedures bestaan er in geval van inbreuken op beveiligingsvoorschriften, en voor het
detecteren ervan7 Is ereen^calamiteitenplan om het gevolg van een onvoorziene gebeurtenis waarbij
"persoonsgegevens worden blootgesteld aan onrechtmatige verwerking of verlies van persoonsgegevens
af te;handelen? ' "
Bewaring/vernietiging
5. Hoe lang worden de persoonsgegevens bewaard? Geldt dezelfde bewaartermijn voor elk van de
typen van verzamelde persoonsgegevens? Is het project onderworpen aan enige wettelijke/sectorale
eisen met betrekking tot bewaring?
Toelichting: De Wbp (art. 10, lid 1) geeft aan dat persoonsgegevens niet langer worden bewaard in een
vorm die het mogelijk maakt de betrokkene te identificeren dan noodzakelijk voor de verwezenlijking van
de doeleinden waarvoor zij worden verzameld en verder verwerkt.

103/252

Du th LerlllAss'oci ates

6. Op welke beleidsmatige en technische gronden is deze termijn van bewaring vereist?
7. Welke maatregelen zijn voorzien om de persoonsgegevens na afloop van de bewaartermijn té
vernietigen? Worden alle persoonsgegevens, inclusief log-gègevens, vernietigd? Isèr controle óp de
vernietiging, en door wie?
V. Transparantie en rechten van betrokkenen
Transparantie
1. Is het doel van het verwerken van de gegevens bij de betrokkenen bekend of kan hetiJekend gemaakt
worden? Wat is de procedure om betrokkenen indien nodig te informeren over hetidpel van de
verwerking van hun persoonsgegevens?
_*. -*• ,, ij
Toelichting: De hier bedoelde transparantieverplichting
is te ónderscheiden van (en komt bovenop) het
wettelijke kenbaarheidsvereiste (verslaglegging van het doel van een gegevensverwerking
iruwetgeving
zelf). Het doel van deze iransparantieverplichting
is betrokkenen te informeren óver verwerking op een
plaats/moment gelieerd aan de (voorgenomen) verwerking. Is er bijvoöfbeeld op hèt-formuher
informatie opgenomen over de doeleinden van het verzamelen van'dè gegevens? Ofiswoorzien in
borden langs de weg waarmee camera-controles worden aangekondigd?
',\
' \,

104/252

Duthler Éi§ Associates

Bijlage 2 Verantwoording toepassing Toetsmodel PIA
Door het Ministerie van Binnenlandse Zaken is op 21 juni 2013 het Toetsmodel Privacy Impact
Assessment opgeleverd. Uitgaande van de gebruikte definitie op pagina 1 wordt een PIA gezien als een
hulpmiddel om privacyrisico's op gestructureerde en heldere wijze in kaart te brengen. *

'

y.

\

De PIA heeft een vorm van een toetsmodel/vragenlijst bestaande uit 5 onderdelen (I t/m V). Onderdeel I
kan hierbij gezien worden als een quick-scan voor het bepalen of een PÏA'daadwerkelijk benodigd is
Beantwoording van één van de vragen in dit onderdeel met "ja"-betekent dat een PIA benodigd is, maar
zegt verder nog weinig over de risico's.

•
'/,'

i.

V

Z

.*•

1

^

% •

"

*;
l

*

In onderdeel II t/m V wordt gekeken naar risico's, voortkomend uit dê algemene privacy principes, zoals
opgesteld door de OECD59 en wettelijke vereisten. De vraag is of men bijïhet opstellen van de vragenlijst
ook voldoende heeft stilgestaan bij de gevolgen van beantwoording van een vraag. Om het voorbeeld
van doelbinding te gebruiken bij de eerste vraag van onderdeel II 1 •

'

.

*

"Hebt u het/de specifieke doel(en) waarvoor u de persoonsgegevens gaat verwerken in detail
vastgesteld?"

*

(

' -

>•>••

*'J,

--

ƒ"

Is

Stel dat deze vraag'met "Nee" wordt beantwoord, betekent dit dan slechts een geconstateerd risico?
Idealiter zou je namelijk al, als onderdeel van de PIA, een uitgebreide analyse van het betrokken object
inclusief analyse van de aanwezige informatiestromen willen hebben om alles in elk geval in de juiste
context te kunnen beoordelen Dit is bovendien ook wat de aanstaande Europese Privacyverordening
*i

-*

i

'

'vraagt van een PIA: het'fnoet minstens een algemene beschrijving bevatten van de vereiste
verwerkingen(EPV art 33, lid 3).

59

www.oecd.org/internet/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofper

sonaldata.htm

105/252

EMHtëfü | Associ ates

Nu is het Toetsmodel Privacy Impact Assessment slechts een PIA in de vorm van een toetsmodel, zoals
zelf ook aangegeven, maar wordt aan het vereisten uit de voorgestelde Europese Privacyyërordening
(EPV) ten aanzien van een PIA niet voldaan. De EPV bevat, naast het vereiste van een algemene
beschrijving van de verwerkingen, namelijk ook een vereiste tot het beoordelen van het risico, een
vereiste tot het beschrijven van risico beperkende maatregelen en het vereiste tot het vermelden van
de waarborgen, beveiligingsmaatregelen en mechanismen die de bescherming van persoonsgegevens
verzekeren. Deze vereisten worden niet automatisch afgedekt met het invullen van het Toetsmodel

*>

v

*

'h
*N

-,

•> -

Sowieso is het Toetsmodel voornamelijk gebaseerd op de Wbp en worden nieuwe elementen uit de
aanstaande EPV, zoals het vereiste tot gebruik maken van de principes van privacy by»design en privacy
•rt

* „

V

-">

by default, en ook sectorspecifieke wet- en regelgeving niet direct meegenomen in het Toetsmodel Met
het oog op de toekomst zou een bredere invulling hier gewensfzijn
'
"*
\
/

i,

Samenvattend kan dus gesteld worden dat met het Toetsmodel alleen-het risico identificerende
gedeelte van een PIA wordt doorlopen en de nsico's'in kaart worden gebTracht. Dit is een goede en

"H

*-*-

relevante stap, maar een volledige PIA gaat veVder

t

"% ,
~Vf

rv* *». "
Het Toetsmodel sluit ook niet uit dat deze uitbreiding plaatsvindt, maar spreekt wel al van het uitvoeren
van een PIA als het Toetsmodel doorlopen wordt~ Hierbij'worden waardevolle elementen van een PIA,
bijvoorbeeld het doorlopen.van de beoordeling mébbetrokken stakeholders en een grondige analyse
%
"*
'"'
van het te beoordelen object, niet benut
Het CBP6G heeft er ook op gewezen dat de PIA volgens het Toetsmodel soms het karakter heeft van een
iiu

'

*-

*"

juridische compliance toets, terwijl een PIA bedoeld is:
/*
\
,**^ "
om m ^ e n zeer vroegtijdig'stadium van de ontwikkeling van nieuwe producten, diensten en
bëleidsvoornemens < *aan allen die daar mee doende zijn en aan leidinggevenden de risico's in relatie
t o t bescherming persoonsgegevens op overzichtelijke wijze in kaart te brengen. M e t dié kennis
i gewapend kan vervolgens de verdere ontwikkelingvan het product, de dienst of het
beleidsvoornemen ter hand genomen worden en kan de meer juridische "compliance" toets (d.w.z.
voldoet het voornemen in uitwerking aan, met name, de Wbp) verricht worden. In het voorliggende
concept-toetsmodel worden de begrippen "compliance toets" en de "PIA-toets" soms met elkaar
verward.

60

Brief CBP aan BZK, Advies concept Toetsmodel PIA, 5 maart 2013

106/252

."Düthler®i Associates

Bijlage 3 Leidraad afstemming wetgeving op Wbp61
Hieronder volgen de adviezen voor de wetgevingsjurist zoals die zijn opgenomen in de Leidraad

Nagaan of aspect van de bescherming van persoonsgegevens reeds is geregeld

t, k

',

1. Er is al veel geregeld. Ga daarom eerst zorgvuldig na of een voorgenomen wettelijke regeling die
aspecten van bescherming van persoonsgegevens moet bevatten niet reeds in de Wet bescherming
persoonsgegevens of in andere regelgeving is geregeld Neem zonodig contactop met de directie
Wetgeving van het Ministerie van Justitie indien dit niet op voorhand duidelijk is

Terminologie

,

»' *

•.-,

t

*

*

2. Denk aan het juiste gebruik van terminologie Vermijd het gebruik vafr,de term privacy in wettekst en

i

s

toelichting Maak waar nodig een onderscheid tussen eerbiediging.yan de persoonlijke levenssfeer en de
fc
bescherming van persoonsgegevens ^ * ,
'"

4«

-

3 Inventariseer bij het opstellen van^een ontwerpregeling welk aspect van de eerbiediging van de
persoonlijke levenssfeer aanjde orde is *»Houd rekening met de wijze waarop een en ander door de
wetgever reeds is geregeld, respectievelijk is beperkt Betreft een wetsvoorstel uitsluitend een regeling
die betrekking heeft op persoonsgegevens of een nadere invulling of beperking van het recht op
9

'

>

bescherming van persoonsgegevens, dan^verdient het de voorkeur om die terminologie in de memorie
',
i
van toelichting te gebruiken
^
*n t.
«»1

Belangenafweging

J>

4 Draag in de toelichting bij een regeling die specifiek betrekking heeft o p d e bescherming van
persoonsgegevens zorg voor een expliciete afweging van de in geding zijnde belangen van
verantwoordelijken en betrokkenen in relatie t o t de doeleinden van gegevensverwerking.

61

Ministerie van Justitie, Leidraad afstemming wetgeving op de W b p , 96 p. Opgenomen is het
onderdeel "Adviezen voor de wetgevingsjurist" (p. 1 1 t / m 16)

107/252

D u t h l e r ® Associates

Grondrechten
5. Een wetsvoorstel dat een inmenging in het recht op bescherming van het privé-leven, respectievelijk
een beperking van het recht op bescherming van de persoonlijke levenssfeer of het rechtop

• .•

bescherming van persoonsgegevens bevat, wordt getoetst op verenigbaarheid met art. 8, tweede lid,
EVRM, het Dataprotectieverdrag en art. 10, eerste lid, van de Grondwet. De memorie van toelichting
bevat een uitdrukkelijke gemotiveerde weergave van die toets. De eisen aan de motivering zijn
zwaarder naarmate de inmenging in, respectievelijk de beperking van het grondrecht zwaarder is

%

.

.

•

.

•

-t: ^

^hK

'

6. Betrek in de toelichting op een regeling die eëh inmenging in het recht op bescherming van
persoonsgegevens regelt alle in de paragrafen 2.8.1 tot en met 2.8.6,genbemde onderwerpen1
Richtlijn nr. 95/46/E6

&J.

**•"

7. Bij een voornemen om wetgeving op te stellen die op onderdelen de Wet bescherming
persoonsgegevens aanvult of wetgeving op te stellen die daarvan afwijkt, wordt in de memorie van

'ti

"•*$- *

H

toelichting altijd een expliciete toets aan richtlijn nri95/46/EG verricht De eisen die worden gesteld.aan
s

i

*Vi •?

de motivering zijn zwaarder naarmate de aanvulling of "de afwijking van de Wbp betekenisvoller is.
• * * V , \
" t

%

V

\

-•

;*

8. Over de noodzaak öm in een voorgenomen wettelijke^egelmg met betrekking tot de bescherming
van persoonsgegevens van de Wbp^of van richtlijn nr 95/46/EG afwijkende begrippen op te nemen
's

rfk-

'rhi

*•

*v

.

.

wordt voorafgaand overleg gepleegd met de directie Wetgeving van het Ministerie van Justitie.
Verhouding Wbp tot Wobhen Archiefwet

r

*<

9. BIJ de.vporbereiding van wetgeving met betrekking tot de bescherming van persoonsgegevens-moet
"X

'*-/*'* "

•-

'

•

onder ogen worden gezien dat de Wet openbaarheid van bestuur en de Archiefwet 1995 naast de Wbp
blijven'gelden.*'

3

Begripsbepalingen Wbp
10. Wanneer de noodzaak vaststaat om in een voorgenomen wettelijke regelingaspecten van de
verwerking van persoonsgegevens of van de bescherming van persoonsgegevens op te nemen, wordt
daarbij gebruik gemaakt van de in artikel 1 van de Wbp gedefinieerde begrippen, metgebruikmaking
van de modelbepaling.

108/252
..

—

•

»•.'©•

.Düthler® Associates

Bijzondere persoonsgegevens
11. De wetgevingspraktijk leert dat op de doorbreking van het wettelijk verbod, bedoeld in art. 23,
eerste lid, onder e, Wbp regelmatig een beroep wordt gedaan. Daarom volgen hieronder enige
richtlijnen en voorbeelden voor het gebruik van deze uitzondering.

12. Allereerst • artikel 23, eerste lid, onder e, van de Wbp is een uitzonderingsregeling, met de
toepassing daarvan wordt grote terughoudendheid betracht» ga daarom.eerst zorgvuldig na of de
voorgenomen regeling niet reeds valt onder de reeds in de artikelen 17 tem 22 Wbp geregelde doorbrekingen van het bod; overleg daarover zonodig met de directie Wetgeving'van het Ministerie van
Justitie

13. Vervolgens

_

•

i

• ga zorgvuldig na of de voorgenomen regeling niet reedsyalt onder de irTartikel 23, eerste lid, onder a
tot en met d, Wbp geregelde gevallen

-,

<

„ ' T

\

• zie voor de vereisten waaraan toestemming in de context "van de
4 Wbp'.fen dus ook in de context van

C

'

" *^

art. 23, eerste lid, onder a, van de Wbp) moet*voldoen art 1, onder i, Wbp
• een volkenrechtelijke verplichting wordt bij of krachtens verdrag of bindend besluit van een
*

s.

volkenrechtelijke organisatie vastgesteld, een regel van (intern) buitenlands recht is geen

a *^ . "

1

volkenrechtelijke verplichtingen de/zin van art 23, eerste lid, onder d, Wbp
"f

t

<8

14. Tenslotte

'

"

l

• wanneer blijkt dat de gewenste voorziening noodzaakt tot het opstellen van nieuwe wetgeving - al dan
niet gecombineerd met-de aanvraagsvan een ontheffing bij het College bescherming persoonsgegevens voorzie'dan eerst in een grondige motivering van het zwaarwegend algemeen belang en expliciteer
welke' passende waarborgen voor de bescherming van de persoonlijke levenssfeer worden geboden
• indien agnvraag,vane'en ontheffing bij het College bescherming persoonsgegevens wordt overwogen
dient daaYbij te worden betrokken dat deze ontheffingen uitsluitend voor een beperkte periode worden
" -Of,
verleend en dat ten.genoege van het College moet worden aangetoond dat er een concreet voornemen
bestaat tot legalisatie; naarmate het wetgevingsproces verder is gevorderd en het voornemen daardoor
meer is geconcretiseerd, zal deze bewijslast gemakkelijker kunnen worden gedragen
• in het wetsvoorstel dienen tenminste expliciet te zijn geregeld: doeleinde(n) van de voorgenomen
gegevensverwerking, omvang van de gegevensverstrekking - zo veel mogelijk te relateren aan specifieke

109/252

D u t h l e r ® Associates

bijzondere persoonsgegevens -, identiteit van de verantwoordelijke, regeling var) de verstrekking van
gegevens en van de eventueel beoogde verdere verstrekking", mede in relatie tot bestaande Wettelijke
geheimhoudingsplichten, waarborgen voor de gegevensverstrekking, (sub)delegatie is gelet pp de tekst
van art. 23, eerste lid, onder e, Wbp niet aanvaardbaar
• in de memorie van toelichting wordt een expliciete motivering van het zwaarwegend algemeen belang
gegeven en worden de te treffen waarborgen voor de bescherming van de persoonlijke levenssfeer
expliciet uiteengezet* na afronding van het wetgevingsproces geldt een notificatieverplichting voor de
betrokken Minister aan de Europese Commissie (art: 23, derde lid, Wbp)

„,

'\

^\
>

Gegevensuitwisseling toezichthouders en bestuursorganen

«

,

ƒ„

f*^ -„_
"•?>-

's

15. Indien het noodzakelijk is om op structurele basis over te gaan„op onderlinge verstrekking van
persoonsgegevens tussen bestuursorganen of toezichthouders onderling of tussen'jbestuursorganen en,
„

^

-i

• * '

toezichthouders, behoort aandacht te worden gegeven aan,de vraag of de doeleinden voor die

'pt

*-*•<• v

verstrekking voldoende zijn bepaald en of er geheimhoudingsplichten bestaafr'die hieraan in de weg
%••>

staan.

>

"

' \

•»„

'

'K

\

"

^

"* •

» -

Zonodig moet een afzonderlijke regehng oplhet niveau van'de formele wet worden getroffen. Zie
"

'

•

*

'

*

,

*

*

'

daarvoor de bijlage bij de brief van de'Ministervan Justiti|,van 29 oktober 2008 aan de Voorzitter van
de Tweede Kamer der Staten-Generaal (Kamerstukken 11 2008/09, 31 700 VI, nr. 70), het rapport van de
Werkgroep herijking toezichtsregelg'eving, Den tH.aaf> augustus 2008.

Gebruik bij hetjontwerp van een wettelijke regeling de modelbepalingen.

X"

v

*/

"^

Geef in detoehchting'bij een"dergehjke regeling in ieder geval een behoorlijk gemotiveerde
rechtvaardiging van de beoogde gegevensverstrekking.

Effecten geïïrmk bestuursrechtelijke

instrumenten

Wbp - administratieve

lasten

16. Besteed bij de voorbereiding van wetgeving met betrekking t o t de bescherming van
persoonsgegevens aandacht aan het effect dat de toepassing van preventieve instrurnenten uit de Wbp
als de meldplicht en het voorafgaand onderzoek heeft ppadministratievë lasten en nalevingskosten.
Benut waar mogelijk alternatieve mogelijkheden als vrijstelling van de meldplicht of instelling van intern
toezicht in plaats van het aanvragen van een voorafgaand onderzoek.

110/252

Duthler ( S ) Associates.

Voor zover de noodzaak mocht bestaan om bij w e t of AMvB verwerkingen aan te wijzen die aan een
voorafgaand onderzoek moeten worden onderworpen wordt-afstemming met het Ministerie van
Justitie, Directie Wetgeving, gezocht. Op een voorstel van w e t of een ontwerpbesluit moet een advies
van het College bescherming persoonsgegevens worden gevraagd.

Transparantieverplichtingen

verantwoordelijke

^

17. Besteed in voorkomende gevallen in een memorie van toelichting of nota varutoelichtirig aandacht
aan de wijze waarop een bestuursorgaan, dat in de desbetreffende w e t of a|gemene^rnaatregè! v~arK
bestuur als verantwoordelijke voor de verwerking van persoonsgegevens wordt«aangewézen, inhoud
geeft aan zijn verplichtingen voortvloeiend uit hoofdstuk 5 W b p

^s

Artikel 43 Wbp

~n%

18. Artikel 43 W b p w o r d t niet gebruikt als grondslag voor sVstematische gegevensverstrekking tussen
"•"•"•'••

"•*.

*

v>

verantwoordelijken. Voor systematische gegevensverstrekking is veelal een afzonderlijke wettelijke
S

"r

regeling noodzakelijk. Artikel 43 Wbp is daarom geen voldoende duidelijke grondslag voor de
vaststelling van beleidsregels.

n

'

Grensoverschrijdend gegevensverkeer

'„'

'*? *, ',
19. Raadpleeg voor nadere informatie over gegevensverkeer met landen buiten de EU en de EER de
,!*+•"

,

7

'

" '

{

brief van de Minister van Justitiei,vah 9 maarf 2000 aan de voorzitter van de Tweede Kamer der StatenE

1

"*\

-ï " * ' l

Generaal (Kamerstukken'fhl999/2000, 27 043, nr 1) Op de website van het CBP is ook de nodige
'<-, u
' hV
'\^
achtergrondinformatie te vinden over dit onderwerp
Extern toezicht op de'naleving van wettelijke bepalingen met betrekking tot bescherming van
persoonsgegevens

J

~tl

20 -Het toekennen van toezicht op de naleving van wettelijke bepalingen met betrekking tot de
1
» * \
bescherming van persoonsgegevens en die vallen onder de reikwijdte van richtlijn nr. 95/46/EG, van
richtlijn nr. 2001/58/EG of van kaderbesluit nr. 2008/977/JBZ, aan andere organen dan het CBP is alleen
in zeer bijzonderegevallen mogelijk. In alle gevallen waarin dit wordt overwogen vindt voorafgaand
overleg met de directie Wetgeving van het Ministerie van Justitie plaats.
Intern toezicht op de naleving van wettelijke bepalingen met betrekking tot bescherming van
persoonsgegevens

111/252

Duthlér ©Associates

21. Overweeg bij de voorbereiding van wettelijke voorschriften met betrekking tot de bescherming
persoonsgegevens of het zinvol is een vorm van intern toezicht te regelen. Dat kan door de benoeming
van een functionaris voor de gegevensbescherming of een privacyfunctionaris voor te schrijven. Dat kan
aanvullend of alternatief door een privacyaudit of een protocolplicht voor te schrijven.

Vrijstellingsbesluit Wbp

•

^

J

22. Voorstellen tot aanpassing van het Vrijstellingsbesluit Wbp kunhen, mits voldoende gemotiveerd tot
het Ministerie van Justitie, directie Wetgeving/worden gericht. Het Ministerie van Justitie zal deze
voorstellen overigens bespreken met het georganiseerd bedrijfsleven en het College bescherming
<Fl"

*. ,

persoonsgegevens.

\

€" •"

/»
»

Besluit gebruik sofi-nummer

s

"^

-.

f"

>"•',

h

-<J?

,

23. Indien nieuw gebruik van het sofi-nummer wordtioverwogen, vindt in verband met de daarvoor

"<r«

~C

v

-,

v

noodzakelijke aanpassing van het Besluit gebruik sofi-nummer Wbp voorafgaand overleg plaats met de
directie Wetgeving van het Ministerie van Ju*st{t[e

112/252

" »s

©öthlert^l^ssööiilies.

Bijlage 4 Uitkomsten PIA's
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Onder-

Huidige situatie Wetsvoorstel Wmo 2015

Risico's

Opmerkingen

#

Toetsvraag

1

Wilt u als verantwoordelijke

Ja, het college is bevoegd tot het verwerken van de

Verwerking van andere persoonsgegevens dan die

Persoonsgegevens moeten in overeenstemming met

persoonsgegevens gaan gebruiken voor

persoonsgegevens van de cliënt, zijn echtgenoot en

van de cliënt levert het risico op dat meer gegevens

de wet en op behoorlijke en zorgvuldige wijze

de verwerking die u voorziet?

inwonende minderjarige kinderen, waaronder

worden verwerkt dan nodig voor het doel.

worden verwerkt, (art 6 Wbp)

Het risico bestaat dat er meer gegevens worden

Persoonsgegevens worden voor welbepaalde,

deel
Basisinformatie: type persoonsgegevens, type verwerking en noodzaak/ gegevensminimalisering

1

persoonsgegevens betreffende de gezondheid, (art
Zo ja, van welk type?

4.1.1 lid 1)

verwerkt dan nodig voor het doel, omdat het

uitdrukkelijk omschreven en gerechtvaardigde
doeleinden verzameld, (art.7 Wbp)

Het college is bevoegd de persoonsgegevens,

college bevoegd is tot het verwerken van de

waaronder persoonsgegevens betreffende de

persoonsgegevens van anderen dan de cliënt,

gezondheid, van de dient en de persoonsgegevens

namelijk zijn echtgenoot en inwonende

van zijn echtgenoot, inwonende minderjarige

minderjarige kinderen en hèt niet duidelijk is of de

kinderen en mantelzorger te verstrekken aan de

verstrekte gegevens beperkt zullen/kunnen

aanbieder die zich jegens het college heeft

worden gebruikt voor het doel, te weten de

verbonden tot het leveren van de

maatwerkvoorziening. Hetgaat bij deze

maatwerkvoorziening aan de cliënt, voor zover die

verstrekking vooral om persoonsgegevens

persoonsgegevens voor de uitvoering van de taken

betreffende de gezondheid.

van de aanbieder noodzakelijk zijn. (art 4.1.2 lid 2)

(...) Het ligt in de rede dat het college de aanbieder
daartoe de beschikking zal verstrekken waarin de
ondersteuning is toegekend, alsmede de gegevens

Duthler fl»SS0^ès
Toetsmodel PIA Rijksdienst
Onder-

#

Toetsvraag

Gegevensrelatie: Gemeenten-aanbieder
Huidige situatie Wetsvoorstel Wmo 2015

"V1

Risico's

Opmerkingen

y

deel

.

"

-

betreffende het daaraan voorafgaande onderzoek.

\

i\v

Daarmee krijgt de aanbieder de beschikking over
Tl * *

(bijzondere) persoonsgegevens van de cliënt. De

i

aanbieder van de maatwerkvoorziening is, anders
dan de aanbieder van een algemene voorziening,
bevoegd ook bijzondere persoonsgegevens te

v
M •"* %- ? *

a,
1-

verwerken, (artikelsgewijze toelichting 4.1.4 lid 1)
2

Andere specifieke persoonsgegevens?

2a

Is het de bedoeling om gegevens over

Een aanbieder die een maatwerkvoorziening levert

de financiële of economische situatie

en een derde van wie dexhent aan wie een budget is

van betrokkenen, of andere gegevens

verstrekt, maatschappelijke ondersteuning betrekt,

die kunnen leiden tot stigmatisering of

is bevoegd tot het verwerken van de [\

j.

>,%•*

~v-, i, ^...,

uitsluiting te verwerken?

^'•^-*

•
,t>
* Ü

\

alsmede persoonsgegevens van de mantelzorgervan - •
de cliënt, die hij hééft verkregen ten behoeve van de
uitvoering van de taken waartoe hij zich jegens het
i

'T

~*\

i

i *

-*.

college dantwel de'client heeft (verbonden en voor de
uitvoeringvan die taken noodzakelijkiziin. De
4 -

E, J

'

aanbieder respectievelijk de bedoelde derde is de
, verantwoordelijke voor deze verwerking, (art 4.1.4.
hd>l)
i

Een aanbieder die een algemene voorziening levert,
is bevoegd tot het verwerken van de

114/252

'

^-ïsr

verwerkt dan noclig,voor het doel.

'>

persoonsgegevens van de cliënt, waaronder
f f ' •< ^
~s
persoonsgegevens betreffende de gezondheid,

ï ^-t

Het risico besta*ayat meer gegevens worden

J;
™^

.,
'T

"" V

>?•*

BËJf^IëiSfesöëfifces
Toetsmodel PIA Rijksdienst
Onder-

#

Toetsvraag

Gegevensrelatie: Gemeenten-aanbieder
Huidige situatie Wetsvoorstel Wmo 2015

Opmerkingen

Risico's

deel

,.
persoonsgegevens die noodzakelijk zijn ten behoeve

•> *

van het leveren van de algemene voorziening. De
aanbieder is de verantwoordelijke voor deze

* '•

>

verwerking, (art 4.1.4. lid 2)

Indien iemand in aanmerking wenst te komen voor

A

een maatwerkvoorziening of een budget om zelf
ondersteuning in te kopen zullen zonder meer ook
persoonsgegevens inzake de gezondheid moeten

y-

r

worden verwerkt, (artikelsgewijze toelichting 4.1.1
lid 1 en 2)

'
i"
~t

^
"

""*

Na bepaling van het college dat een

,

s

maatwerkvoorziening gerechtvaardigheid is, is het
met het oog op goede behandeling, ondersteuning
en verzorging van de burger noodzakelijk dat

<

hulpverleners, instelling of voorzieningen de ^
persoonsgegeven? betreffende de gezondheid, **
mogen verwerken (§7 4 Memorie van Toelichting)

A''

^ •" .

>
115/252

Ou t h lérl^fassöelïés
Gegevensrelatie: Gemeenten-aanbieder

Toetsmodel PIA Rijksdienst
Onder-

Opmerkingen

»

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Risico's

2b

Is het de bedoeling om gegevens over

Dat het gaat om de verwerking van gegevens over

Het risico bestaat dat meer gegevens worden "!**. > •

kwetsbare groepen of personen te

kwetsbare groepen of personen zoals verstandelijk

verwerkt dan nodig voor het doel

verwerken?

gehandicapten. (Uitkomst eerste PIA § 7.3. Memorie

v

deel

s

*

-

van toelichting)
Vf

** •
>

"'*

%

Juist de doelgroep van dit wetsvoorstel, veelal een
kwetsbare groep, moet zo goed mogelijk bediend
worden in zijn of haar vraag naar maatschappelijke
ondersteuning zonder telkenmale dezelfde gegevens

"u, W

te moeten verstrekken. (§ 7.4. Memorie van
toelichting)
2c

Is het de bedoeling gebruikersnamen,

%

Niet vermeld in wetsvoorstel

1

tj

'^

Door onzorgvuldig beheer van gebruikersnamen,

f

wachtwoorden en andere

wachtwoorden en andere inloggegevens bestaat
*•

>

inloggegevens te verwerken?

Is het de bedoeling om uniek

Nee

%tj
*.-

^

het nsico^dat ongeautoriseerde toegang tot
persoonsgegevens wordt verkregen.

2d

;

''s

identificerende gegevens, zoals
biometrische gegevens, te

t
**

2e

ii

>

**

»

Is het de bedoeling om het BSN-

Ja, het opnemen van het bsn in de'admmistratie

Het wetsvoorstel sluit niet uit dat aanbieders de

Op grond van de Zvw en de Wmo 2007 mogen

nummer, of een ander

dient op zodanige wijze te geschieden, dat aan de
°>
f
~K
hand van het bsn vastgesteld kan worden op welke

beschikking krijgen over het bsn van de

thuiszorginstellingen het bsn verwerken.

betrokkene. De beschikbaarheid van het bsn stelt

persoon bepaalde persoonsgegevens betrekking

organisaties in staat betrokkenen uniek te

persoonsgebonden nummer te
verwerken?

116/252

•> .

K

verwerken?

„*

hebben Ook bij'deuitwisselmgvan

identificeren en om gegevens uit verschillende

persoonsgegevens voor de uitvoering van de

databanken te koppelen. Het risico bestaat dat in

onderhavige wet gebruiken de verschillende

strijd met de Wet algemene bepalingen

#ifch:felraifesö(~tatès
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Onder-

Huidige situatie Wetsvoorstel Wmo 2015

#

Töetsvraag

Opmerkingen

Risico's

deel
instanties het bsn. (Artikelsgewijze toelichting art

burgerservicenummer aanbieders in staat worden

4.1.6)

gesteld ook het bsn van de betrokkene te'» ^
verwerken.

3

Kan van elk van de onder vraag 1.1 en

Het college zal de aanbieder die hem de verstrekte

Het risico bestaat dat meer gegevens worden

Persoonsgegevens moeten in overeenstemming met

vraag 1.2 opgevoerde typen

ondersteuning gaat leveren, in het kader van de

verwerkt dan nodig is voor het doel

de wet en op behoorlijke en zorgvuldige wijze
worden verwerkt, (art 6 Wbp)

persoonsgegevens worden gesteld dat

opdrachtverlening aan die aanbieder de nodige

zij beleidsmatig of technisch direct van

informatie moeten verstrekken over de cliënt en de

belang en onontbeerlijk zijn voor het

aan deze toegekende ondersteuning.

bereiken van de beleidsdoelstelling?

(Artikelsgewijze toelichting art 4.1.4. lid 1).

, K

! ; s

">*

Persoonsgegevens worden voor welbepaalde,
'

*

•

•v

>

"

.

'

%

-

* i

uitdrukkelijk omschreven en gerechtvaardigde
doeleinden verzameld, (art 7 Wbp)

S
Omdat de gegevensverwerking gezien het gegeven* -p.

Deze vraag wordt in het wetsvoorstel niet

van maatwerk heel divers is, is het in.dit stadium „

beantwoord.

Wat zou er precies niet inzichtetijk

lastig te bepalen om welke gegevens het exact gaat. [

worden als ervoor wordt gekozen

Daarom zal op centraal niveau in een amvb worden

bepaalde gegevens niet te verwerken?

voorzien in het formuleren vantnadere criteria en ^ L<

(Licht per te verwerken

nadere eisen ten aanzien van belangrijke aspecten

persoonsgegeven toe.)

van de verwerking van persoonsgegevens

"

<fs5^

* «

(Artikelsgewijze toelichting H4)a,
*s*
'"

%

'C

* ,L

" *\ *

'ii

117/252

©tóMeiS
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Onder-

Huidige situatie Wetsvoorstel Wmo 2015

#

Toetsvraag

Risico's

Opmerkingen

, ,

deel

4

4

Kan als het gaat om gevoelige

Deze vraag wordt in het wetsvoorstel niet

persoonsgegevens hetzelfde

beantwoord.

V

,jGezien de aard van de dienstverlening in het kader

\

beleidseffect of technisch resultaat

.
~

' "

«•"

worden bereikt op een van de volgende

'i van de Wmo ligt afgezien van analysedoeleinden niet
,

",N

'

wijzen: (a) door (gecombineerd) gebruik

i,

"

f

voor de hand gegevens te anonimiseren.
Maatschappelijke ondersteuning richt zich
uiteindelijk op een persoon.

van normale persoonsgegevens, (b)
k

door gebruik van geanonimiseerde of
gepseudonimiseerde gegevens?
5

In welk breder wettelijk, beleidsmatig

Omdat de gegevensverwerking gezien het gegeven

HeLontbreken van een eensluidend technisch

Voor een juiste gegevensverwerking is vereist dat de

of technisch kader wordt het voorziene

van maatwerk heel divers is, is het in dit stadium

kader voorde gegevensverwerking vormt een

betekenis van een gegeven in verschillende

*~

beleid/databestand/informatiesysteem

lastig te.bepalen om welke gegevens het exact gaat

ontwikkeld en wat voor soort(en)

Daarom zal op centraal niveau in een amvb worden»

verwerking(en) van persoonsgegevens

voorzien in het formuleren van nadere criteria en t ,

gaan hiervan deel uitmaken bij het

nadere eisen ten aanzien van belangrijke aspecten

voorziene traject?

van de verwerking van persoonsgegevens , >

Wordt hierbij gebruikt gemaakt van

(Artikelsgewijze toelichting H4)i
*

c&

_.

(nieuwe) technologie of

•£

risico wanneer gegevens worden uitgewisseld
WK

In het algemeen geldt dat de kaders voor de
^

,

domeinen hetzelfde is. Een eensluidend technisch
kader verhoogt de zekerheid omtrent de
betrouwbaarheid van de verwerking van gegevens.

betrokken instanties duidelijk moeten zijn, omdat
anders een risico onstaat voor de correcte

Het beleidsmatige kader is in grote lijnen geschetst in

uitvoering van de Wmo, inclusief de

de brief van de staatssecretaris aan de tweede kamer

gegevensbescherming.

van 25-04-2013. De nadere invulling waar betrokken

}

i

s

informatiesystemen?

"**

ir

Beleidsmatig maakt het wetsvoorstel deel uit van de

Wmo actoren om vragen is nog niet gereed.

hervorming*van de langdurige zorg. Het wetsvoorstel
bevat geen breder technisch kader
"*

-

>

r '
^

^

Het wetsvoorstel vermeldt niet of er gebruik
gemaakt wordt van (nieuwe) technologie of
•

il

%

,

informatiesystemen *f

Doelbinding, koppeling, kwaliteit en profilering
1

118/252

•

Hebt u het/de specifieke doel(en)

«•

Het college is bevoegd tot het verwerken van de

Het specifieke doel waarvoor de persoonsgegevens

Persoonsgegevens worden voor welbepaalde,

B&Mëmi
Toetsmodel PIA Rijksdienst
Onder-

#

Toets vraag

Gegevensrelatie: Gemeenten-aanbieder
Huidige situatie Wetsvoorstel Wmo 2015

Opmerkingen

Risico's

deel
waarvoor u de persoonsgegevens gaat

persoonsgegevens van de cliënt, zijn echtgenoot en

worden verwerkt is onvoldoende in detail

verwerken in detail vastgesteld? Geldt

inwonende minderjarige kinderen, waaronder

vastgesteld. Evenmin is vastgelegd ten behoeve

hiervoor één en hetzelfde specifieke

persoonsgegevens betreffende de gezondheid, die

van welk doel persoonsgegevens aan andere ~ -

doel?

het college heeft verkregen ten behoeve van de

actoren kunnen worden overgedragen, dus moet

uitdrukkelijk omschreven en gerechtvaardigde

j.

t , doeleinden verzameld, (art 7 Wbp)

*
1

uitvoering van de taken die bij of krachtens deze wet

er hier dan van uitgegaan woröen dat dit hetzelfde"

aan het college zijn opgedragen en voor de

doel is'

'*

uitvoering van die taken noodzakelijk zijn. (art 4.2.1.
Er wordt zowel in art 4 2 1 lid 2 als in de Memorie

lid 2)

van •Toelichting gewezen naar de aan gemeente
Op het college rust ingevolge het wetsvoorstel de

^toegewezen taken als vojdoende onderbouwing

taak om zorg te dragen zorg voor de

voor de doelbinding Deze taken zijn echter in het

•- »

huidige wetsvoorstel nog breed omschreven.

maatschappelijke ondersteuning; in het,kader
^p

r

daarvan moet het college algemene voorzieningen^
treffen en aan personen die daarvoor najpnderzoek
van hun situatie in aanmerking komen, een
maatwerkvoorziening of een budget verstrekken

"y,

(artikelsgewijzetoelicr[ting4 1 fèersteMtd)
««.

't

*

* - •

* * ,

De verschillende actoren moeten kunnen beschikken
«.
*
"V
over eikaars relevante gegevens voorde uitoefening
i*

i-

t^téf

*>*

f

•*

van hun taak In het wetsvoorstel en AMvB zal
nauwkeurig worden*alngegeveïi welke actoren ten
behoeve van welk doel en onder welke
omstandigheden bevoegd zijn welke
"pêrsoöri'sgegeveris aan welke andere actoren over te
dragen *(§ 7 4 Memorie van Toelichting)

11 9/252

.©.

DüthlénS Associates
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Onder-

#

Risico's

Opmerkingen

,,

deel

*

\*

Aangezien de taak in het wetsvoorstel duidelijk is

- A«*

omschreven, is een verwijzing naar die taak
• * * •

^

V

S

4

afdoende om de doelbinding te onderbouwen. (§7.4
Memorie van Toelichting)
2

Gezien de gewijzigde rol van de gemeente in de

Het gaat niet om het gebruik van nieuwe

Het risico is dat bij nadere bepaling van de te

gebruik van nieuwe persoonsgegevens

persoonsgegevens. (Uitkomst eerste PIA § 7.3.

verwerken persoonsgegevens toch zal blijken dat

nieuwe Wmo situatie kan er sprake zijn van nieuwe

voor een bestaand doel, of bestaande

Memorie van toelichting)

er nieuwe persoonsgegevens verwerkt zullen

verwerkingen.

Gaat het bij het project/systeem om

worden die nieuwe risico'sVnet zich mee zullen

doelen binnen al,bestaande systemen?

^

w.

De uitkomst eerste PIA genoemd in de MvT

brengpn

(scenario toevoeging

\

nieuwe persoonsgegevens).
*•

jt

(paragraaf 7.3) is dat er geen gebruik wordt gemaakt
van nieuwe persoonsgegevens, terwijl de
daadwerkelijke gegevens nog bij Amvb moeten

* •

worden bepaald.

Persoonsgegevens worden slechts verwerkt voor
zover zij, gelet op de doeleinden waarvoor zij worden
verzameld of vervolgens worden verwerkt,
toereikend, ter zake dienend en niet bovenmatig zijn.

3

Gaat het bij het project/systeem om het

,

t

Het gaat om het gebruik van bestaande

'

nastreven van nieuwe/aanvullende

persoonsgegevens voor nieuwe doelen. (Uitkomst

doeleinden door bestaande

eerste^PIA § 7 3 Memorie van toelichting)

daarvan, te gebruiken, vergelijken,

doeleinden).

*

'*^\

delen, koppelen of anderszins verder te
verwerken? (scenario toevoeging

( a r t l l Wbp)
Het risico bestaat dat meer gegevens worden

Persoonsgegevens moeten in overeenstemming met

verwerkt dan nodig voor het doel.

de wet en op behoorlijke en zorgvuldige wijze
worden verwerkt, (art 6 Wbp)

Het risico bestaat dat persoonsgegevens verder

persoonsgegevens, of verzamelingen

120/252

,-.

Ö>

f(

T

i

worden verwerkt op een wijze die niet verenigbaar

Persoonsgegevens worden voor welbepaalde,

is met de doeleinden waarvoor ze zijn verkregen.

uitdrukkelijk omschreven en gerechtvaardigde

ï

doeleinden verzameld, (art 7 Wbp)

.•©öftfertB^ssec-ialës
Toetsmodel PIA Rijksdienst
Onder-

U

Toetsvraag

Gegevensrelatie: Gemeenten-aanbieder
Opmerkingen

Risico's

Huidige situatie Wetsvoorstel Wmo 2015

deel
!
*

Zo ja, hebben alle

Persoonsgegevens worden niet verder verwerkt op

'•e,

„ eenswijze die onverenigbaar is met de doeleinden

aX

personen/instanties/systemen die
f

waarvoor ze zijn verkregen, (art. 9 Wbp lid 1)
ii

betrokken zijn bij de verwerking
dezelfde doelstelling met de verwerking
van de desbetreffende
persoonsgegevens of is daarmee
••'%•,

l

-

t

spanning mogelijk gelet op hun taak of
hun belang?

Gelden dezelfde doelen voor het hele

j
* > <

proces?
-i

4

"-»

v

Indien u positief hebtgeantwoord op

Het wetsvoorstel gaat niet in op melding aan de FG

vragen 11.2 of 11.3, hoe wordt een

of aan de CBP

"**

dergelijk voorgenomen gebruik (d.w.z.

r

- ^ C\ -

gebruik van nieuwe persoonsgegevens
in bestaande systemen of van

* ti$K> •

"** i -

|

>Een niet gemelde verwerking in het kader van de

Een geheel of gedeeltelijk geautomatiseerde

Wmo is in principe onrechtmatig.

verwerking van persoonsgegevens, die voor de

K

verwezenlijking van een doeleinde of van

-De aanstelling van een FG binnen gemeentes is niet

verscheidene samenhangende doeleinden bestemd

wijdverbreid.

is, wordt gemeld, (art 27 lid 1)

bestaande persoonsgegevens voor
De verantwoordelijke meldt de verwerking alvorens

nieuwe doeleinden) gemeld aan: (a) de
^i

\

j.

j.

>

functionaris voor de

daarmee te beginnen bij het College of bij de

gegevensbescherming, of (b) het CBP

functionaris, (art 27 lid 3)

indien er geen FG is?

'

1

'

'

'i

121/252

•D,ui:t"hfVef{@tes'0C3aife(es
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Onder-

toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Risico's

Opmerkingen

Indien ü positief geantwoord hebt op

Deze vraagis in het wetsvoorstel niet beantwoord.

Het risico bestaat:dat onvoldoende maatregelen ,

Persoonsgegevens worden in overeenstemming met

zijn genomen die een rechtmatigevbehoorhjke en

de wet en op behoorlijke en zorgvuldige wijze
verwerkt, (art 6 Wbp)

#

deel
5

vragen 11.2 of 11.3, welke (nadere)
controles op een dergelijk gebruik

Er moet nog nader onderzocht worden welke

(d.w.z. gebruik van nieuwe

(nadere) controles op het gebruik van deze

zorgvuldige verwerking van persoonsgegevens v
*
borgen en een onnodige verzameling van"i

persoonsgegevens in bestaande

persoonsgegevens voor deze nieuwe doelen zijn

persoonsgegevens voorkomen

systemen of van bestaande

voorzien. Hier wordt gekeken naar hoe.het binnen

persoonsgegevens voor nieuwe

het SUWI domein is geregeld. (Uitkomst eerste PIA §

doeleinden) zijn voorzien?

7.3. Memorie van toelichting)

Persoonsgegevens worden slechts verwerkt voor
zover zij, gelet op de doeleinden waarvoor zij worden
• 1?

V*?
" **. '
-

. ^X< <
*\
-. % *

verzameld of vervolgens worden verwerkt,
toereikend, ter zake dienend en niet bovenmatig zijn.
(art 11 lid.1 Wbp)

De verantwoordelijke legt passende technische en
organisatorische maatregelen ten uitvoer om
persoonsgegevens te beveiligentegen verlies.of
tegen.enige vorm van onrechtmatige verwerking. [...]
(art 13 Wbp)

6

Welke periodieke en incidentele
controles zijn voorzien om de juistheid,
nauwkeurigheid en actualiteit van de in
het beleidsvoorstel, wetsvoorstel of
overheids ICT-systeem verwerkte
persoonsgegevens na te gaan?

Periodieke controles om de'jujstheid, *
y
J
*"-> *
^*
nauwkeurigheid en actualiteit en op ICT systeem
H
't*»
* «
verwerkte persoonsgegevens te controleren worden

zijn genomen om te waarborgen dat

opdat persoonsgegevens, gelet op de doeleinden

persoonsgegevens juist, nauwkeurig en actueel

waarvoor zij worden verzameld of vervolgens worden

per AmvB vastgelegd (Uitkomst^eerste PIA § 7 3

zijn.

verwerkt, juist en nauwkeurig zijn. (art 11.lid 2 Wbp)

Onjuiste gegevens levert het risico op van onjuiste

Gezien de hoeveelheid en variëteit van

beslissingen die diep in kunnen grijpen op de

persoonsgegevens zal het borgen van de juistheid,

tff
\f
Memorie van toelichting)
*

* - >'

ij

\ ^

Deze vraag is in het wetsvoorstel met beantwoord.
•**>

•"•-é

^

De verantwoordelijke treft de nodige maatregelen

"V

a .

•• i

Het risico bestaat dat onvoldoende maatregelen

T-

persoonlijke levenssfeer van betrokkenen.

V
Jr

nauwkeurigheid en actualiteit veel inspanning
vergen. Gezien de ingrijpendheid van Wmo
beslissingen is het borgen van juistheid,
nauwkeurigheid en actualiteit van persoonsgegevens
echter noodzakelijk.

122/252

M N terfllfessöëfafces
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Onder-

#

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Risico's

Opmerkingen

7

Zullen de verzamelde/verwerkte

Door de burger inzage te geven in de verzamelde en

Het risico bestaat dat betrokkene onterecht i n * l

Indien persoonsgegevens worden verkregen op een

persoonsgegevens.gebruikt worden om

te verstrekken gegevens wordt een waarborg

aanmerkelijke mate wordt getroffen door besluiten

andere wijze dan bedoeld in artikel 33, deelt de

het gedrag, de aanwezigheid of de

gecreëerd voor de juistheid van de gegevens

genomen op grond van gegevens vanuit

verantwoordelijke de betrokkene de informatie

prestaties van mensen in kaart te

conform artikel 33 en 34 van de Wbp. Per AmvB

verschillende aanbieders met ieder hun eigen

deel

•u?

-**•*

brengen en/ofte beoordelen en/of te

wordt nader uitgewerkt hoe dit in het proces van de

voorspellen? Zijn de betrokkenen

gegevensverwerking en de technische voorziening

daarvan op de hoogte?

wordt gewaarborgd. (§'7.4. Memorie van toelichting)

4

context.

*"

'

«*"

'

E

a '

>

\

«-

'

mede, bedoeld in het tweede en derde lid, tenzij
deze reeds daarvan op de hoogte is:
a. op het moment van vastlegging van hem

Het risico bestaat,dat meer gegevens worden
verwerkt dan nodig voor het doel

Zijn de gegevens die hiervoor worden

^*

betreffende gegevens, of
b. wanneer de gegevens bestemd zijn om te wórden
verstrekt aan een derde, uiterlijk op het moment van

gebruikt, afkomstig uit verschillende

Per (bijzonder) persoonsgegeven zal in de AmvB

(eventueel externe) bronnen en zijn zij

onderbouwd worden wanneer en waarom

Het nsicq.bestaat,dat"persoonsgegevens verder

oorspronkelijk voor andere doelen

verwerking moet plaatsvinden zonder uitdrukkelijke

worden verwerkt op een wijze die niet verenigbaar

verzameld?

toestemming van de betrokkene. (§ 7 4. Memorie

is met de'doeleinden waarvoor ze zijn verkregen.

v

de eerste verstrekking, (art 34 lid 1 Wbp)

t

van toelichting)

\

*

Per AmvB zal nader uitgewerkt worden h'oeiaandacht
wordt geschonken aan'de manier waarop

f"

een wijze die onverenigbaar is met de doeleinden

W

^

*ï""

Persoonsgegevens worden niet verder verwerkt op

l

'

waarvoor ze zijn verkregen, (art. 9 Wbp lid 1)

\

'* *

verantwoordelijken in concreto uitvoering geven aan"'
art34Wbp (§7 4 Memorie van toelichting)

*'""

?\
'*
-,\K
'^
Wanneer het aanbod.tot uitvoering,komt, is het
vanuit het oogpunt van eenuntegraal aanbod en het
uitgangspunt een gezin een plan één regisseur,
noodzakelijk dat ook de verschillende aanbieders die
bij de burger over de vloer komen, de uitvoering,
voortgang en beoogde resultaten op elkaar
afstemmen De professional of regisseur in een
huishouden krijgt met de hervorming van de

123/252

Duthler ISiösöeiStés
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Onder-

#

Risico's

Opmerkingen

i\
'S
*• %

deel

^
H

w

langdurige zorg meer ruimte om maatwerk te bieden

V ?
r

\ r

en wordt hierbij ondersteund door toegang te

"

U.

krijgen tot de meest,noodzakelijke informatie. Het is

^
-\

bijvoorbeeld noodzakelijk dat hulpverleners van
1

I

elkaar weten wie welke activiteiten verricht binnen
\

hetzelfde huishouden. (§ 7.4. Memorie van
**

r

toelichting)
Wordt bij deze

**

w
ii*-

8

\

ff

*

Deze vraag is in het wetsvoorstel niet beantwoord.

analyse/beoordeling/voorspelling

Niemand kan worden onderworpen aan een besluit

aanmerkelijke mate wordt getroffen door besluiten

waaraan voor hem rechtsgevolgen zijn verbonden of

^*t,

gebruik gemaakt van vergelijking van

ln.de technische infrastructuur zal gewaarborgd

«u.

persoonsgegevens die technisch

worden dat er geen automatische vergelijk v a n ^
J
v
gegevens is, maar eerder een soort dashboard voor^--

mensen zelf wordt uitgevoerd)?

mensen. (§ 7.4. Memorie van toelichting)

-

^»

^-

-»

%m

%

dat hem in aanmerkelijke mate treft, indien dat
besluit alleen wordt genomen op grond van een
geautomatiseerde verwerking van persoonsgegevens
bestemd om een beeld te krijgen van bepaalde

%„
ir

geautomatiseerde proces tot een

>i?A

die geautomatiseerd genomen worden zonder
A
%.&
" ^ 't
*'
menselijke tussenkomst

geautomatiseerd isfd.w.z. niet door

Zo ja, hoe wordt geregeld dat, indien dit

*

Het risico bestaat dat betrokkene onterecht in

aspecten van zijn persoonlijkheid, (art 42 Wbp)
^y-

'

7

beoordeling of voorspelling over een

Niet alleen de technische infrastructuur, maar vooral
de inrichting van besluitvormingsprocessen moet

bepaalde persoon leidt, hierop pas
•

concrete actie wordt ondernomen na

*

flft

^

menselijke tussenkomst garanderen.

tussenkomst en (tweede) controle van
>

(menselijk) personeel?

De technische infrastructuur kan (bijvoorbeeld in de
vorm van een informatiedienst) voorzien in de
verschaffing van alleen die aspecten van

* • *

l *

X

persoonsgegevens die relevant zijn voor de te nemen
beslissing, zonder andere aspecten te verwerken of
vrij te geven (dataminimalisatie).

Hl

124/252

Betrokken instanties/systemen en verantwoordelijkheid

Bu ïh ter!(H^ss0dates
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-aanbieder

#

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Risico's

Opmerkingen

1

Welke interne en externe instantie(s)

Het wetsvoorstel bevat geen informatie beschikbaar

Het risico bestaat dat beperkte transparantie over

De betrokkene wordt gezien als degene die gegevens

deel

over bestanden, infrastructuren etc.

ontvangers en verstrekkers van gegevens, alsmede", t verstrekt: Het college gebruik (primair)

voorziene verwerking in elk van de

gebruikte infrastructuren en deelbéstanden leidt

'gegevensbronnen en systemen binnen de gemeente

onder 1.5 onderscheiden fasen? Welke

In art 4.2.1 is de bevoegdheid van het college

tot minder zekerheid omtrent de betrouwbaarheid

zelf.

verstrekkers zijn er en welke

opgenomen om gegevens te verstrekken aan de

van gegevens.

ontvangers? Welke bestanden of

aanbieder. (§7.4 Memorie van toelichting)

en/of systemen is/zijn betrokken bij de

'\

*.

^

Het wetsvoorstel doet geen uitspraken en stelt geen

deelbe'standen en welke

De betrokkene*verliest na eenmalige verstrekking

eisen aan de bestanden, infrastructuren, etc van de

infrastructuren?

de grip op zijn persoonsgegevens, ook omdat

aanbieder.

Informatie is ook nodig om de aanbieder in staat te
stellen integrale dienstverlening aan de cliënt te

sprake is van meerdere (voor dé betrokkene niet-

verlenen. Wanneer het aanbod tot uitvoering komt,

transparante) gegevensbronnen Hierdoor ontstaat

is het vanuit het oogpunt van een integraal aanbod

het risico dat de betrokkene gevolgen ondervindt

en het uitgangspunt één gezin een plan een

van onjuist genomè'h beslissingen, bijvoorbeeld

regisseur, noodzakelijk dat ook de verschillende

',omdat deze zijn gebaseerd op verouderde of

aanbieders die bij de burger over de vloer komen, de

onjuistegegevens

uitvoering, voortgang en beoogde'resultaten op
elkaar afstemmen De professional of regisseur in
eenhuishouden krijgt met de hervorming van de
iMf*

' 1

j.

t

„

langdurige zorg meer ruimte, om maatwerk te bieden
^w.
•%. i

"*
•$

\

\

£*" (

l

en wordt hierbij ondersteund door toegang te
-V,

^^jf

knjgen,tot dè'meest noodzakelijke informatie Het is
bijvoorbeeld noodzakelijk dat.hulpverleners van
elkaar weten wie welke activiteiten verricht binnen
hetzelfdeihuishouden (§7 4 Memorie van
toelichting)

fc.

n

Voor continuïteit tussen de zorg en de ondersteuning
is het noodzakelijk dat via de gemeente informatie

125/252

Duthler ÊgÊë&m&dMès
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Onder-

Huidige situatie Wetsvoorstel Wmo 2015

Toetsvraag

Risico's

Opmerkingen

V >.

deel
over eerder verstrekte zorg wordt verstrekt aan de
aanbieder die in opdracht van de gemeente in het
kader van onderhavig wetsvoorstel de ondersteuning
gaat leveren. (§ 7.4 Memorie van toelichting)

' JS_ ff

%A.*

Een aanbieder die een maatwerkvoorziêning levert

Het risico bestaat dat de gemeente onvoldoende

Onderzoek CBP bij gemeenten naar de correcte

verantwoordelijk is voor de verwerking

en een derde van wie de dient aan wie een budget is

voorbereid en geëquipeerd is en dat als gevolg

gegevensbescherming in het kader van de uitvoering

van de persoonsgegevens? Zo ja, is deze

verstrekt, maatschappelijke ondersteuning betrekt,

daarvan de gegevensverwerking onrechtmatig is

van de Wmo leidde in 2011 tot een kritisch rapport.

persoon of organisatie daarop

is bevoegd tot het verwerken van de

en/of dat betrokkenen gevolgen ondervinden van

voldoende voorbereid en

persoonsgegevens van de dient, waaronder

onterechte beslissingen.

geëquipeerd wat betreft de nodiget %

persoonsgegevens betreffende de gezondheid,

Is (in ieder stadium) duidelijk wie

126/252

voorzieningen en maatregelen,

, -alsmede persoonsgegevens van de mantelzorger van

waaronder middelen, beleid,

de cliënt, die hij heeft verkregen ten behoeve van de

taakverdeling, procedures en intern

uitvoeringvan de taken waartoe hij zich jegens het

In juni 2012 stuurde de Minister van Sociale Zaken
naar alle gemeenten dat de informatiebeveiliging
rondom Suwinet dringend moest verbeteren.

DutMerfBB^söêtaÉé's
Toetsmodel PIA Rijksdienst
Onder-

#

Toetsvraag

Gegevensrelatie: Gemeenten-aanbieder
Huidige situatie Wetsvoorstel Wmo 2015

Opmerkingen

Risico's
i""

deel
toezicht?

college dan wel de cliënt heeft verbonden en voor de

" f -

uitvoering van die taken noodzakelijk zijn. De
?

'

*

•

'

•

"

aanbieder respectievelijk de bedoelde derde is de
verantwoordelijke voor deze verwerking, (art 4.1.4.
lid 1)
\ - >

'

!

Een aanbieder die een algemene voorziening levert,
is bevoegd tot het verwerken van de
persoonsgegevens die noodzakelijk zijn ten behoeve^
van het leveren van de algemene voorziening. De
aanbieder is de verantwoordelijke voor deze
verwerking, (art 4.1.4. lid 2)

Deze analyse van nodige voorzienmgen'en

4

"•f

maatregelen is in het wetsvoorstel>met vermeld
3

Wie binnen uw organisatie, en elk van

Deze vraag is in het wetsvoorstel metjjeantwobrd

de andere betrokken organisaties,

\

"

"""ja

, Het niet opnemen van dit element vormt een risico

Onderzoek CBP bij gemeenten naar de correcte

voor de rechtmatigheid van de verwerking.

gegevensbescherming in het kader van de uitvoering
van de Wmo leidde in 2011 tot een kritisch rapport.

krijgen precies toegang tot de
persoonsgegevens?
\

Bestaat de kansdat bij het gebruik
ervan de gegevens ter beschikking

In juni 2012 stuurde de Minister van Sociale Zaken
Y

r*V

komen van onbevoegden?

_

>

naar alle gemeenten dat de informatiebeveiliging
rondom Suwinet dringend moest verbeteren.

1

\

127/252

©ü£hterlilfess©£i:a£êS'
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-aanbieder

#

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

4

Geldt voor een of meer van de

In talloze internationale en nationale wettelijke

betrokken instanties een beperking van

regels is gewaarborgd dat de informatie, waarover

Opmerkingen

Risico's

deel

de mogelijkheid om persoonsgegevens

een hulpverlener beschikt, over personen die zich

te verwerken als gevolg van

om hulp tot hem hebben gewend, geheim is. De

geheimhoudingsverplichtingen (in

hulpverlener heeft een zwijgplicht met betrekking

verband met functie/wet)?

tot de kennis die hij bij de uitoefening van zijn

-*
-i

J,

beroep heeft verkregen; deze zwijgplicht mag, tenzij

t

er sprake is van expliciete toestemming van de
cliënt, slechts doorbroken worden als daarvoor een ,
goede, bij voorkeur wettelijke, grond bestaat. Het
vierde lid legt ook aan de toezichthouder een <*
geheimhoudingsplicht op ten aanzien van^de
cliëntgegevens die voor de betrokken!'

.*

beroepsbeoefenaar onder het beroepsgeheim vallen
(Artikelsgewijze toehchtingjartikel 5 1 vierde lid)
f*>
r

4

V

Deze geheimhoudingsphchten gelden, net als het
beroepsgeheim, jegens iedereen en gaat, als het om
documenten gaat, boven de Wet openbaarheid van
^t

bestuur

fs.

Vt

' \
Ha,

128/252

~ <.

' >

\

s **

*
't

_j

r-

\
-, X

,
I" D

.,

>

DuthtèdllStesöctates
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Onder-

#

Risico's

Opmerkingen

"•
{

deel
5

Zijn alle stappen van de verwerking in

Het niet opnemen van dit element vormt een risico^ . In navolging van de PIA moete deze gegevens en

Deze analyse is in het wetsvoorstel niet uitgevoerd.

voor de rechtmatigheid van de verwerking

de zin van soorten gegevens en
uitwisselingen, in kaart gebracht ofte

^

=

,.

* ,

uitwisselingen in kaart worden gebracht.
v •>

brengen, zodanig dat daardoor voor de
betrokkenen inzichtelijk is bij wie,
waarom en hoe de persoonsgegevens

"/**--

.

I

- "

worden verwerkt?

*

6

Zijn er beleid en procedures voorzien

Beleid en procedures voor het creëren en bijhouden

voor het creëren en bijhouden van een

van een verzameling van de persoonsgegevens zijn_

verzameling van de persoonsgegevens

niet voorzien in het wetsvoorstel.

-

'

-

..

* Het niet'opnemen van dit element vormt een risico

Binnen gemeenten is er vanzelfsprekend veel

voorde rechtmatigheid van de verwerking.

ervaring met de verwerking van persoonsgegevens.
De mate van compliance aan de Wbp verschilt per
gemeente.

die u wilt gaan gebruiken?
Zo ja, hoe vaak en door wie zal de
verwerking worden gecontroleerd?

X
*

iv

<

*>• s -,

"' '
*-f

Omvat de verzameling een verwerking
die namens u wordt uitgevoerd
(bijvoorbeeld door een
onderaannemer)?
7

Is er sprake van overdracht van

*V

Nee

s.

"f

persoonsgegevens naar een (overheids)
instantie buiten de EU/EER? Heeft dit
land een niveau van
gegevensbescherming dat als passend is
beoordeeld door een besluit van de

129/252

Duthler IllfesÈïeiliës
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Onder-

#

Opmerkingen

Risico's

\.ï.

deel
Europese Commissie of de Minister van
Veiligheid en Justitie? Worden daarbij
alle of een gedeelte van de
persoonsgegevens doorgegeven?

t-

HV»

v- J

'•*
*

•*k

T t"

Beveiliging en bewaring/vernietiging

IV
1

Is het beleid met betrekking tot

Deze controle is in het wetsvoorstel niet uitgevoerd.

gegevensbeveiliging binnen uw
organisatie op orde? Zo ja, wie/welke

Het niet opnemen van dtt element vormt een risico

Bij artikel 4.1.4. gaat het om de aanbieders als

voor de/.echtmatigheid van de verwerking

verantwoordelijke voor de verwerking van
persoonsgegevens.

Bij algemene maatregel van bestuur wordt, op

afdeling(en) is/zijn binnen de

voordracht van Onze Minister van Veiligheid en

organisatie verantwoordelijk voor het

Justitie Onze.Minister, bepaald aan welke

opstellen, implementeren en

beveiligingseisen de in dit hoofdstuk bedoelde

handhaven hiervan? Is dit beleid

verwerking van persoonsgegevens voldoet (art

specifiek gericht op

4 2 9)

4-

»

>*
Er bestaan algemene standaarden / kaders waarmee

v

t

'

*'*

*>,

aanbieders beleid specifiek gericht op
gegevensbescherming en gegevensbeveiliging

^"

doorvoeren en meetbaar maken. Het wetsvoorstel

•
t^

doet geen uitspraken en stelt geen eisen aan de

gegevensbeschermingen
gegevensbeveiliging ?

In die amvb zal preciezer worden opgenomen om

gegevensbescherming en gegevensbeveiliging van de

welke persoonsgegevens het gaat, op welke wijze

aanbieder.

persoonsgegevens worden verwerkt en volgens
welke technische standaarden dat plaatsvindt Ook
zullen de beveiligingseisen daann,een plaats krijgen
(artikelsgewijze toelichting H4)
*

y *?

"n

-4- '

*

V

"^De wijze wa°arop de beveiliging, bewaring en
vërnietiging.yan gegevens plaats gaat vinden wordt
nader uitgewerkt in de beslissing voor welke
technische voorziening ondersteunend gaat zijn aan
de gegevensverwerking zoals opgenomen in het

130/252
.©.

#a€Mêiiilfes©eii£ês
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Onder-

Huidige situatie Wetsvoorstel Wmo 2015

#

Toetsvraag

Opmerkingen

Risico's

deel
wetsvoorstel. (Uitkomst eerste PIA § 7.3. Memorie
v

van toelichting)
2

Indien (een deel van) de verwerking bij

'

In artikel 4.1.4. zijn geen bewerkers aangewezen

een bewerker plaatsvindt, hoe draagt u
zorg voor de gegevensbeveiliging, en

1

^

*•*

het toezicht daarop, bij die bewerker?

3

Welke technische en organisatorische

Deze vraag is in het wetsvoorstel niet beantwoord.

Het niet opnemen van dit element vormt een risico

J1

r

**

"

voor de recfitmatïgheid van de verwerking

beveiligingsmaatregelen zijn getroffen
\

*~

Bij artikel 4.1.4. gaat het om de aanbieders als

r

verantwoordelijke voor de verwerking van
persoonsgegevens.

ter voorkoming van niet-geautoriseerde

Bij algemene maatregel van bestuur wordt, op

of onrechtmatige verwerking/misbruik

voordracht van Onze Minister van Veiligheid en

van (a) gegevens die in een

Justitie Onze Minister, bepaald aan welke^

geautomatiseerd format staan (bv.

beveiligingseisen de in dit hoofdstuk bedoelde

aanbieders beleid specifiek gericht op

wachtwoord-bescherming.

verwerking van persoonsgegevens voldoet (art

gegevensbescherming en gegevensbeveiliging

versleuteling, encryptie) en (b)

4 2 9)

IS,

-. —

*

v

,

I

Er bestaan algemene standaarden / kaders waarmee

doorvoeren en meetbaar maken. Het wetsvoorstel
doet geen uitspraken en stelt geen eisen aan de

gegevens die handmatig zijn
opgetekend bv. sloten op kasten)?

In die amvb zal preciezer worden opgenomen om

gegevensbescherming en gegevensbeveiliging van de

welke persoonsgegevens het gaat, op welke wijze
5> / - >
•? s
>_»
persoonsgegevens worden verwerkt en volgens

aanbieder.

Is er een hoger beschermingsniveau om
gevoelige persoonsgegevens te

welke tech'nische standaarden dat plaatsvindt Ook

CBP uitsprakenizorg:rStichting RPZ handelt in strijd

beveiligen?

zullen de beveihgirigseisen*claarin een plaats krijgen.

met artikel 13 Wbp nuzij tekortschiet in1 het treffen

y.

s

%'

(artikelsgewijze toelichting H4)
;
De wijze waarop de beveiliging bewaring en
vernietiging van gegevens plaats gaat vinden wordt

van passende organisatorische en technische
beveiligings-maatregelen 'om medische
persoonsgegevens te beveiligen tegen verlies of
tegen enige vorm van onrechtmatige verwerking.

nader uitgewerkt in de beslissing voor welke
technische voorziening ondersteunend gaat zijn aan

• De verantwoordelijke legt passende technische en
131/252

Duthlër (ra) Associates
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

Toetsvraag

Huidige situatie Wetsvoorstel Wino 2015

Onder-

#

Risico's

1
"

^

,
'i'T

Opmerkingen

deel
r.organisatorische maatregelen téh uitvoer om

de gegevensverwerking zoals opgenomen inhet
1,

wetsvoorstel. (Uitkomst eerste RIA § 7.3. Memorie

persoonsgegevens te'beveiligen tegen verlies of
tegen enige vorm van onrechtmatige'verwerkirig.

van toelichting)
-

Deze:maatregelén garanderen, rekening houdend
met de stand van de techniek en de kosten van de
tenuitvoerlegging, een passend beveiligingsniveau

<•

gelet op de risico's die de verwerking en de aard van
te beschermen gegevens met zich meebrengen; De

,

'v '

maatregelen zijn er mede op gericht onnodige
verzameling en veröere verwerking van
persoonsgegevens fe voorkomen, (art 13 Wbp)

\
X
tt

4

Zie IV.3.

Welke procedures bestaan er in geval

""""

van inbreuken op
beveiligingsvoorschriften, en voor
het detecteren ervan? Is er een
calamiteitenplan om het gevolg van een
onvoorziene gebeurtenis waarbij

-

5 ,

\

persoonsgegevens worden blootgesteld
aan onrechtmatige verwerking of
verlies van persoonsgegevens af te
handelen?

132/252

* '

\
H

1

1,

'

#«h:fëf«lMs0ëiatesv
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-aanbieder

#

Toetsvraag

Huidige situatie Wetsvoorstel Wmo 2015

Risico's

5

Hoe lang worden de persoonsgegevens

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormt een risico

Over bewaartermijnen wordt alleen in het

voor de rechtmatigheid van de verwerking

wetsvoorstel gesproken in het kader van SHG. Bij

Onder-

Opmerkingen

•, v

deel

bewaard? Geldt dezelfde

%^

>

artikel 4 1.1. niet.

bewaartermijn voor elk van de typen

De wijze waarop de beveiliging, bewaring en

van verzamelde persoonsgegevens? Is

vernietiging van gegevens plaats gaat vinden wordt

het project onderworpen aan enige

nader uitgewerkt in de beslissing voor welke

wettelijke/sectorale eisen met

technische voorziening ondersteunend gaat zijn aan

het sociale domein kunnen verschillende

betrekking tot bewaring?

de gegevensverwerking zoals opgenomen in het

bewaartermijnen voortvloeien.

V

f

Uit de verschillende regimes van de subsectoren van .

wetsvoorstel. (Uitkomst eerste PIA § 7.3. Memorie
van toelichting)
6

Het niet opnemen van dit element vormt een risico

Zie IV.5.

Op welke beleidsmatige en technische

voor de rechtmatigheid van de verwerking.

gronden is deze termijn van bewaring
•t

vereist?
7

Welke maatregelen zijn voorzien om de

•-

Het niet opnemen van dit element vormt een risico

Zie IV.5.

persoonsgegevens na afloop van de

1

bewaartermijn te vernietigen? Worden

\

alle persoonsgegevens, inclusief log-

i

\

N.

- voor de rechtmatigheid van de verwerking.

feJ
.<;

gegevens, vernietigd? Is er controle op
de vernietiging, en door wie?
V

Transparantieenrechten van betrokkenen

"vm

*_,

-^

>>•» \

133/252

Duth.ler
Gegevensrelatie: Gemeenten-aanbieder

Toetsmodel PIA Rijksdienst
Onder-

#

Risico's

Huidige situatie Wetsvoorstel Wmo 2015

Toetsvraag

>"

Opmerkingen

*-

deel
,

1

-3*

Het niet opnemen van dit element vormt eenVisiro'

Deze analyse is in het wetsvoorstel niet uitgevoerd.

•Is het doel van het verwerken van de

v

f geldt dat de aanbieder hun gegevens verkrijgt zonder

voor de rechtmatigheid van de verwerking* •.

gegevens bij de betrokkenen bekend of

hun medeweten, (art 4.2.1. lid 2) Dan geldt artikel 34

kan het bekend gemaakt worden? Wat

Vanuit het oogpunt van cliëntvriendelijkheid hoeft

is de procedure om betrokkenen indien

de burger de aan gemeente verstrekte gegevens niet

Wbp
r?

**"

nodig te informeren

nogmaals te verstrekken bij de aanbieder. Juist de

over het doel van de verwerking van

doelgroep van dit wetsvoorstel, veelal een

hun persoonsgegevens?

kwetsbare groep, moet zo goed mogelijk bediend

Voor de verwerking van gegevens van de betrokkene

*t
/•

Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt de
verantwoordelijke de betrokkene de informatie

worden in zijn of haar vraag naar maatschappelijke
ondersteuning zonder telkenmale dezelfde gegevens

l

^

mede, bedoeld in het tweede en derde lid, tenzij
deze reeds daarvan op de hoogte is:

te moeten verstrekken. Door de burger inzage te
r-v

geven in de verzamelde en te verstrekken gegevens

,*

••

a. op het moment van vastlegging van hem

wordt een waarborg gecreëerd voor de )ui theid van

betreffende gegevens, of

de gegeven conform artikel 33 en 34Avan de Wbp (§ "

b. wanneer de gegevens bestemd zijn om te worden

7 4 Memorie van toelichting)

verstrekt aan een derde, uiterlijk op het moment van

»s,

**.

de eerste verstrekking, (art 34 lid 1)
Een belangrijk deel van de voordelen wordt niet of „ n
maar beperkt behaald indien de cliënt expliciet
5
*

f-j

ft

H<

toe temming moet geven (het is een vertragende
*

•

„<•

" J *

factor in het proces van beoordeling en uitvoering)
* ->
,
(§7 4 Memorie van toelichting) •
4 U

2

*- 1

t

Indien u de persoonsgegevens direct

Een belangrijk deel van de voordelen wordt met of

Het niet opnemen van dit element vormt een risico

Voor de verwerking van gegevens van de betrokkene

van de betrokkenen verkrijgt, hoe stelt

maar'beperktbehaaïd'indien de cliënt expliciet

voor de rechtmatigheid van de verwerking.

geldt dat de aanbieder hun gegevens verkrijgt zonder

u hen van uw identiteit en het doel van

toestemming moet geverï?(het is een vertragende

hun medeweten, (art 4.2.1. lid 2) Dan geldt artikel 34

factor in het proces van beoordeling en uitvoering).
•*
\
tS*
*(§ 7 4 Memorie van toelichting)

Wbp:

de verwerking op de hoogte voor het
moment van verwerking?

r

Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deeltde

134/252

.•DMfól&F?
Toetsmodel PIA Rijksdienst
Onder-

#

Toetsvraag

Gegevensrelatie: Gemeenten-aanbieder
Huidige situatie Wetsvoorstel Wmo 2015

Risico's

Opmerkingen

*
i

deel

t

"

V

t verantwoordelijke de betrokkene de informatie

È

( mede, bedoeld in het tweede en derde lid, tenzij

deze reeds daarvan op de hoogte is:
a.op het moment van vastlegging van hem
u, *

*

i

betreffende gegevens, of
b. wanneer de gegevens bestemd zijn om te worden

~^.
*

3

Indien u de persoonsgegevens via een

Deze analyse is in het wetsvoorstel niet uitgevoerd. ^

verstrekt aan een derde, uiterlijk op het moment van

^^ ^
ï

T.

J?
\

-i-i

i"

de eerste verstrekking, (art 34 lid 1)

Het niet opriemënyahdit elemèfit vormt een.risico
.voor de" rechtmatigheid van de verwerking.

andere (overheidsorganisatie verkrijgt,
hoe zullen de betrokkenen van uw
identiteit en het doel van de verwerking

A

op de hoogte worden gesteld op het

i

moment van verwerking?

/L

'a

Een belangrijk deel van de voordelen wordt*hiet of

RISICO dat genomen maatregelen onvoldoende

van persoonsgegevens aan.de

maar beperkt behaald indien de dient expliciet *

^toereikend zijn. Het niet opnemen van dit element

andere wijze dan bedoeld in artikel 33, deelt de

betrokkene vraagt

toestemming moet geven (het is een«vertragende
'"
?
% e
>»f

vormt een risico voor de rechtmatigheid van de

verantwoordelijke de betrokkene de informatie

verwerking.

mede, bedoeld in heMweede en derde lid, tenzij

Indien u toestemming tot verwerking

(opt-in), kan de betrokkene deze
toestemming dan opeen later tijdstip
weer intrekken (opt-out)? Bij een
weigering toestemming te geven, of bij
een dergelijke intrekking, wat is dan de
implicatie voor de betrokkene?

*?•*

*^-

t

"\

Indien persoonsgegevens worden verkregen op een

factor in het,proces van beoordeling ensuitvoering)
deze reedsdaarvan op de hoogte is:
(§7 4 Memorie van toelichting)?

«>

'-\f :'% .

In het wetsvoors'tel^wordt de vraag over het
^intrekken van toestemming (opt-out) tot verwerking
niet beantwoord
*•

i

a. op het moment'van vastlegging van hem
betreffende gegevens, of
b. wanneer de gegevens bestemd zijn om te worden
verstrekt.aan een derde, uiterlijk op het moment van
de eerste verstrekking, (art 34 lid 1 Wbp)

135/252

-©uth'.l'éM
Gegevensrelatie: Gemeenten-aanbieder

Toetsmodel PIA Rijksdienst
Onder-

#

Toetsvraag

Risico's

Deze vraag is in het wetsvoorstel niet beantwoord.

Risico dat genomen maatregelen onvoldoende \ ' '

deel

*j
5

Via welke procedure hebben

Opmerkingen

Huidige situatie Wetsvoorstel Wmo 2015

'
•r
"V

betrokkenen de mogelijkheid zich tot de

toereikend zijn. Het niet opnemen^yan dit element'^

verantwoordelijke te

De persoon van wie de gegevens zijn opgeslagen en

vormt een risico voor de rechtmatigheid van deV-

wenden met het verzoek hen mede te

worden verwerkt heeft het recht deze gegevens in te

verwerking

delen of hun persoonsgegevens worden

•

t _

redelijke tussenpozen tot de verantwoordelijke te
wenden met het verzoek hem mede te delen of hem
betreffende persoonsgegevens worden verwerkt. De

~
* '

zien. (art 4.1.5.)

De betrokkene heeft het recht zich vrijelijk en met

K

«

verantwoordelijke deelt de betrokkene schriftelijk
binnen vier weken mee of hem betreffende

verwerkt?

persoonsgegevens worden verwerkt, (art 35 lid 1

Hoe worden derden, die mogelijk

De cliënt heeft recht op inzage in zijn

bedenkingen hebben tegen een

persoonsgegevens. Daarbij hoeft de cliënt niet aan te

dergelijke mededeling, in

geven waarom hij inzage wil. (artikelsgewijze

de gelegenheid gesteld hun zienswijze

toelichting 4.1.5. lid 1)

H, 4

Wbp)

-i.

>

'1

j.

te geven?
Transparantie voor de burger in welke gegevens op^s
welke manier worden verwerkt wordt per AmvB
-4

S-

vastgelegd, (Uitkomst eerste PIA § 7 3 Memorie van »
6

•y
*

*

RISICO dat genomen maatregelen onvoldoende

Degene aan wie overeenkomstig artikel 35 kennis is

4

' *" v

toereikend zijn. Het niet opnemen van dit element

gegeven van hem betreffende persoonsgegevens,

verwijdering of

w
^
De persoon van wie de gegevens zijn opgeslagen,

vormt een risico voor de rechtmatigheid van de

kan de verantwoordelijke verzoeken deze te

afscherming van persoonsgegevens in

heeft het recht te verzoeken de gegevens te laten

verwerking.

verbeteren, aan.te vullen, te verwijderen, of af te

behandeling worden genomen?

corrigeren (art 4 1 5 lid 2)

betrokkene tot verbetering, aanvulling,

\.t

.'

* j-

*

Y

v

Op basis van de inzage in zijn gegevens kan de cliënt
* A,

de" verantwoordelijke verzoeken de
*
^«
»
persoonsgegevens te verbeteren, aan te vullen, te
"«ïj,

schermen indien deze feitelijk onjuist zijn, voor het

- f

^ v"(

*»<

doel of de doeleinden van de verwerking onvolledig
of niet ter zake dienend zijn dan wel anderszins in
strijd met een wettelijk voorschrift worden verwerkt.
Het verzoek bevat de aan te brengen wijzigingen, (art

ijl)

verwijderen of af te schermen, (artikelsgewijze
toehchtmg"4 1.5. lid 2)

136/252

<-

toelichting)
*jv
"^ „
i>f
Deze vraag is in het wetsvoorstel niet beantwoord

Hoe kan een verzoek van een

36 lid 1 Wbp)

•©•tiiüitë'Hral/Msod^ës.
Toetsmodel PIA Rijksdienst
Onder-

#

Toetsvraag

Gegevensrelatie: Gemeenten-aanbieder
Huidige situatie Wetsvoorstel Wmo 2015

Risico's

Opmerkingen

a
«s

deel
De vragen met betrekking tot verwijdering of
afscherming van persoonsgegevens worden in het
wetsvoorstel niet beantwoord.

1

4

1

*

"V *

137/252

Düthlér ÊMÊÈmmmiêsT o e t s m o d e l PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Zorgverzekeraar-Gemeente
Risico's

Huidige situatie Wetsvoorstel Wmo

s'

Opmerkingen

t

deel
Basisinformatie: t y p e persoonsgegevens, t y p e v e r w e r k i n g e n n o o d z a a k / g e g e v e n s m i n i m a l i s e r i n g

1
1

*>•-

*;•>

\ »

i*
Persoonsgegevens moeten in overeenstemming met

Wilt u als verantwoordelijke

Een zorgverzekeraar en een zorgaanbieder als bedoeld in

persoonsgegevens gaan gebruiken voor

de Zorgverzekeringswet zijn bevoegd uit eigen beweging

de dient levert het risico op dat meer gegevens "

de wet en op behoorlijke en zorgvuldige wijze worden

de verwerking die u voorziet? Zo ja, van

en desgevraagd verplicht aan het college kosteloos de

worden verwerkt dan nodig voor het doel _

verwerkt, (art 6 Wbp)

welk type?

persoonsgegevens te verstrekken van een verzekerde
Het wetsvoorstel beperkt zich tot de"verstrekking van

Persoonsgegevens worden voor welbepaalde,

ingevolgde die wet, die zorg als omschreven in die wet
ontvangt of heeft ontvangen en in aanvulling of in
aansluiting daarop aangewezen is of kan zijn opeen ^

persoonsgegevens in de rejatie'zorgverzekeraar*,«
^-* '
' ^gemeente Het^wetsvoorstel plaatst deze verstrekking
",\A.

*

••

t

maatwerkvoorziening, voor zover die persoonsgegevens^

niet in,het kader van een (bestaande) verwerking. Ook

noodzakelijk zijn voor de uitvoering van de taken die

"tie verantwoordelijke van de verwerking wordt
\
daarmee niet vastgesteld. Het niet opnemen van dit

krachtens deze wet aan het college zijn opgedragen.,(art.
4.2.7 lid 1)

•"

v

element vormt een risico voor de rechtmatigheid van
dè*verwerking. ((Er staat niets over de relatie

Met het oog op integrale dienstverlening vanuit de

\

verschillende onderdelen van het sociale domein [ ] . *

-^

' i, 'iV

"'

, -

bepaalt dit artikel dat zorgverzekeraars en - *
f

" r

,

* -..

zorgaanbieders in de zin van de Zorgverzekeringswet aan
v

*

"'t

het college'persoonsgegevens mogen en moeten
verstrekken van verzekerden die zorg ontvangen [ ]
4ÜF
'"*•«• ' ' f
(aijikelsgewijze toelichting 4 2 7 lid 1)

138/252

"

Verwerking van andere persoonsgegevens dan die van

zorgverzekeraar-gemeente in paragraaf 4.1. van de
wettekst.))

uitdrukkelijk omschreven en gerechtvaardigde
doeleinden verzameld, (art 7 Wbp)

MhfeFlll^sMëtês
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Zorgverzekeraar-Gemeente
Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

2

Andere specifieke persoonsgegevens?

Het is niet de bedoeling dat daarbij persoonsgegevens

Vanwege 'in het algemeen' krijgt de formulering een

Niemand kan worden onderworpen aan een besluit

omtrent de gezondheid worden uitgewisseld; het gaat

open karakter. Dat levert het risico op dat de

waaraan voor hem rechtsgevolgen zijn verbonden of

erom dat het college tijdig op de hoogte is van de

doelbinding wordt overschreden

deel

>i

•"

mogelijke behoefte aan ondersteuning en op basis van

•

">

'-

"~

dat hem in aanmerkelijke mate treft, indien dat
besluit alleen wordt genomen op grond van een

de gegevens contact met betrokkene kan zoeken.

Het risico bestaat dat meer gegevens wo'fden verwerkt

Daaïom is het in het algemeen voldoende dat

dan nodig voor het doel'
<t r V

geautomatiseerde verwerking van persoonsgegevens

• t

contactgegevens worden verstrekt of dat de gemeente

•*

"'

,

kan inzien middels een 'hit no hit systeem' dat een
^

persoon die melding doet bij de gemeente voor

^

' *^^

bestemd om een beeld te krijgen van bepaalde
aspecten van zijn persoonlijkheid, (art 42 Wbp)

^
'^

^
{

ondersteuning ook vanuit de zorgverzekeraar zorg

t-

*
M

' - l ' \

is

*»

^

k

\ S

*.?>

ontvangt, (artikelsgewijze toelichting 4.2.7. lid 1)_
i'-

Om als gemeente een integraal beeld të krijgen van de
burger en te weten of de burger rechttiêeft op

\
,,

s

-i 1

ondersteuning, is het noodzakelijk dat de ~
\ *

^ '

i"

*

zorgverzekeraar een gebeenten een 'signaal kunnen
l
*"
*** ^^
«T <
doorgeven wanneer'iemand is uitbehandeld>vanuit de
(
V>
i
"*<•»
\-«.
^
v
*
V '**
Zvw en mogejjjk nog wel ondersteuning vanuit dë'Wmo

2a

Is het de bedoeling om gegevens over de

nodig heeft (§7 4 Memorie van Toelichting)
v
*.,
—
\
Met rïèt oog op integraje dienstverlening vanuit de

Risico dat betrokkene in aanmerkelijke mate wordt

financiële of economische situatie van

verschillende onderdelen van het sociale domein [...]

getroffen door besluiten genomen op grond van

betrokkenen, of andere gegevens die

bepaalt dit'artikel dat zorgverzekeraars en

gegevens uit verschillende subsectoren uit het sociale

kunnen leiden tot stigmatisering of.

zorgaanbieders in de zin van de Zorgverzekeringswet aan

domein.

uitsluiting te verwerken?

het college persoonsgegevens mogen en moeten
fi

* *

verstrekken van verzekerden die zorg ontvangen. [...]

Het risico bestaat dat meer gegevens worden verwerkt

(artikelsgewijze toelichting 4.2.7. lid 1)

dan nodig voor het doel.

139/252

• e-

Duthler (ÜS» Associates
—

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

-

—

• - • •

—

Gegevensrelatie: Zorgverzekeraar-Gemeente
Huidige situatie Wetsvoorstel Wmo

RISICO'S

deel

->
2b

Is het de bedoeling om gegevens over

Dat het,gaat om de verwerking van gegevens over

kwetsbare groepen of personen te

kwetsbare groepen of personen zoals verstandelijk

verwerken?

gehandicapten (Uitkomst eerste PIA § 7.3. Memorie van

Is het de bedoeling gebruikersnamen,

V

vt
i

tf
11 *
•£ *

toelichting)
2c

Opmerkingen

*

J*

<-

>,.y

Door onzorgvuldig beheer van gebruikersnamen

Niet vermeld in wetsvoorstel.

wachtwoorden en andere inloggegevens

wachtwoorden en andëVe mloggegevens'bestaat het

te verwerken?

risico dat ongeautoriseerde toegang tot
persoonsgegevens wordt verkregen
n

2d

Is het de bedoeling om uniek

Nee.

identificerende gegevens, zoals
-

verwerken?
2e

-

"

•

»

,

,

>

•

H

&.

, ?

"f

•»

•x

Het risico bestaat dat bij bekend wording van het bsn

Een nummer dat ter identificatie van een persoon bij

zodanige wijze te geschieden, dat aan de hand van het

buiten het domein dat het wetsvoorstel Wmo 2015

wet is voorgeschreven, wordt bij de verwerking van

te

bsn vastgesteld kan worden pp welke^persoon bepaalde

beoogt te regelen, persoonsgegevens van de

persoonsgegevens slechts gebruikt ter uitvoering van

verwerken?

persoonsgegevens betrekking hebben Ook bij de

betrokkene uit andere domeinen gekoppeld kunnen

de betreffende wet dan wel voor doeleinden bij de

worden.

wet bepaald, (art 24 lid 1 Wbp)

Is het de bedoeling om het BSN-nummer,

Het opnemen van het bsn in de administratie dient op

of een ander persoonsgebonden nummer

uitwisseling van persoonsgegevens voor de uitvoering

140/252

*

--, T V»

biometrische gegevens, te

n

'

van de onderhavige wet gèbYuiken de verschillende

Het wetsvoorstel Wmo 2015 voldoet door middel van

instanties het bsn (Artikelsgewijze toelichting art 4 2 12)

art 4.2.12. aan dit vereiste.

©BiW:I^Élli$§s<MaïÊës
Gegevensrelatie: Zorgverzekeraar-Gemeente'

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

3

Opmerkingen

Huidige situatie Wetsvoorstel Wmo

Risico's

Kan van elk van de onder vraag 1.1 en

Een zorgverzekeraar als bedoeld in de

Het risico bestaat dat meer gegevens worden verwerkt

Persoonsgegevens moeten in overeenstemming met

vraag 1.2 opgevoerde typen

Zorgverzekeringswet is bevoegd uit eigen beweging en

dan nodig is voor het doel. \

tde wet en op behoorlijke en zorgvuldige wijze worden

persoonsgegevens worden gesteld dat zij

desgevraagd verplicht aan het college kosteloos de

beleidsmatig of technisch direct van

persoonsgegevens te verstrekken van een verzekerde

belang en onontbeerlijk zijn voor het

ingevolge die wet, die zorg als omschreven in die wet

bereiken van de beleidsdoelstelling?

ontvangt of heeft ontvangen en in aanvulling of in

deel

verwerkt, (art 6 Wbp)

Persoonsgegevens worden voor welbepaalde,
K

*

Wat zou er precies niet inzichtelijk

maatwerkvoorziening, voor zover die persoonsgegevens

worden als ervoor wordt gekozen

noodzakelijk zijn voor de uitvoering van de taken die bij *"

bepaalde gegevens niet te verwerken?

of krachtens deze wet aan het college zijn opgedragen,

(Licht per te verwerken persoonsgegeven

(art. 4.2.7. lid 1)

"'

"C'

doeleinden verzameld, (art 7 Wbp)

-*1

r
' *\

fi

V'

Deze vraag wordt in het wetsvoorstel niet
f

toe.)

r

beantwoord.

*

Deze vraag wordt in het wetsvoorstel'niet beantwoord
- Kan als het gaat om gevoelige

;

uitdrukkelijk omschreven en gerechtvaardigde
t'j"

aansluiting daarop aangewezen is of kan zijn op een

4

••

i,

Gezien de aard van de dienstverlening in het kader

Deze vraag wordt in het wetsvoorstel niet beantwoord

s

persoonsgegevens hetzelfde

i

van de Wmo ligt afgezien van analysedoeleinden niet

beleidseffect of technisch resultaat

voor de hand gegevens te anonimiseren.

worden bereikt op een van de volgende

Maatschappelijke ondersteuning richt zich uiteindelijk..

wijzen: (a) door (gecombineerd) gebruik

't

,

op een persoon.

van normale persoonsgegevens, (b) door
gebruik van geanonimiseerde of
gepseudonimiseerde gegevens?
i

«ftta

141/252

Duthler ra) Associates
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Zorgverzekeraar-Gemeente
Risico's

Huidige situatie Wetsvoorstel Wmo

* -

deel

^i.

s

Opmerkingen

>
!

«,

In welk breder wettelijk, beleidsmatig of

Om als gemeente een integraal beeld te krijgen van de

technisch kader wordt het voorziene

burger en te weten of de burger recht heeft op

Voor een juiste gegevensverwerking is vereist dat de
Het ontbreken van een eensluidend technis'ch kader,
»,
*
> .
A 1
voor de gegevensverwerking vormt een risico wanneer • betekenis van een gegeven in verschillende domeinen

beleid/databestand/informatiesysteem

ondersteuning, is het noodzakelijk dat de

gegevens worden uitgewisseld
' -';

^

"
' *

ontwikkeld en wat voor soort(en)

zorgverzekeraar een gemeenten een signaal kunnen

verwerking(en) van persoonsgegevens

doorgeven wanneer iemand is uitbehandeld vanuit de

In het algemeen geldt dat "dé kaders vooV de betrokken

gaan hiervan deel uitmaken bij het

Zvw en mogelijk nog wel ondersteuning vanuit de Wmo

instanties duidelijk moeten zijnydmdatahders een

voorziene traject?

nodig heeft. (§7.4 Memorie van Toelichting)

risico ontstaat voor de .correcte uitvoering van de
Wmo„indusief de gegevensbescherming

Wordt hierbij gebruikt gemaakt van
(nieuwe) technologie of

Beleidsmatig maakt het wetsvoorstel deel uit van de l

informatiesystemen?

hervorming van de langdurige zorg. Het wetsvoorstel
bevat geen breder technisch kader.

hetzelfde is. Een eensluidend technisch kader
verhoogt de zekerheid omtrent de betrouwbaarheid
van de verwerking van gegevens.

Het beleidsmatige kader is in grote lijnen geschetst in
de brief van de staatssecretaris aan de tweede kamer
van 25-04-2013. De nadere invulling waar'betrokken
Wmo actoren om vragen is nog niet gereed.

\

i
i
f

Het wetsvoorstel vermeldt niet of er gebruik geirnaakt

\

wordt van (nieuwe) technologie of informatiesystemen
Doelbinding, koppeling, kwaliteit en profilering

II
1

>,»'

'i

S )

Hebt u het/de specifieke doel(en)

Een zorgverzekeraar en een zorgaanbieder als bedoeld in

Het specifieke doel waarvoor de persoonsgegevens

Persoonsgegevens worden voor welbepaalde,

waarvoor u de persoonsgegevens gaat

worden verwerkt is in algemene termen verwoord. Dit

uitdrukkelijk omschreven en gerechtvaardigde

levert het risico op dat de doelbinding onvoldoende

doeleinden verzameld, (art 7 Wbp)

hiervoor één en hetzelfde specifieke

de Zorgverzekenngswet zijn bevoegd.uit eigen beweging
\ ,
"" „
-O
en desgevraagd verplicht aan het collegêkosteloos de
4
^* t
*
*- "*persoonsgegevens te verstrekken van een verzekerde

doel?

ineevolEde die wet ,*die zorg als omschreven in die wet

verwerken in detail vastgesteld? Geldt

%~

* \

"-

f

ontvangt of heeft ontvangen en in aanvulling of in

i< " V ,

- *>.

*

' aansluiting'daarop aangewezen is of kan zijn op een
m'aatwerkvpprziening, voor zover die persoonsgegevens
.noodzakelijk zijn^oor de uitvoering van de taken die
^'> , % A
krachtens deze wet aan het college zijn opgedragen, (art.
4 2 7 lid 1)

142/252

i

%•

bepaald is.

•DüitWed'
Toetsmodel PIA Rijksdienst
Onder-

#

Gegevensrelatie: Zorgverzekeraar-Gemeente

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

deel
2

Gezien de gewijzigde rol van de zorgverzekeraars in

Gaat het bij het project/systeem om

Het gaat niet om het gebruik van nieuwe

Het wetsvoorstel beperkt zich tot de verstrekking van

gebruik van nieuwe persoonsgegevens

persoonsgegevens. (Uitkomst eerste PIA § 7.3. Memorie

persoonsgegevens in de relatie_zorgverzekeraar

voor een bestaand doel, of bestaande

van toelichting)

gemeente Het wetsvoorstel plaatst deze verstrekking,,

t

*•

doelen binnen al bestaande systemen?

niet in het kader.van een (bestaande) verwerking Ook

(scenario toevoeging

de verantwoordelijke van de verwerking wordt
^
'*.
^
daarmee niet vastgesteld Het met opjiemen van dit

nieuwe persoonsgegevens).

r^

•=.

***

de nieuwe Wmo situatie kan er sprake zijn van
nieuwe verwerkingen.

De uitkomst eerste PIA genoemd in de MvT
(paragraaf 7.3) is dat er geen gebruik wordt gemaakt

element vormt een risico voor de rechtmatigheid van

van nieuwe persoonsgegevens, terwijl de

de verwerking ((Er staat niets over de relatie
>~ J
J
, zorgvefzekëfaar-gemeente iffparagraaf 4.1. van de

daadwerkelijke gegevens nog bij Amvb moeten

wettekst))*'

;

^

worden bepaald.

' *,**,
Persoonsgegevens worden slechts verwerkt voor

si-

f

's-

\

t

^

Het risico is dat bij nadere bepaling van de te

zover zij, gelet op de doeleinden waarvoor zij worden ,

verwerken persoonsgegevens toch zal blijken dat er

verzameld of vervolgens worden verwerkt,

nieuwe persoonsgegevens verwerkt zullen worden die

toereikend, ter zake dienend en niet bovenmatig zijn.

nieuwe risico's met zich mee zullen brengen.

(artllWbp)

143/252

Diïi^^fêfi^fcssiiÉiilés.
• *

~

~

•
• • •

Gegevensrelatie: Zorgverzekeraar-Gemeente

Toetsmodel PIA Rijksdienst
Onder-

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

»

3

Gaat het bij het project/systeem om het

Met het oog-op integrale dienstverlening vanuit de

nastreven van nieuwe/aanvullende

verschillende onderdelen van het sociale domein [...]

Persoonsgegevens moeten in overeenstemming met
Het risico bestaat dat betrokkene onterecht,in J ^ , . ^
€
* M
"<•> " ^ " é f e
aanmerkelijke mate wordt'getroffen door besluiten
-« ?fde wet en op behoorlijke en zorgvuldige wijze worden

doeleinden door bestaande

bepaalt dit artikel dat zorgverzekeraars en

genomen op grond,van gegevens^uit verschiNende ' ^ » ,

persoonsgegevens, of verzamelingen

zorgaanbieders in de zin van de Zorgverzekeringswet aan

subsectoren uitjhet sociale domein met ieder hun

daarvan, te gebruiken, vergelijken, delen,

het college persoonsgegevens mogen en moeten

eigen context

deel

i

t- ^

i

verstrekken van verzekerden die zorg ontvangen. [, ]

koppelen of anderszins verder te

ij

'

1

1

" \

'

V
'

""'f.

Persoonsgegevens worden voor welbepaalde,
uitdrukkelijk omschreven en gerechtvaardigde

^

doeleinden verzameld, (art 7 Wbp)

instanties met ieder hun eigen taak en belang ontstaan

doeleinden).
Het gaat om het gebruik van,bestaande

•< .•"spanningen Het risico bestaat dat gegevens voor een

Persoonsgegevens worden niet verder verwerkt op

anderidoel dan waarvoor zij zijn verkregen verwerkt

een wijze die onverenigbaar is met de doeleinden

persoonsgegevens voor nieuwe doelen. (Uitkomst eerste

Zo ja,, hebben alle

PIA § 7.3. Memorie van toelichting)

personen/instanties/systemen die

*.worden

't

r

v

" * .

betrokken zijn bij de verwerking dezelfde
Deze vraag is in het wetsvoorstel niet beantwoord ^

doelstelling met de verwerking van de

Het risico bestaat dat meer gegevens worden verwerkt

'i

dan>nodig voor het doel.

t

desbetreffende persoonsgegevens of is
„

daarmee

r

_

,
1

ï
"•

v

'
1

spanning mogelijk gelet op hun taak of

Het risico bestaat dat persoonsgegevens verder

hun belang?

worden verwerkt op een wijze die niet verenigbaar is
met de doeleinden waarvoor ze zijn verkregen.

Gelden dezelfde doelen voor het hele
proces?

1 '
».

* %

144/252

verwerkt, (art 6 Wbp)

'

»,v

Door het safnenkomen,yan gegevens van verschillende

(artikelsgewijze toelichting 4.2.7. lid 1)

verwerken? (scenario toevoeging

*-

\^

'" * *

waarvoor ze zijn verkregen, (art. 9 Wbp lid 1)

©laïfitér
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Zorgverzekeraar-Gemeente
Opmerkingen

#

Vraag

4

Indien u positief hebt geantwoord op

Het wetsvoorstel gaat niet in op melding aan de FG of

Een niet gemelde verwerking in het kader van de*Wmo

Een geheel of gedeeltelijk geautomatiseerde

vragen 11.2 of 11.3, hoe wordt een dergelijk

aan de CBP.

is in principe onrechtmatig:

'verwerking van persoonsgegevens, die voor de

Huidige situatie Wetsvoorstel Wmo

Risico's

deel

^
••>

voorgenomen gebruik (d.w.z. gebruik van
nieuwe persoonsgegevens in bestaande

verscheidene samenhangende doeleinden bestemd

systemen of van bestaande

is, wordt gemeld, (art 27 lid 1)

persoonsgegevens voor nieuwe

(•

doeleinden) gemeld aan: (a) de

* i

r

'- <

\

gegevensbescherming, of (b) het CBP

~;\

>,

r
B

indien er geen FG is?
Indien u positief geantwoord hebt op

De verantwoordelijke meldt de verwerking alvorens
daarmee te beginnen bij het College of bij de

functionaris voor de

5

verwezenlijking van een doeleinde of van

Deze vraag is in het wetsvoorstel niet beantwoord

vragen 11.2 of 11.3, welke (nadere)

t

functionaris, (art 27 lid 3)

- ^

Het risico bestaat dat onvoldoende maatregelen zijn

Persoonsgegevens worden in overeenstemming met

genomen die een rechtmatige, behoorlijke en

de wet en op behoorlijke en zorgvuldige wijze
verwerkt, (art 6 Wbp)

Er moet nog nader onderzocht wordejfïjwelke (nadere)

N zorgvuldige verwerking van persoonsgegevens borgen

gebruik van nieuwe persoonsgegevens in

controles op het gebruik van deze persoonsgegevens 1

en eèn'onnodige verzameling van persoonsgegevens

bestaande systemen of van bestaande
persoonsgegevens voor nieuwe

voor deze nieuwe doelen zijrï voorzien Hier'wordt
p, *
V
*
gekeken naar hoe het binnen het SUWI domein is

doeleinden) zijn voorzien?

geregeld (Uitkomst eerste PIA § 7 3 Memorie van

Het wetsvoorstel beperkt zich tot de verstrekking van

verzameld of vervolgens worden verwerkt,

toelichting) *r-,

persoonsgegevens in de relatie zorgverzekeraar-

toereikend/ter zake dienend en niet.bovenmatig zijn.

gemeente. Het wetsvoorstel plaatst deze verstrekking

(aft 11 lid 1 Wbp)

controles op een dergelijk gebruik (d.w.z.

r

-

V«^~^t *1*

•f

s*.

>

^

-<u

f,

~* "
*

v

^i

••
\ '

voorkomen.

Persoonsgegevens worden slechts verwerkt voor
zover zij, gelet op de doeleinden waarvoor zij worden

niet in het kader van een (bestaande) verwerking. Ook

X*
T

*

•
-

de verantwoordelijke van de verwerking wordt

De verantwoordelijke legt passende technische en

daarmee niet vastgesteld. Het niet opnemen van dit

organisatorische maatregelenten uitvoer om

element vormt een risico voor de rechtmatigheid van

persoonsgegevens te beveiligen tegen verlies of tegen

de verwerking. ((Er staat niets over de relatie

enige vorm van onrechtmatige verwerking. [...] (art 13

zorgverzekeraar-gemeente in paragraaf 4.1. van'de

Wbp)

wettekst.))

145/252

,wi

©üsIhtêïiK» Associates
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Zorgverzekeraar-Gemeente

Risico's

Huidige situatie Wetsvoorstel Wmo

IK

r.

deel
6

Welke periodieke en.incidentele

Het college en aanbieders overleggen met

Het risico bestaat dat onvoldoende maatregelen zijn

controles zijn voorzien om de juistheid,

zorgverzekeraars als bedoeld in de Zorgverzekerihgswet

nauwkeurigheid en actualiteit van de in

teneinde te komen tot afstemming van hun beleid in het

genomen om te waarborgen dat persoonsgegevens
*%.
%
' '
juist, nauwkeurig en actueel zijn' «,
•* ,

het beleidsvoorstel,wetsvoorstel of

belang van een integrale dienstverlening aan cliënten en

overheids ICT-systeem verwerkte

verzekerden, (artikel 4.4.1. lid 1)

Onjuiste gegevens levert bet risico op van onjuiste
<•
*s
* "*
beslissingen die diep in kunnen grijpen op de

Periodieke controles om de juistheid, nauwkeurigheid en

persoonlijke levenssfeer van betrokkenen
'\ "
*

persoonsgegevens na te gaan?

t *\

actualiteit en op ICT systeem verwerkte

•l

vastgelegd. (Uitkomst eerste PIA § 7.3. Memorie van

V

*\*"

«,

De verantwoordelijke treft de nodige maatregelen
opdat persoonsgegevens, gelet op de doeleinden
waarvoor zij worden verzameld of vervolgens worden
verwerkt, juist en nauwkeurig zijn. (art 11 lid 2 Wbp)

Gezien de hoeveelheid en variëteit van
persoonsgegevens zal het borgen van de juistheid,
nauwkeurigheid en actualiteit veel inspanning vergen.

«

• > " - - »

persoonsgegevens te controleren worden per AmvB ^

f

Gezien de ingrijpendheid van Wmo beslissingen is het
borgen van juistheid, nauwkeurigheid en actualiteit

toelichting)

van persoonsgegevens echter noodzakelijk.
h
,

-

'

-

Deze vraag is in het wetsvoorstel niet beantwoord^

n

('r,

II

t
v v

5«

146/252

Opmerkingen

!

;

Du#»;té'f1@y\ss@6ia«ês

Toetsmodei PIA Rijksdienst
Onder-

Gegevensrelatie: Zorgverzekeraar-Gemeente

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Opmerkingen

7

Zullen de verzamelde/verwerkte

Om als gemeente een integraal beeld te krijgen van de

Het risico bestaat dat betrokkene onterecht in

s .^

Niemand kan worden onderworpen aan een besluit

persoonsgegevens gebruikt worden om

burger en te weten of de burger recht heeft op

aanmerkelijke mate wordt getroffen door besluiten

waaraan voor hem rechtsgevolgen zijn verbonden of

het gedrag, de aanwezigheid of de

ondersteuning, is het noodzakelijk dat de

genomen op grond van gegevens uit verschillende

prestaties van mensen in kaart te

zorgverzekeraar een gemeenten een signaal kunnen

subsectoren uit het sociale domein met ieder hüh

Risico's

deel

brengen en/ofte beoordelen en/ofte

1

doorgeven wanneer iemand is uitbehandeld vanuit de

A

eigen context *

voorspellen?

Zvw en mogelijk nog wel ondersteuning vanuit de Wmo

Zijn de betrokkenen daarvan op de

nodig heeft. (§ 7.4 Memorie van Toelichting)

>"*

.- "

,

v

^

* 'o*;"''

:

Het risico bestaat dat meer gegevens worden verwerkt

hoogte? Zijn de gegevens die hiervoor

dan nodig voor het doel \

dat hem in aanmerkelijke mate treft, indien dat
besluit alleen wordt genomen op grond van een
geautomatiseerde verwerking van persoonsgegevens:.
bestemd om een beeld te.krijgen van bepaalde
aspecten van zijn persoonlijkheid, (art 42 Wbp)

^

worden gebruikt, afkomstig uit

Methet oog op integrale dienstverlening vanuit de

verschillende (eventueel externe)

verschillende onderdelen van het sociale domein [...]

bronnen en zijn zij oorspronkelijk voor

bepaalt dit artikel dat zorgverzekeraars en

andere doelen verzameld?

zorgaanbieders in de zin van de Zorgverzekenngswetaan

mede, bedoeld in het tweede en derde lid, tenzij deze

het college persoonsgegevens mogen en moeten

reeds daarvan op de hoogte'is:

Indien persoonsgegevens wórden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt de
«.••

a*

•"*

i,

'

f

**

T

verantwoordelijke de betrokkene'de informatie

a. op het moment van vastlegging van hem

verstrekken van verzekerden die zorg ontvangen [ ]
(artikelsgewijze toelichting 4 2 7 lid 1)
*r

-A

betreffende gegevens, of
b. wanneer de gegevens bestemd zijn om te worden

l

~>

Deze vraag is in het wetsvoorstel niet beantwoord
*

verstrekt aan een derde, uiterlijk op het moment van
de eerste verstrekking, (art 34 lid 1 Wbp)

147/252

#yt{nlenSfess<0EiBïés^
Toetsmodel PIA Rijksdienst

Onder-

Gegevensrelatie: Zorgverzekeraar-Gemeente
a

#

Vraag

Huidige situatie Wetsvoorstel W m o

Risico's

8

Wordt bij deze

Deze vraag is in het wetsvoorstel niet beantwoord.

Het risico bestaat dat betrokkene onterecht in «,

Opmerkingen

4

deel
*

analyse/beoordeling/voorspelling gebruik

l

•

"

Niemand kan worden onderworpen aan een besluit
.

*

,

'

gemaakt van vergelijking van

In de technische infrastructuur zal gewaarborgd worden

aanmerkelijke mate wordt getroffen door besluiten die
"^v ^
geautomatiseerd genomen worden zonder menselijke
tussenkomst

persoonsgegevens die technisch

dat er geen automatische vergelijk van gegevens is, maar

geautomatiseerd is (d.w.z. niet door

eerder een soort dashboard voor mensen. (§ 7.4.

mensen zelf wordt uitgevoerd)?

Memorie van toelichting)

.

^

*

waaraan voor hem rechtsgevolgen zijn verbonden of
dat hem in aanmerkelijke mate treft, indien dat
besluit alleen wordt genomen op grond van een
geautomatiseerde verwerking van persoonsgegevens
bestemd om een beeld te krijgen van bepaalde

Zo ja, hoe wordt geregeld dat, indien dit

aspecten van zijn persoonlijkheid, (art 42 Wbp)

geautomatiseerde proces tot een

>

"i

^

beoordeling of voorspelling over een

"

bepaalde persoon leidt, hierop pas

**
• * .

concrete actie wordt ondernomen na

TT

•

"*
TE"
*

V-^

%

""«'

1'
»

,«
i

/"

'«
-

}

••

Niet alleen de technische infrastructuur, maar vooral
deinrichtingvan besluitvormingsprocessen moet
menselijke tussenkomst garanderen.

I f

tussenkomst en (tweede) controle van

l-u

Y * - \<
T\

(menselijk) personeel?

•VIT

•*»

*.
*

f

"

*
J

I

\

r

£*

vorm van een informatiedienst) voorzien in de
verschaffing van alleen die aspecten van

\

'-i
«v

De technische infrastructuur kan (bijvoorbeeld in de

persoonsgegevens die relevant zijn voor de te nemen
*
r

beslissing, zonder andere aspecten te verwerken of
vrij te geven (dataminimalisatie).

III

Betrokken instanties/systemen en verantwoordelijkheid

A
148/252

,

©tóiiiM'i?!S^ss@€i^tes,
Gegevensrelatie: Zorgverzekeraar-Gemeente

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

1

Welke interne en externe instantie(s)

Het wetsvoorstel bevat geen informatie beschikbaar over

Het risico bestaat dat beperkte transparantie over

De in het wetsvoorstel besproken verstrekking van

en/of systemen is/zijn betrokken bij de

bestanden, infrastructuren etc.

deel

ontvangers en verstrekkers van gegevens, alsmede

voorziene verwerking in elk van de onder
1.5 onderscheiden fasen? Welke

Om als gemeente een integraal beeld te krijgen van de

verstrekkers zijn er en welke

burger en te weten of de burger recht heeft op

ontvangers? Welke bestanden of

ondersteuning, is het noodzakelijk dat de

deelbestanden en welke infrastructuren?

zorgverzekeraar een gemeenten een signaal kunnen

> persoonsgegevens in het kader van de relatie

gebruikte infrastructuren en deelbestanden leidt tot

zorgverzekeraar-college vindt plaats buiten het zicht

minder zekerheidsomtrent de betrouwbaarheid van

of medeweten van de betrokkene.

,"*

gegevens.

*

J

ïfv.

^

^

^

r

doorgeven wanneer iemand is uitbehandeld vanuit de
Zvw en mogelijk nog wel ondersteuning vanuit de Wmo
nodig heeft. (§ 7.4 Memorie van Toelichting)
2

Deze vraag is in het wetsvoorstel niet beantwoord

Is (in ieder stadium) duidelijk wie
verantwoordelijk is voor de verwerking

,iV~r

"V >

^

l|?

Het wetsvoorstel beperkt zich tot de verstrekking van

gegevensbescherming in het kader van de uitvoering
van de Wmo leidde in 2011 tot een kritisch rapport.

van de persoonsgegevens?

Deze analyse van nodige voorzieningen en maatregelen

'Zo ja, is deze persoon of organisatie

is in het wetsvoorstel niet vermeld.

niet in het kader van een (bestaande) verwerking. Ook

geëquipeerd wat betreft de nodige
ïr

voorzieningen en,maatregelen,

-

'k.

waaronder middelen, beleid,
taakverdeling, procedures en intern

'o

#•

Deze vraag is in het wetsvoorstel niet beantwoord.

andere betrokken organisaties, krijgen
precies toegang tot de

' o *

2

de verantwoordelijke van de verwerking wordt

In juni 2012 stuurde de Ministervan Sociale Zaken

daarmee niet vastgesteld. Het nietopnemen van dit

naar alle gemeenten dat de informatiebeveiliging

element vormt een risico voor derechtmatigheid van

rondom Suwinet dringend moest verbeteren.

de verwerking. ((Er staat niets over de relatie

toezicht?
Wie binnen uw organisatie, en elk van de

Onderzoek CBP bij gemeenten naar de correcte

persoonsgegevens in de relatie zorgverzekeraargemeente Het wetsvoorstel plaatst deze verstrekking

daarop voldoende voorbereid en

3

"% *

zorgverzekeraar-gemeente in paragraaf.4.1. van de
wettekst.))
Het niet opnemen van dit element vormt een risico

Onderzoek CBP bij gemeenten naar de correcte

voor de rechtmatigheid van de verwerking.

gegevensbescherming in het kader van de uitvoering
van de Wmo leidde in 2011 tot een kritisch rapport.

- •

persoonsgegevens? Bestaat de kans dat

In juni 2012 stuurde de Minister van Sociale Zaken

bij het gebruik ervan de gegevens ter

naar alle gemeenten dat de informatiebeveiliging

beschikking komen van onbevoegden?

-

rondom Suwinet dringend moest verbeteren.

149/252

#ü£h:!fêitiHPss©ei'ilies
Gegevensrelatie: Zorgverzekeraar-Gemeente

Toetsmodel PIA Rijksdienst
Onder-

n

Vraag

Huidige situatie Wetsvoorstel Wmo

4

Geldt voor een of'meer van de betrokken

Ja.

Opmerkingen

Risico's

deel
De geheimhoudingsplicht zoals dié van artsen lijkt

instanties een beperking van de

,hier niet aan de orde. Overigens geldt voor

mogelijkheid om persoonsgegevens te

medewerkers van de gemeente die belast zijn mét de
',

' *

'-.

^

verwerken als gevolg van

uitvoering van de Wmo de gebruikelijke

geheimhoudingsverplichtingen (in

geheimhoudingsplicht zoals die ook geldt ten aanzien

verband met functie/wet)?

van de Gemeentelijke Basisadministratie. Dit heeft
consequenties voor de verstrekkingen aan andere
actoren binnen het kader van Wmo.

*

\

Een ieder die is betrokken bij:een.controle als

^ *^

S
A

V

bedoeld in het eerste of vijfde lid is verplicht tot
,.

•*

geheimhouding van de persoonsgegevens waarover
%

'<.

J7
O

•"S

1

5

Zijn alle stappen van de verwerking in de

Deze analyse is in hetxwetsvoorstel niet uitgevoerd

uitwisselingen, in kaart gebracht of te
brengen, zodanig dat daardoor voor de
%

t

betrokkenen inzichtelijk is bij wie,

*

*J6

t

worden verwerkt?
»

150/252

.

ir

v

+

k

f

" ,

-,

\ *

^*

zij de beschikking hebben gekregen, behoudens voor
zover enig wettelijk voorschrift hem tot' mededeling
verplicht of uit zijn taak de noodzaak tot mededeling

\

„

voortvloeit, (art 120a lid 8 Wgba)
U

zin van soorten gegevens en

waarom en hoe de persoonsgegevens

* i

f

f,

r

t

b,

^

Het niet opnemen van dit element vormt een risico

In navolging van de PIA moeten deze gegevens en

voor de rechtmatigheid van de verwerking.

uitwisselingen in kaart worden gebracht.

^ÉffifeWlll^sêèfatts
Gegevensrelatie: Zorgverzekeraar-Gemeente

Toetsmodel PIA Rijksdienst
Onder-

Risico's

Huidige situatie Wetsvoorstel Wmo

Opmerkingen

1

#

Vraag

6

Zijn er beleid en procedures voorzien

Beleid en procedures voor het creëren en bijhouden van

Het niet opnemen van dit element vormt een risico

Binnen gemeenten is er vanzelfsprekend veel ervaring

voor het creëren en bijhouden van een

een verzameling van de persoonsgegevens zijn niet

voor de rechtmatigheid van de verwerking

met de verwerking van persoonsgegevens. De mate

verzameling van de persoonsgegevens

voorzien in het wetsvoorstel.

deel

i

van compliance aan de Wbp verschilt per gemeente.

"f

die u wilt gaan gebruiken?
Zo j'a/hoe vaak en door wie zal de
verwerking worden gecontroleerd?
Omvat de verzameling een verwerking

;

die namens u wordt uitgevoerd

•

#•

'„

(bijvoorbeeld door een onderaannemer)?
Is ersprake van overdracht van

,?

-

s

i

,

'V ^ >tf ^

>

7

'

Nee.

persoonsgegevens naar een (overheids)
I ,_.

instantie buiten de EU/EER? Heeft dit
-

land èen niveau van
\

gegevensbescherming dat als passend is
l

'

beoordeeld door een besluit van de

t

EuropeseCommissie of de Minister van
i

N

Veiligheid en Justitie? Worden daarbij

_, V \ _

*

>

1
•*v,

alle of een gedeelte van de

*-

Ja

persoonsgegevens doorgegeven?
IV

t*

Beveiliging en bewaring/vernietiging

j- .V

*

-)

•ffe

151/252

« È i t M ® Associates
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Zorgverzekeraar-Gemeente
Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

^
;«

^

deel
1

Is het beleid met betrekking tot

Deze controle is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormt een risico

gegevensbeveiliging binnen uw
organisatie op orde? Zo ja, wie/welke

voor de rechtmatigheid van de verwerking

^

In die amvb zal preciezer worden opgenomen om welke

afdeling(èn) is/zijn binnen de organisatie

persoonsgegevens hét gaat, op welke wijze

verantwoordelijk voor het opstellen,

persoonsgegevens worden verwerkt en volgens welke

'S

*o.

,

i

implementeren en handhaven hiervan? Is

technische standaarden dat plaatsvindt. Ook zullen de
beveiligingseisen daarin een plaats krijgen,

gegevensbescherming en

(artikelsgewijze toelichting H4)

gegevensbeveiliging ?

•f *
,
'"*1
% *
De wijze waarop de beveiliging, bewaring en vernietiging% "daarmeefniet vastgesteld Het niet opnemen van dit

gemeente Het'wetsvoorstel pliatst deze,verstrekking
h
*
__
V
niet in het kader van een (bestaande) verwerking Ook
*êc/ t
?*
{
4
de verantwoordelijke van de verwerking wordt
4

r

element vormt een'risico voor de rechtmatigheid van
van gegevens plaats gaat vinden wordt nader uitgewerkt

"de(verwerking*((Er staat niets over de relatie

in de beslissing voor welke technische voorziening * „

zorgverzekeraafLgemeente in paragraaf 4.1. van de
<,

• «,fc.

zoals opgenomen in het wetsvoorstel (Uitkomst eerste ;
^

j^

PIA §7.3. Memorie van toelichting)
2

Indien (een deel van) de verwerking bij

zorg voor de gegevensbeveiliging, en het
.

•

:

•

•

>

£>

152/252

;

In artikel 4 2 7 zijn geen,bewerkers aangewezen

een bewerker plaatsvindt, hoe draagt u

toezicht daarop,.bij die bewerker?

-i

v

•

•

-

*» i
» j

wettekst))

KING heeft 7mei 2013 de Baseline

r

dit beleid specifiek gericht op

V

' naar alle gemeenten dat de informatiebeveiliging
rondom Suwinet dringend moest verbeteren.

Het wetsvoorstehbeperkt zich tot de verstrekking van
rt'1
V
>,
persoonsgegevens in de relatie zorgverzekeraar"

ondersteunend gaat zijn aan de gegevensverwerking

lnjuni-2012-stuurde.de Ministervan Sociale Zaken
l

Informatiebeveiliging Nederlandse Gemeenten
gepubliceerd. Onbekend is in hoeverre gemeenten
deze baseline toepassen.

DgtMerira^ssöGiates
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Zorgverzekeraar-Gemeente
Opmerkingen

Risico's

Huidige situatie Wetsvoorstel Wmo

-

deel
3

Welke technische en organisatorische

-

ZielV.l.

beveiligingsmaatregelen zijn getroffen ter

-

voorkoming van niet-geautoriseerde of
onrechtmatige verwerking/misbruik van
(a) gegevens die in een,geautomatiseerd
format staan (bv. wachtwoordbescherming, versleuteling, encryptie) en
(b) gegevens die handmatig zijn
opgetekend bv. sloten op kasten)? Is er

-

•
]

een hoger beschermingsniveau om

(_

,

gevoelige persoonsgegevens te
beveiligen?
4

Welke procedures bestaan er in geval van

Zie IV.1.

-

inbreuken op beveiligingsvoorschriften,
en voor

Vi,.

het detecteren ervan? Is er een

k<

calamiteitenplan om het gevolg van een
onvoorziene gebeurtenis waarbij

-

-

H

$

persoonsgegevens worden blootgesteld
aan onrechtmatige verwerking of verlies
van persoonsgegevens af te handelen?

153/252

M h iétMÊJ0<s$®m0£es
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Zorgverzekeraar-Gemeente
Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

5

Hoe lang worden de persoonsgegevens

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Het niet o p n e m e n van d i t element v o r m t e e r f r i s i c o .

deel

rC

voor de rechtmatigheid van'de.verwerking

bewaard? Geldt dezelfde bewaartermijn
voor elk van de typen van verzamelde

De wijze waarop de beveiliging, bewaring en vernietiging

persoonsgegevens? Is het project

van gegevens plaats gaat vinden wordt nader uitgewerkt

onderworpen aan enige

in de beslissing voor welke technische voorziening

wettelijke/sectorale eisen met betrekking

ondersteunend gaat zijn aan de gegevensverwerking

tot bewaring?

zoals opgenomen in het wetsvoorstel. (Uitkomst eerste

Op welke beleidsmatige en technische

i

Zie IV.S.

Welke maatregelen zijn voorzien om de

\
T

»

*'.

'

'

'"H

voor de rechtmatigheid van de verwerking

ï,

ZielV.5.

"_

persoonsgegevens na afloop van de

T

•

iu

~ t

u

'<
"t

alle persoonsgegevens, inclusief loggegevens,
i

vernietigd? Is er controle op de
i.

vernietiging, en door wie?
1

Transparantie en rechten van betrokkenen

'

' ,

^f

Het niefopnemen van dit element vormt een risico
voor de rechtmatigheid van de verwerking

bewaartermijn te vernietigen? Worden

V

*

*" Het met opnemen van dit element vormt een risico

\

*

'^wetsvoorstel gesproken in het kader van SHG. Bij

*~

"*%»,%

154/252
.©.

het sociale domein kunnen verschillende
bewaartermijnen voortvloeien.

\

vereist?

«

1i

Uit de verschillende regimes van de subsectoren van

gronden is deze termijn van bewaring

7

)i^

Over bewaartermijnen wordt alleen in het
1

artikel 4.1.1. niet.

PIA § 7.3. Memorie van toelichting)
6

\

D^tMéflJSpssöc^alé's.
•

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Zorgverzekeraar-Gemeente
Opmerkingen

Risico's

Huidige situatie Wetsvoorstel Wmo

-

deel
1

Is het doel van het verwerken van de

Deze analyse is in het wetsvoorstel niet uitgevoerd.

gegevens bij de betrokkenen bekend of

Het niet opnemen van dit element vormt een risico

Voor de dient zal veelal artikel 33 Wbp gelden:

voor de rechtmatigheid van de verwerking

Indien persoonsgegevens worden verkregen bij de
betrokkene, deelt de verantwoordelijke vóór het

kan het bekend gemaakt worden? Wat is
de procedure om betrokkenen indien

-

*

*

s

%

moment van de verkrijging de betrokkene de
informatie mede, bedoeld in het tweede en derde lid,

nodig te informeren

*
*

over het doel van de verwerking van hun

%

*
"

^

i

*

*

*

1

-

-,

persoonsgegevens?

^

*

*

l'*

S

f*,

^r C

'

•""

f

F

tenzij de betrokkene daarvan reeds op de hoogte is.
(art 33 lid 1 Wbp)

Voor gegevens van personen in het sociale netwerk
t

*

F*

(art 4.1.1. lid 4) geldt dat de gemeente hun gegevens
verkrijgt zonder hun medeweten. Dan geldt artikel 34
Wbp:

r
u

ii

4

Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt de

*"]

\

verantwoordelijke de betrokkene de informatie
mede, bedoeld in het tweede en derde lid, tenzij deze
reeds daarvan op de hoogte is:
a. op het moment van vastlegging van hem
betreffende gegevens, of
b. wanneer de gegevens bestemd zijn om te worden
verstrekt aan een derde, uiterlijk op het moment van
de eerste verstrekking, (art 34 lid 1)

155/252

OutlilerfK^sstKSiWêsToetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Zorgverzekeraar-Gemeente

#

Vraag

Huidige situatie Wetsvoorstel Wmo

2

Indien u de persoonsgegevens direct van

Deze vraag is niet van toepassing in de relatie

de betrokkenen verkrijgt, hoe stelt u hen

zorgverzekeraar-gemeente.

Opmerkingen

Risico's

deel

f

* ^

1

X

"^

1

van uw identiteit en het doel van de
verwerking op de hoogte vóór het
moment van verwerking?
3

Indien u de persoonsgegevens via een

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Het niet opnemenevan"dit element^vormt een risico
%.$ :
voor de rechtmatigheid van de verwerking

andere (overheids)organisatie verkrijgt,
hoe zullen de betrokkenen van uw

Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt de
verantwoordelijke de betrokkene de informatie

identiteit en het doel van de verwerking

Jr\et wetsvoorstel beperkt zich tot de verstrekking van
V-.
* r , |A
v ** '-v
*"* persoon gegevens in de relatie zorgverzekeraart^_
"tt, *>*
g'ëmeente^Het wetsvoorstel plaatst deze verstrekking
3l\
-f "

op de hoogte worden gesteld op het
moment van verwerking?

mede, bedoeld in het tweede en derde lid, tenzij deze
reeds daarvan op de hoogte is:
a. op het moment van vastlegging van hem
betreffende gegevens, of

niefinhet kader van een (bestaande) verwerking. Ook
b. wanneer de gegevens bestemd zijn om te worden
de verantwoordelijke van de verwerking wordt

< *

verstrekt aan een derde, uiterlijk op het moment van
daarmee niet vastgesteld. Het niet opnemen van dit
de eerste verstrekking, (art 34 lid 1)

.

•

>

• ;

-F

f

jgi

156/252

rf

i

t-

element vormt een risico voor de rechtmatigheid van
de verwerking. ((Er staat niets over de relatie
zorgverzekeraar-gemeente in paragraaf 4.1. van de
wettekst.»

Düthterfflfessöeistes
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Zorgverzekeraar-Gemeente

Onder-

Huidige situatie Wetsvoorstel Wmo

Opmerkingen

Risico's

#

Vraag

4

Indien u toestemming tot verwerking van

In het wetsvoorstel wordt de vraag over het intrekken

RISICO dat genomen maatregelen onvoldoende

Indien persoonsgegevens worden verkregen op een

persoonsgegevens aan de betrokkene

van toestemming (opt-out) tot verwerking niet

toereikend zijn Het niet opnemen van dit element

•^andere wijze dan bedoeld in artikel 33, deelt de

vraagt

beantwoord.

vormt een risico voor de rechtmatigheid van de

verantwoordelijke de betrokkene de informatie

deel

(opt-in), kan de betrokkene deze

verwerking.

,

x

-

mede, bedoeld in het tweede en derde lid, tenzij deze

toestemming dan op een later tijdstip

reeds daarvan op de hoogte is:

weer intrekken (opt-out)? Bij een

a. op het moment van vastlegging van hem

weigering toestemming te geven, of bij

betreffende gegevens, of

een dergelijke intrekking, wat is dan de

b. wanneer de.gegevens bestemd zijn om te worden

implicatie voor de betrokkene?

'

v

" ^

,'*

verstrekt aan een derde, uiterlijk op het moment van
de eerste verstrekking, (art 34 lid 1 Wbp)

fl\

*"

T

w
i
1

*

"<

157/252

#^CfttéfKSiisiQieIes:.
'
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Zorgverzekeraar-Gemeente

Onder-

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

\

5

Via welke procedure hebben

Deze vraag is in het wetsvoorstel niet beantwoord.

Risico dat genomen maatregelen onvoldoende1-

Opmerkingen

deel

toereikend zijn. Het niet opnemen van ciit element

betrokkenen de mogelijkheid zich tot de
verantwoordelijke te

Transparantie voor de burger in welke gegevens op

vormt een risico voor de rechtmatigheid van de

wenden met het verzoek hen mede te

welke manier worden verwerkt wordt per AmvB

verwerking

delen of hun persoonsgegevens worden

vastgelegd. (Uitkomst eerste PIA § 7.3. Memorie van

verwerkt?

toelichting)

j „
t

"*

Hoe worden derden, die mogelijk

-

,i

Het wetsvoorstel beperkt zich töt'de verstrekking van

binnen vier weken mee of hem betreffende

persoonsgegevens in de relatie zorgverzekeraar-

persoonsgegevens worden verwerkt, (art 35 lid 1

gemeente Het wetsvoorstel plaatst deze verstrekking

Wbp)

Per AmvB zal nader uitgewerkt worden hoe aandacht
wordt geschonken aan de manier waarop

de gelegenheid gesteld hun zienswijze te

verantwoordelijken in concreto uitvoering geven aan artfj de verantwoordelijke van de verwerking wordt
s
•daarmee niet vastgesteld Het niet opnemen van dit
34 Wbp. In de technische voorziening voor de

" * niet in het kader van een (bestaande) verwerking. Ook
-%

-v

**j*y* t

gegevensverwerking zal de recht van inzage en de recht

element vormt een risico voor de rechtmatigheid van

van correctie worden gewaarborgd Brj het starten van

de veiJSerking. ((Er staat niets over de relatie

het onderzoek zoals dit wetsvoorstel voorschrijft (art

zorgverzekeraar-gemeente in paragraaf 4.1. van de

PM) wordt melding gedaan nchting'cle burger dat deze

wettekst.))

gegevensverwerking plaatsvindt De gemeente legt het ^
verslag van het onderzoek voor aari'de betrokkene
Hiermee heeft (ie betrokkene inzage in zijn gegevens en
demogelijkheid tot correctie (§7 4 Memorie van
toelichting) J"«

"* *

'"4
*r

"v

* t :'J
! • > : *

158/252

betreffende persoonsgegevens worden verwerkt. De
verantwoordelijke deelt de betrokkene schriftelijk

bedenkingen hebben tegen een

geven?

wenden met het verzoek hem mede te delen of hem

*•*
s

dergelijke mededeling, in

,

* * redelijke tussenpozen tot de verantwoordelijke te

"
^
-,

'i

De betrokkene heeft het recht zich vrijelijk en met

®mM&l
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Zorgverzekeraar-Gemeente

Onder-

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

^

Opmerkingen

6

Hoe kan een verzoek van een betrokkene

Deze vraag is in het wetsvoorstel niet beantwoord.

Risico dat genomen maatregelen onvoldoende >-.,

Degene aan wie overeenkomstig artikel 35 kennis is

toereikend zijn. Het met opnemen van dit element

t %gegeven van hem betreffende persoonsgegevens, kan

deel

tot verbetering, aanvulling, verwijdering
of

De vragen met betrekking tot verwijdering of

vormt een risico voor de rechtmatigheid van de

afscherming van persoonsgegevens in

afscherming van persoonsgegevens worden in het

verwerking

behandeling worden genomen?

wetsvoorstel niet beantwoord.

A

„

^

J\

»,,

de verantwoordelijke verzoeken deze te verbeteren,
aan te vullen, te verwijderen, of af te schermen indien:
deze feitelijk onjuist zijn, voor het doel of de

Het wetsvoorste^ beperkt zich tot-de verstrekking van
«.

*#

$

*

jy.^

persoonsgegevens in'de relatie zorgverzekeraar
\*, ,
gemeente Het wetsvoorstel plaafst deze verstrekking
'* " l .
»\
4**
^niet in het kader van een (bestaande) verwerking. Ook
\ '
<^
"
"^
de verantwoordelijke van de verwerking wordt

doeleinden van de verwerking onvolledig of niet ter
zake dienend zijn dan wel anderszins in strijd mét èëri1'
wettelijk voorschrift worden verwerkt. Het verzoek
bevat de aan te brengen wijzigingen, (art 36 lid 1
Wbp)

daarmee niet vastgesteld. Het niet opnemen van dit
element vormt een risico voor dè rechtmatigheid van
>»•

* .

de verwerking..((Er staat niets over de relatie
zorgverzekeraar gemeente in paragraaf 4.1. van de
wettekst.))

159/252

©röhteii
T o e t s m o d e l P I A Rijksdienst
Onder-

#

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Huidige situatie Wetsvoorstel Wmo

Vraag

Risico's

^

'J
R

Opmerkingen
•%

deel

1

Basisinformatie: type persoonsgegevens, type verwerking e n n o o d z a a k / gegevensminimalisering
1

Wilt u als verantwoordelijke

Het college is bevoegd uit eigen beweging en desgevraagd

'•

*

\

H

*3^

Verwerking van andere persoonsgegevens dan die van

persoonsgegevens gaan gebruiken voor

verplicht aan een zorgverzekeraar en. een zorgaanbieder als

de dient levert het risico op dat meer gegevens

de verwerking die u voorziet? Zo ja, van

bedoeld in de Zorgverzekeringswet kosteloos de

worden verwerkt dan nodig voor het doel

welk type?

persoonsgegevens te verstrekken van een cliënt, voor zover

T

die persoonsgegevens noodzakelijk zijn voor de uitvoering

Het wetsvoorstel beperkt zich tot de verstrekking van

% *

van de taken die bij of krachtens de Zorgverzekeringswet aan
de zorgverzekeraar of de zorgaanbieder zijn opgedragen (aVtj
4.2.7. lid 2)

«S*

s
Omgekeerd is denkbaar dat uit het onderzoek van de
* f 'J

^

N *"

* *

^

wet en op behoorlijke en zorgvuldige wijze worden
verwerkt, (art 6 Wbp).

Persoonsgegevens worden voor welbepaalde.
uitdrukkelijk omschreven en gerechtvaardigde

persoonsgegevens in de relatie gemeente
doeleinden verzameld, (art 7 Wbp)
zorgverzekeraariHet wetsvoorstel plaatst deze.
verstrekking niet in'het kader van een (bestaande)

S

'j-

-5

*V

Persoonsgegevens moeten in overeenstemming met de

»

^verwerking Ook de verantwoordelijke van de
<i
^V
verwerking wordt daarmee niet vastgesteld. Het niet

Er wordt gesproken over 'de taken die>krachtens de
Zorgverzekeringswet aan de zorgverzekeraar of de

iy

ondersteuningsbehoefte door het college naar voren komt *
^
' ^
t
dat betrokkene is aangewezen op zorg die verzekerd isjop

opnemen van dit element vormt een risico voor de

grond van de Zorgverzekeringswet Imdat geval kan het •

óver de relatie gemeente-zorgverzekeraar in

richting gemeenten. Wel wordt in art 88 lid l.en 2

college op grond van dit artikel contactgégeverïs'aan de - ~

paragraaf 4.1. van de wettekst.))

gesproken over de verstrekking van gegevens van

zorgaanbieder zijn opgedragen."In de Zvw wordt niet

^ i

rechtmatigheid van de verwerking. ((Er staat niets

gesproken over een gegevensverstrekking (zie H7 Zvw)

zorgverzekeraar of zprgaanbieder"vërstrekken Ijet gaat^

betrokkene naar zorgverzekeraar/college b&w. Dit is

hierbij om gegevens" mbt de identificatie van de cliënten het

het enige artikel waarin college b&w wordt genoemd.

soort maatwerkvoorziemngen dat wordt verstrekt Dit heeft
met name ook als doélïdat zorgverzekeraar en gemeente tot

Als het doel van deze verwerking is om gezamenlijk te

eeri*maatwerkarrarig'eménf kan komen dat zoveel mogelijk

komen tot een maatwerkarrangement, of integrale

"bij een aanbieder of op integrale wuze wordt uitgevoerd
i j

n

T

••

uitvoering, zou het wetsvoorstel ook samenhang moeten
vertonen met de verstrekkingzorgverzekeraar-

gescheiden stelsels Wmo en Zvw. (artikelsgewijze toelichting

gemeente. Daar wordt immers alleen gesproken over

ii.--

4 2'7 hd2)s

160/252

r r

zodat de dient zo min mogelijk last ondervind aan de twee
'

i^ci-

*-

een signaalfunctie.

.mat:h;È'ëjS®^s§©eTStêsToetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-Zorgverzekeraar

Onder-

Huidige situatie Wetsvoorstel Wmo

#

Vraag

Risico's

Opmerkingen

f

deel

%
2

Andere specifieke persoonsgegevens?

[...] Het gaat hierbij om gegevens mbt de identificatie van de

Vanwege 'gegevens mbt' krijgt de formulering een

cliënt en het soort maatwerkvoorzieningen dat wordt

open karakter. Dat levert het risico opdat de*

verstrekt. Dit heeft met name ook als doel dat

doelbindmg wordtpverschreden

Persoonsgegevens worden voor welbepaalde,
l

r

uitdrukkelijk omschreven en gerechtvaardigde
doeleinden verzameld, (art 7 Wbp)

zorgverzekeraar en gemeente tot een maatwerkarrangement
1-

*

kan komen dat zoveel mogelijk bij één aanbieder of op

Het risico bestaat dat meer gegevens worden

Persoonsgegevens worden niet verder verwerkt op een

-

integrale wijze wordt uitgevoerd zodat de dient zo min

verwerkt dan nodig voor het doel

wijze die onverenigbaar is met de doeleinden waarvoor

•

mogelijk last ondervind aan de twee gescheiden stelsels

% ,

ze zijn.verkregen, (art 9 Wbp)

:

V*,

Wmo en Zvw. (artikëlsgewijze toelichting 4.2.7. lid 2)

ft™

u

tC

<&""

*v\>

Het wetsvoorstel specificeert niet welke (specifieke)
l
"-V K-.
'
> ^
, persoonsgegevens noodzakelijk zijn om

Niemand kan worden onderworpen aan een besluit

zorgverzekeraars erftgemeenten in staat te stellen tot

waaraan voor hem rechtsgevolgen zijn"verbonden of dat

•jnaatwerkarrangementen te komen.

hem in aanmerkelijkemate treft, indien dat besluit alleen
wordt genomen op grond.van een geautomatiseerde

, 2

beeld te krijgen van bepaalde aspecten van zijn

vi.

\

,2a

verwerking van persoonsgegevens bestemd om een

persoonlijkheid, (art 42 Wbp)

*-

Is het de bedoeling om gegevens over

[...] Het gaat hierbij om gegevens mbt deiidentificatie van'de

De betrokkene verliest na eenmalige verstrekking de

Persoonsgegevens worden niet verder verwerkt op een

de financiële of economische situatie

dient en het soort maatwerkvoorzieningen dat wordt

grip op zijn persoonsgegevens. Hierdoor ontstaathet

wijze die onverenigbaar is met de doeleinden waarvoor

van betrokkenen, of andêre.gegevens

verstrekt Dit heeft met name ook als doel dat

risico dat de betrokkene gevolgen ondervindt van

ze zijn verkregen, (art 9 Wbp)

die kunnen leiden tot stigmatisering of

zorgverzekeraar en gemeente tot een maatwerkarrangement

onjuist genomen beslissingen, bijvoorbeeld omdat

uitsluiting te verwerken?

kan komen dat zoveel mogelijk bij een^aanbieder of op
Jt"
' / ' • > * *""•*
integrale wijze wöfatl'üitg'ëvo'erd zodat de dient zo min

i j

Zrffr

j.

-Si

*

,*.

"e

deze zijn gebaseerd op verouderde of onjuiste
gegevens.

c

mogelijkjast ondervind aan de tvïee gescheiden stelsels
Wmo en Zvw. (artikëlsgewijze toelichting 4.2.7. lid 2)
>

^

^

*j

*

*

Het risico bestaat dat.meer gegevens worden
verwerkt dan nodig voor het doel.

j~

161/252

©titlilërlS^söGiafös.
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Huidige situatie Wetsvoorstel Wmo

Risico's

~5

Opmerkingen

e

deel

'•
2b

2c

Is het de bedoeling om,gegevens over

Dat hèt gaat om de verwerking van gegevens over kwetsbare

kwetsbare groepen of personen te

groepen of.personen zoals verstandelijk gehandicapten

verwerken?

(Uitkomst eerste PIA § 7.3. Memorie van toelichting)

Is het de bedoeling gebruikersnamen,

Niet vermeld in wetsvoorstel.

'ê

Door onzorgvuldig beheer van gebruikersnamen

wachtwoorden en andere

wachtwoorden en andere inloggegevens bestaat het

irïloggegevens te verwerken?

risico dat ongeautoriseerde toegang,tot
^persoonsgegevens^wordt verkregen

2d

Is het de bedoeling om uniek

'

Nee.

i

K

*--

, „

f

identificerende gegevens, zoals
biometrische gegevens, te
verwerken?
%

2e

•"*->

Een nummer dat ter identificatie van een persoon bij wet

Is het de.bedoeling om het BSN-

Het opnemen van het bsn in de administratie dient op* „

HeUisico bestaat dat bij bekend wording van het bsn

nummer, of een ander

buiten het domein dat het wetsvoorstel Wmo 2015

persoonsgebonden nummer te

zodanige wijze te geschieden dat aan de hand van het bsn
*<<
vastgesteld kan worden op welke persoon bepaalde

Beoogt te regelen, persoonsgegevens van de

persoonsgegevens slechts gebruikt ter uitvoering van de

verwerken?

persoonsgegevens betrekkmg'hebben Ook bij de uitwisseling

betrokkene uit andere domeinen gekoppeld kunnen

betreffende wet dan wel voor doeleinden bij de wet

van persoonsgegevens voor de uitvoeringvan de

worden.

tE^-

'»'

is voorgeschreven, wordt bij de verwerking van

>-

bepaald, (art 24 lid 1 Wbp)

onderhavige wet gebruiken de verschijnende instanties het

Het wetsvoorstel Wmo 2015 voldoet door middel van art

bsn (Artikelsgewijze toelichting art 4.2.12pik
*
T
J*.
'm

4.2.12. aan dit vereiste.

. ,.1.3-

'•#*

162/252

*" «t

, ^j,--

i

©^fcf^ilMpWI^ssaeiaCes:.
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Huidige situatie Wetsvoorstel Wmo

Opmerkingen

#

Vraag

3

Kan van elk van de ondervraag 1.1 en

Het college is bevoegd uit eigen beweging en desgevraagd

Het risico bestaat dat meer gegevens worden .

vraag 1.2 opgevoerde typen

verplicht aan een zorgverzekeraar en een zorgaanbieder als

verwerkt dan nodig is voor het doel

Risico's

\ ^

deel

persoonsgegevens worden gesteld dat

bedoeld in de Zorgverzekeringswet kosteloos de

zij beleidsmatig of technisch direct van

persoonsgegevens te verstrekken van een cliënt, voor zover

,

Persoonsgegevens moeten in overeenstemming met de
r ^wet en op behoorlijke en zorgvuldige wijze worden
verwerkt, (art 6 Wbp)

belang en onontbeerlijk zijn voor het

die persoonsgegevens noodzakelijk zijn voor de uitvoering

Persoonsgegevens worden voor welbepaalde,

bereiken van de beleidsdoelstelling?

van de taken die bij ofkrachtens de'Zorgverzékeringswet aan

uitdrukkelijk omschreven en gerechtvaardigde

de zorgverzekeraar of de zorgaanbieder zijn opgedragen, (art

doeleinden verzameld, (art 7 Wbp)

Wat zou er precies niet inzichtelijk

4.2.7. lid 2)

worden als ervoor wordt gekozen
bepaaldeïgegevens niet te verwerken?

Deze vraag wordt in het wetsvoorstel niet beantwoord.

(Licht per te verwerken

*. V'.
Deze vraag wordt in het wetsvoorstel niet beantwoord.

persoonsgegeven toe.)
4

Kan als het gaat om gevoelige
persoonsgegevens hetzelfde

Deze vraag wordt in het wetsvoorstel niet beantwoord

Gezien de aard van de dienstverlening in het kader van
de Wmo ligt afgezien van analysedoeleinden niet voor de

beleidseffect of technisch resultaat

hand gegevens te anonimiseren. Maatschappelijke

worden bereikt op een van de volgende

ondersteuning richt zich uiteindelijk op een persoon.

wijzen: (a) door (gecombineerd) gebruik
van normale persoonsgegevens, (b)
door gebruik van geanonimiseerde of
gepseudonirhiseerde gegevens?

163/252

••DuthlefToetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-Zorgverzekeraar

Onder-

Huidige situatie Wetsvoorstel Wmo

#

Vraag

Opmerkingen

Risico's

deel

\

5

In welk breder wettelijk, beleidsmatig of

[...] Dit heeft met name ook als doel dat zorgverzekeraar en

•>

A

Het ontbreken van een eensluidend technisch kader
•Pi

fy*
r

%

technisch kader wordt het voorziene

gemeente tot een maatwerkarrangement kan komen dat

voor de gegevensverwerking vormt een risico ,

beleid/databestand/informatiesysteem

zoveel mogelijk bij één aanbieder of op integrale wijze wordt

wanneer gegevens worden uitgewisseld (

ontwikkeld en wat voor soort(en)

uitgevoerd zodat de dient zo min mogelijk last ondervind aan

verwerking(en) van persoonsgegevens

de twee gescheiden stelsels Wmo en Zvw. (artikelsgewijze

gaan hiervan deel uitmaken bij het

toelichting 4.2.7. lid 2)

•

\

&

"" *** fbetekenis van een gegeven in verschillende domeinen
v

.

In het algemeen geldt dat de kaders voor de
\
betrokken instanties duidelijk moeten zijn, omdat

V

*

'

Voor een juiste gegevensverwerking is vereist dat de

^

hetzelfde is. Een eensluidend technisch kader verhoogt
de zekerheid omtrent de betrouwbaarheid van de
verwerking van gegevens.

voorziene traject?

anders een risico onstaat voor de correcte uitvoering

Het beleidsmatige kader is in grote lijnen geschetst in de

Wordt hierbij gebruikt gemaakt van

Beleidsmatig maakt het wetsvoorstel deel uit van de

*
i
van^de Wmo, inclusief de gegevensbescherming.

brief van de staatssecretaris aan de tweede kamer van'

(nieuwe) technologie of

hervorming van de langdurige,zorg. Het wetsvoorstel bevat

informatiesystemen?

geen breder technisch kader.

Hr?

"Vi/

.

25-04-2013. De nadere invulling waar betrokken Wmo

*'(

'"> v
"v

actoren om vragen is nog niet gereed.

~* ^ti,

>3

\

^

t

3"-

Het wetsvoorstel vermeldt niet of er gebruik1 gemaakt wordt

't «t*

van (nieuwe) technologie of informatiesystemen'-,*^
II

Doelbinding, koppeling, kwaliteit en profilering
1

*

*

*

*

Hebt u het/de specifieke doel(en)

Het college is bevoegd uit eigen beweging en desgevraagd

Het specifieke doel waarvoor de persoonsgegevens

Persoonsgegevens worden voor welbepaalde,

waarvoor u de persoonsgegevens gaat

worden verwerkt is in algemene termen verwoord. Dit

uitdrukkelijk omschreven en gerechtvaardigde

verwerken in detail vastgesteld? Geldt

verplicht aan een zorgverzekeraar en een zorgaanbieder als
C\
" -^
onbedoeld in de Zorgverzekenngswet kosteloos de v

levert het risico op dat de doelbinding onvoldoende

doeleinden verzameld, (art 7 Wbp)

hiervoor één en hetzelfde specifieke

persoonsgegevens te verstrekken van een dient voor zover

bepaald is.

doel?

die persoonsgegevens noodzakelijk zijn voor de uitvoering

'-

*

-

-

u

t

van de taken die bij of krachtens de Zorgverzekeringswet aan
de'zorgverzekeraar of de zorgaanbieder zijn opgedragen, (art
4 2 7 Iid2),f
yL

"m

164/252

' \

iüf hter!|ltossö€iates
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-Zorgverzekeraar

Onder-

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

2

Gaat het bij het project/systeem om

Het gaat niet om het gebruik van nieuwe persoonsgegevens.

Het wetsvoorstel beperkt zich tot de verstrekking van

Gezien de gewijzigde rol van de gemeente in de nieuwe

gebruik van nieuwe persoonsgegevens

(Uitkomst eerste PIA § 7.3. Memorie van toelichting)

persoonsgegevens in de relatie gemeente

Wmo situatie kan er sprake zijn van nieuwe

deel

"*

voor een bestaand doel, of bestaande

zorgverzekeraar Het wetsvoorstel plaatst deze

doelen binnen al bestaande systemen?

verstrekking niet in het kader van een (bestaande)

(scenario toevoeging

verwerking Ook de verantwoordelijke van de
%
,
verwerking wordt daarmee niet vastgesteld Het niet

"•

nieuwe persoonsgegevens).

~'j

verwerkingen.

U

opnemen van dit element vormt een risico voor de
v
^
rechtmatigheid van de verwerking ((Er staat niets

De uitkomst eerste PIA genoemd in de MvT (paragraaf
7.3) is dat er geen gebruik wordt gemaakt van nieuwe
persoonsgegevens, terwijl de daadwerkelijke gegevens
nog bij Amvb moeten worden bepaald.

over de relatie gemeente zorgverzekeraar in
paragraaf 4 1 van^de wettekst))

Persoonsgegevens worden slechts verwerkt voor zover
zij; gelet op de doeleinden waarvoor zij worden

-6

Hetjisico is öat bij nadere bepaling van de te

verzameld of vervolgens worden verwerkt, toereikend,

verwerken persoonsgegevens toch zal blijken dat er

ter zake dienend en niet bovenmatig zijn. (art 11 Wbp)

^nieuwe persoonsgegevens verwerkt zullen worden die
nieuwe risico's met zich mee zullen brengen.
tf

-»;

*

165/252

#u^h;ierl^»ssteJGië*ës'
_

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Huidige situatie Wetsvoorstel Wmo

Risico's

deel
3

Opmerkingen

*
\
~~ \

* *

Gaat het bij het project/systeem' om het

[...] Het gaat hierbij om gegevens mbt de identificatie van de

nastreven van nieuwe/aanvullende

client en het soort maatwerkvoorzieningen dat wordt

Persoonsgegevens moeten in overeenstemming met de
Het risico bestaat dat betrokkene onterecht in
- "*!
aanmerkelijke mate wordt getroffen door besluiten ^t ,wet en op behoorlijke en zorgvuldige wijze worden

doeleinden door bestaande

verstrekt. Dit heeft met name ook als doel dat

genomen op grond van gegevens uit verschillende

persoonsgegevens, of verzamelingen

zorgverzekeraar en gemeente tot een maatwerkarrangement

subsectoren uit het-sociale domem'met tedeVhun

daarvan, te gebruiken, vergelijken,

kan komen dat zoveel mogelijk bij één aanbieder of op

eigen context

delen, koppelen of anderszins verder te

integrale wijze wordt uitgevoerd zodat de client zo min

^

*t

^

~" n

Persoonsgegevens worden voor welbepaalde,
uitdrukkelijk omschreven en gerechtvaardigde

verwerken? (scenario toevoeging

mogelijk last ondervind aan de twee gescheiden stelsels

Door het samenkomen van gegevens van

doeleinden).

Wmo en Zvw. (artikelsgewijze toelichting 4.2.7. lid 2)

verschillende instanties met ieder hun eigen taak en
*

;-

,

doeleinden verzameld, (art 7 Wbp)

" - 4 - _ *•'

belang ontstaan spanningen Het risico bestaat dat

Persoonsgegevens worden niet verder verwerkt op een

Zo ja, hebben alle

Het gaat om het gebruik van bestaande persoonsgegevens»!

gegevens voor'een ander doel dan waarvoor zij zijn

wijze die onverenigbaar is met de doeleinden waarvoor

personen/instanties/systemen die

voor nieuwe doelen. (Uitkomst eerste PIA § 7.3. M_emorie

»verkregen verwerkt worden.

ze zijn verkregen, (art. 9 Wbp lid 1)

betrokken zijn bij de verwerking

van toelichting)

K ,

_,,,

,

",o
Het risico bestaat dat meer gegevens worden

dezelfde doelstelling met de verwerking
van de desbetreffende

Deze vraag is in het wetsvoorstel niet beantwoord

„

v

'verwerkt dan nodig voor het doel.

persoonsgegevens of is daarmee

Het risico bestaat dat persoonsgegevens verder

spanning mogelijk gelet op hun taak of

worden verwerkt op een wijze die niet verenigbaar is

f

hun belang?

i*'

Gelden dezelfde doelen voor het hele

f"

met de doeleinden waarvoor ze zijn verkregen.

"

|

Gezien het feit dat de gemeente gezien wordt als
regisseur in de integrale aanpak in het kader van

proces?
-c

Wmo 2015 bespreekt het wetsvoorstel de
samenkomst van persoonsgegevens vanuit
verschillende subsectoren uit het sociale domein. Dit
maakt iedere gegevensverstrekking vanuit het college

>

naar een andere (overheids)organisatie gevoeliger
c.q. risicovoller, omdat mogelijk meer gegevens
worden verstrekt dat nodig voor het doel.

166/252

verwerkt, (art 6 Wbp)

•Dufbtedfikssö'Giates
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-Zorgverzekeraar

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

4

Indien u positief hebt geantwoord op

Het wetsvoorstel gaat niet in op m e l d i n g aan de FG of aan de

Een niet gemelde verwerking in het kader van de

Een geheel of gedeeltelijk geautomatiseerde verwerking

vragen 11.2 of 11.3, hoe wordt een

CBP.

Wmo is in principe onrechtmatig

deel

"'- , ;,van persoonsgegevens, die voor de verwezenlijking van
een doeleinde of van verscheidene samenhangende

dergelijk voorgenomen gebruik (d.w.z.
gebruik van nieuwe persoonsgegevens

*" '

**

doeleinden bestemd is, wordtgemeld. (art 27 lid 1)

''•

?

in bestaande systemen of van

De verantwoordelijke meldt de verwerking alvorens

bestaande persoonsgegevens voor
''•*•

'•'

* • -

'

-

„

-

"

'

daarmee te beginnen bij het College of bij de

nieuwe doeleinden) gemeld aan: (a) de

V

functionaris voor de

*•>

v

functionaris, (art 27 lid 3)

s

gegevensbescherming, of (b) het CBP
indien er geen FG is?
5

Indien u positief geantwoord hebt op

Deze vraag is in het wetsvoorstel niet b e a n t w o o r d : „

vragen 11.2 of 11.3, welke (nadere)

'-Het risico'öë'staat dat onvoldoende maatregelen zijn

Persoonsgegevens worden in overeenstemming met de

genomen die een rechtmatige, behoorlijke en

wet en op behoorlijke en zorgvuldige wijze verwerkt, (art

zorgvuldige verwerking van persoonsgegevens borgen

6Wbp)

controles op een dergelijk gebruik

Er m o e t nog nader onderzocht w o r d e n i w e l k e (nadere)

(d.w.z. gebruik van nieuwe

controles op het gebruik van deze persoonsgegevens voor

efTeen onnodige verzameling van persoonsgegevens

'

persoonsgegevens in bestaande

deze nieuwe doelen zijn voorzien Hier w o r d t gekeken naaf

voorkomen.

Persoonsgegevens worden slechts verwerkt voor zover

systemen of van bestaande

hoe het binnen het SUWI d o m e i n is geregeld (Uitkomst

Het wetsvoorstel beperkt zich tot de verstrekking van

zij, gelet op de doeleinden waarvoor zij worden

persoonsgegevens voor nieuwe

eerste PIA § 7 3 M e m o r i e van toelichting)

persoonsgegevens in de relatie gemeente-

verzameld of vervolgens worden verwerkt, toereikend,

»•"

doeleinden) zijn voorzien?

"^
^
•H *

*"" «
~ *
""f*1

T*

H1.
^

"B,
1

Y -*

zorgverzekeraar. Het wetsvoorstel plaatst deze

.

verstrekking niet in het kader van een (bestaande)

ter zake dienend en niet bovenmatig zijn. (art 11 lid 1
Wbp)

verwerking. Ook de verantwoordelijke van de
verwerking wordt daarmee niet vastgesteld. Het niet

De verantwoordelijke legt passende technische en

opnemen van dit element vormt een risico voor de

organisatorische maatregelen ten uitvoer om

rechtmatigheid van de verwerking. ((Er staat niets

persoonsgegevens te beveiligen tegen verlies of tegen

over de relatie gemeente-zorgverzekeraar in

enige vorm van onrechtmatige verwerking. (...) (art 13

paragraaf 4.1. van de wettekst.))

Wbp)

167/252

Dut h Ie r-ÉB Associ atès
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

RISICO'S

6

Welke periodieke en incidentele

Het college en aanbieders overleggen met zorgverzekeraars

Het risico bestaat dat onvoldoende ma'atregelen.zijn

'

deel

controles zijn voorzien om.de juistheid,

als bedoeld in de Zorgverzekeringswet teneinde te komen tot

genomen om te waarborgen dat persoonsgegevens*

nauwkeurigheid en actualiteit van de in

afstemming van hun beleid in het belang van een integrale

juist, nauwkeurig en actueel zijn

het beleidsvoorstel,wetsvoorstel of

dienstverlening aan cliënten en verzekerden, (artikel 4.4.1

overheids ICT-systeem verwerkte

lid 1)

worden verzameld of vervolgens worden verwerkt, juist

beslissingen die diep in kunnen grijpen op de

Gezien dé hoeveelheid en variëteit van

persoonlijke levenssfeer van betrokkenen

persoonsgegevens zal het borgen van de juistheid,

actualiteit en op ICT systeem verwerkte persoonsgegevens te

nauwkeurigheid en actualiteit veel inspanning vergen.
i

r v

controleren worden per AmvB vastgelegd. (Uitkomst eerste"
»~y

i-

f

\

*•

*
*"*•>*

' ï"
^

'o

*v.

Gezien de ingrijpendheid van Wmo beslissingen is het

** i

i
*

168/252

* t persoonsgegevens, gelet op de doeleinden waarvoor zij

en nauwkeurig zijn. (art 11 lid 2 Wbp)

Periodieke controles om de juistheid, nauwkeurigheid en

Deze vraag is in het wetsvoorstel niet beantwoord

>>n

Onjuiste gegevens levert het risico op van^dnjuiste

persoonsgegevens na te gaan?

PIA § 7.3. Memorie van toelichting)

.

De verantwoordelijke treft de nodige maatregelen opdat
l

" "

A

• *

borgen van juistheid, nauwkeurigheid en actualiteit van
persoonsgegevens echter noodzakelijk.

©mïhfër!
Gegevensrelatie: Gemeenten-Zorgverzekeraar

Toetsmodel PIA Rijksdienst
Onder-

v

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

7

Zullen de verzamelde/verwerkte

Het college is bevoegd uit eigen beweging en desgevraagd

Het risico bestaat dat betrokkene onterecht in ,

Opmerkingen

»t

deel

persoonsgegevens gebruikt worden om

verplicht aan een zorgverzekeraar en een zorgaanbieder als

aanmerkelijke mate wordt getroffen door besluiten

Niemand kan worden onderworpen aan een besluit
r

>• waaraan voor hem rechtsgevolgen zijn verbonden of dat

het gedrag, de aanwezigheid of de

bedoeld in de Zorgverzekeringswet kosteloos de

genomen op grond van gegevens uit verschillende

hem in aanmerkelijke mate treft, indien dat besluit alleen

prestaties van mensen in kaart te

persoonsgegevens te verstrekken van een cliënt, voor zover

subsectoren uit hef/sociale domein met ieder hun

wordt genomen op grond van een geautomatiseerde

brengen en/of tebeoordelen en/ofte

die persoonsgegevens noodzakelijk zijn voor de uitvoering

eigen context

voorspellen?

van de taken die bij of krachtens de Zorgverzekeringswet aan

Zijn de betrokkenen daarvan op de

de zorgverzekeraar of de zorgaanbieder zijn opgedragen, (art

,Het risico bestaat dat meer gegevens worden

hoogte? Zijn de gegevens die hiervoor

4.2.7. lid 2)

ve/werkt dan nodig voor,het doel

' C\

4

• , "

'

i

worden gebruikt, afkomstig uit

i*-

,
Z. ^

'

-r

verwerking van persoonsgegevens bestemd om een
beeld te krijgen van bepaalde aspecten van zijn
persoonlijkheid, (art 42 Wbp)

Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt de

verschillende (eventueel externe)

Omgekeerd is denkbaar dat uit het onderzoek van de

bronnen en zijn zij oorspronkelijk voor

ondersteuningsbehoefte door het college naar voren komt

verantwoordelijke^ betrokkene de informatie mede,

andere doelen verzameld?

dat betrokkene is aangewezen op zorg die verzekerd is op

bedoeld in het tweede en derde lid, tenzij deze reeds

grond van de Zorgverzekeringswet In dat'geval ka'n^et

r

a. op het moment van vastlegging van hem betreffende

college op grond van dit artikel contactgëgevens aan de -.

gegevens, of

zorgverzekeraar of zorgaanbieder verstrekken Het gaat '"
^

Ï~

j

^

hierbij om gegevens mbtde identificatie»van de cliënt eji het
"A

i

^

*

^

*

daarvan op de hoogte is:

'

soort maatwerkvoorziemngen dat wordt verstrekt Dit heeft
1

met name ook als doel dat zorgverzekeraar en gemeente tot

b. wanneer de gegevens bestemd zijn om te worden
verstrekt aan een derde, uiterlijk op het moment van de
eerste verstrekking, (art 34 lid 1 Wbp)

een maatwêrkarfangement kan.komen datzöveel mogelijk
bij ee_n aanbieder of opjntegrale wijze wordt uitgevoerd
zodat de dient zo min mogehjkj.ast ondervind aan de twee
'gescheiden stelsels Wrno en Zvw (artikeisgewijze toelichting
-

4 2 7 hd 2)'

Deze vraag is in hefwetsvoorstel niet beantwoord.

169/252

Duthler ÊÊ$) Associates
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

**\

8

Wordt bij deze

Deze vraag is in het wetsvoorstel niet beantwoord.

Het risico bestaat dat betrokkènê^onterechf in

In de technische infrastructuur zal gewaarborgd worden dat

die geautomatiseerd genomen*worden zonder -

deel

aanmerkelijke mate wordt getroffeii^door besluiten • ; , waaraan voor hem rechtsgevolgen zijn verbonden of dat

analyse/beoordeling/voorspelling
gebruik gemaakt van vergelijking van

Niemand kan worden onderworpen aan een besluit

menselijke tussenkomst

v

^*„

-•'

hem in aanmerkelijke mate treft, indien dat besluit alleen •
wordt genomen op grond van een geautomatiseerde

persoonsgegevens die technisch

er geen automatische vergelijk van gegevens is, maar eerder

geautomatiseerd is {d.w.z. niet door

een soort dashboard voor mensen. (§ 7.4. Memorie van

verwerking van persoonsgegevens bestemd om een

mensen zelf wordt uitgevoerd)?

toelichting)

beeld te krijgenvan bepaalde aspecten van zijn
persoonlijkheid, (art 42 Wbp)

Zo ja, hoe wordt geregeld dat, indien dit
geautomatiseerde proces tot een
beoordeling of voorspelling over een

^ „

*~

Niet alleen de technische infrastructuur, maar vooral de

bepaalde persoon leidt, hierop pas

inrichting van besluitvormingsprocessen moet menselijke

concrete actie wordt ondernomen na

tussenkomst garanderen.

tussenkomst en (tweede) controle van
"FT

(menselijk) personeel?

De technische infrastructuur kan (bijvoorbeeld in de
vorm van een informatiedienst) voorzien in de
verschaffing van alleen die aspecten van
persoonsgegevens die relevant zijn voor de te nemen

<

1*

S

-

*

beslissing, zonder andere aspecten te verwerken of vrij
te geven (dataminimalisatie).

III

170/252

Betrokken instanties/systemen en verantwoordelijkheid

M. h terllfessoeiate
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-Zorgverzekeraar

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

1

Welke interne en externe instantie(s)

Het college is bevoegd uit eigen beweging en desgevraagd

Het risico bestaat dat beperkte transparantie over

De in het wetsvoorstel besproken verstrekking van

en/of systemen is/zijn betrokken bij de

verplicht aan een zorgverzekeraar en een zorgaanbieder als

ontvangers en verstrekkers van gegevens, alsmede

i »persoonsgegevens in hét kader van de relatie gemeente-

voorziene verwerking in elk van de

bedoeld in de Zorgverzekeringswet kosteloos de

gebruikte infrastructuren en deelbestanden leidt tot

zorgverzekeraar vindt plaats buiten het zicht of

onder 1.5 onderscheiden fasen?

persoonsgegevens te verstrekken van een cliënt, voor zover

minder zekerheid omtrent de betrouwbaarheid van

medeweten van de betrokkene.

Welke verstrekkers zijn er en welke

die persoonsgegevens noodzakelijk zijn voor de uitvoering

gegevens ,

ontvangers? Welke bestanden of

van de taken die bij of krachtens dé Zorgverzekeringswet aan

deelbestanden en welke

de zorgverzekeraar of de zorgaanbieder zijn opgedragen, (art

infrastructuren?

4.2.7. lid 2)

Is (in ieder stadium) duidelijk wie

Deze vraag is in het wetsvoorstel niet beantwoord.

deel

2

V
'

(

"
^ Ws

^

•• '
%

.

/

.

.

-

^'»

-

^Het wetsvoorstel beperkt zich tot de verstrekking van

Onderzoek GBP bij gemeentennaar de correcte

persoonsgegevens in de relatie gemeente-

gegevensbescherming in het kader van de uitvoering van

van de persoonsgegevens? Zo ja, is deze

Deze analyse.van nodige voorzieningen en maatregelen isin

zorgverzekeraar Het wetsvoorstel plaatst deze

de Wmo leidde in 2011 tot een kritisch rapport.

persoon of organisatie daarop

het wetsvoorstel niet vermeld

verstrekking niet in het kader van een (bestaande)

verantwoordelijk is voor de verwerking

^

tw

voldoende voorbereid en
geëquipeerd wat betreft de nodige

-V

voorzieningen en maatregelen,

•«-e-"*

waaronder middelen, beleid,

-

"e
r

v

verwerking wordt daarmee niet vastgesteld. Het niet

alle gemeenten dat de informatiebeveiliging rondom

opnemen van dit element vormt een risico voor de

Suwinet dringend moest verbeteren.

paragraaf 4.1. van de wettekst.))

' * \

Deze vraag is in het wetsvoorstel niet beantwoord

de andere betrokken organisaties,
krijgen precies toegang tot de
k-

persoonsgegevens?

In juni 2012 stuurde de Minister van Sociale Zaken naar

rechtmatigheid van de verwerking. ((Er staat niets

V

toezicht?
Wie binnen uw organisatie, en elk van

verwerking Ook de verantwoordelijke van de

over de relatie gemeente-zorgverzekeraar in

taakverdeling, procedures en intern

3

""

v /

" V

-

4

•.,'

Het nietopnemeh varfidit element vormt een risico

Onderzoek CBP bij gemeenten naar de correcte

voor de rechtmatigheid van de verwerking. Het

gegevensbescherming in het kader van de uitvoering van

beperken van de toegang tot de gegevens kan en

de Wmo leidde in 2011 tot een kritisch rapport.

beheersmaatregel zijn.
In juni 2012 stuurde de Minister van Sociale Zaken naar

Bestaat de kans dat bij het gebruik
ervan de gegevens ter beschikking

alle gemeenten dat de informatiebeveiliging rondom

komen van onbevoegden?

Suwinet dringend moest verbeteren.
3

Is

171/252

©bil^tfeifirates©oafes
Gegevensrelatie: Gemeenten-Zorgverzekeraar

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Huidige situatie Wetsvoorstel Wmo

4

Geldt voor een of meer van,de

Ja.

Risico's

i

Opmerkingen

deel
De geheimhoudingsplicht zoals die van artsen lijkt hier

betrokken instanties een beperking van

^.niet aan.de orde. Overigens geldt voor medewerkers van
'

de mogelijkheid om persoonsgegevens

\

'

t

•*

t

de gemeente die belast zijn met de uitvoeringvan de

te verwerken als gevolg van

Wmo de gebruikelijke geheimhoudingsplicht zoals.die

geheimhoudingsverplichtingen (in

ook geldt ten aanzien van de Gemeentelijke

verband met functie/wet)?

w

Basisadministratie. Dit heeft consequenties voor de
verstrekkingen aan andere actoren binnen het kader van
Wmo.

1

"Een ieder die is betrokken bij een controle als bedoeld
in het eerste of vijfde lid is verplicht tot geheimhouding
i.

v

van de persoonsgegevens waarover zij de beschikking

°*i

f,

*

hebben gekregen, behoudens voor zover enig wettelijk

«i __

voorschrift hem tot mededeling verplicht of uit zijn taak
de noodzaak tot mededeling voortvloeit.fart 120aWgba)
"ï
f
r

S

""

Deze analyse is in het wetsvoorstel nietmtgevoerd

Zijn alle stappen van de verwerking in
de zin van soorten gegevens en

j*

uitwisselingen, in kaart gebracht of te

r

brengen, zodanig dat daardoor voor de
betrokkenen inzichtelijk is bij wie,
waarom en hoe de persoonsgegevens
worden verwerkt?

172/252

'

,

V

< ^

"t-

~

't

Het niet opnemen van dit element vormt een risico

In navolging van de PIA moete n deze gegevens en

voorde rechtmatigheid van de verwerking.

uitwisselingen in kaart worden gebracht.

/©.biM^iï®fefêsfêtatés>
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-Zorgverzekeraar

Onder-

Huidige situatie Wetsvoorstel Wmo

#

Vraag

Opmerkingen

Risico's

deel
6

Zijn er beleid en procedures voorzien

Beleid en procedures voor het creëren en bijhouden van een

Het niet opnemen,van dit element vormt een risico

voor het creëren en bijhouden van een

verzameling van de persoonsgegevens zijn niet voorzien in

voor de rechtmatigheid van de verwerking

verzameling van de persoonsgegevens

het wetsvoorstel.

'

\

,

Binnen gemeenten is er vanzelfsprekend veel ervaring
' \

met de verwerking van persoonsgegevens. De mate van

rt

compliance aan de Wbp verschilt per gemeente.

die u wilt gaan gebruiken?
- "

Zo ja, hoe vaak en door wie zal de

,

. 1 -

verwerking worden gecontroleerd?
Omvat de verzameling een verwerking

> >

die namens u wordt uitgevoerd

** '-{

(bijvoorbeeld door een

''

-

"*'"

!

-'
f A

- " *

s'

onderaannemer)?
7

Is er sprake van overdracht van

Nee.

*

persoonsgegevens naar een (overheids)
—

instantie buiten de EU/EER? Heeft dit
land een niveau van
gegevensbescherming dat als passend is

-

beoordeeld door een besluit van de
Europese Gommissie of de Minister van
Veiligheid en Justitie? Worden daarbij
alle of een gedeelte van de
persoonsgegevens doorgegeven?
IV

Beveiliging en bewaring/vernietiging

,.
P.
i\t

*

""'
'

*" "* v
*>,

< ^

173/252

DÜ thler ^wssüiüès
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Huidige situatie Wetsvoorstel Wmo

Risico's

\

deel

^^
1

Is het beleid met betrekking tot

Deze controle is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormt een risico

gegevensbeveiliging binnen uw

voor de rechtmatigheid van de verwerking * ^

, organisatie op orde? Zo ja, wie/welke

In die amvb zal preciezer worden opgenomen om welke

afdeling(en) is/zijn binnen de

persoonsgegevens het gaat, op welke wijze

^

organisatie verantwoordelijk voor het

persoonsgegevens worden verwerkt en volgens welke

opstellen, implementeren en

technische standaarden dat plaatsvindt. Ook zullen de

zorgverzekeraar Het wetsvoorstel plaatst deze

handhaven hiervan? Is dit beleid

beveiligingseisen daarin een plaats krijgen, (artikelsgewijze

verstrekking niet in het kader van een (bestaande)

specifiek gericht op

toelichting H4)

verwerking Ook de verantwoordelijke van de
• t f <*v, ^
VS
verwerking wordtjdaarmëé'niet vastgesteld Het niet

De wijze waarop de beveiliging, bewaring en vernietiging* van
V*
gegevens plaats gaat vinden wordt nader uitgewerkt in de
"V t
beslissing voor welke technische voorziening ondersteunend

opnememvan difelement vormt een risico voor de

gegevensbescherming en
gegevensbeveiliging ?

i +**

"\,fc*.

gaat zijn aan de gegevensverwerking zoals opgenomen in het
„ l

^j

wetsvoorstel (Uitkomst eerste PIA § 7 3 Memorie van
2

H"*» ""* <+

Het wetsvoorstel beperkt zich tot*de verstrekking van
"^ ,
i t ^
persoonsgegevens in dè~relatie gemeente
-,^

Indien (een deel van) de verwerking bij

toelichting)
„«y* '
In artikel 4.2.7. zijn geen^bewerkers aangewezen-:

een bewerker plaatsvindt, hoe draagt u

r?'

-» x

" "*!

"ft-

~l

zorg voor de gegevensbeveiliging, en

ï

het toezicht daarop, bij die bewerker?
'

f

I1»

'* ,
*

i.
V™™'

H%

If

I74/252

Opmerkingen

**•->

'

<1'

*\

4.,,'
v

* "'"

>

alle gemeenten dat de informatiebeveiliging rondom
Suwinet dringend moest verbeteren.

KING heeft 7 mei 2013 de Baseline Informatiebeveiliging
Nederlandse Gemeenten gepubliceerd. Onbekend is in

i

rechtmatigheid van de verwerking. ((Er staat niets
o"ver de relatie gemeente-zorgverzekeraar in
paragraaf 4 1 van de wettekst.))

In juni 2012 stuurde de Minister van Sociale,Zaken naar

hoeverre gemeenten deze baseline toepassen.

•;DMMéF®foös0'Gtaites
•

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

^t
V

deel

\

3

Welke technische en organisatorische

-

J.

Zie IV.1.

>

beveiligingsmaatregelen zijn getroffen
ter voorkoming van niet-geautoriseerde

*

of onrechtmatige verwerking/misbruik
*•

'

h

'i

van (a) gegevens die in een
t

-*.

geautomatiseerd format staan (bv.

i

•*"'>.

wachtwoord-bescherming,

'

"

4

k

•

*

*

versleuteling, encryptie) en (b)
gegevens die handmatig zijn
C

-. I r

opgetekend bv. sloten op kasten)? Is er

ï6

een hoger beschermingsniveau om

k

-

-y

-

gevoelige persoonsgegevens te
beveiligen?
4

Welke procedures bestaan er in geval

Zie I V 1

'•-"".

' „

van inbreuken op
beveiligingsvoorschriften, en voor

.

-

„**

*>

f

het detecteren ervan? Is er een

"t

calamiteitenplan om het gevolg van een

,u

f

ö

onvoorziene gebeurtenis waarbij

t, "•

' 'T

->rt
*

v

,'>

\

,

'

\

=

H
*

,

s

persoonsgegevens worden blootgesteld
aan onrechtmatige verwerking of
verlies van persoonsgegevens af te
handelen?

-1

t

175/252
»©.

Duthler f|fess®ëi3t<§s
Gegevensrelatie-. Gemeenten-Zorgverzekeraar

Toetsmodel PIA Rijksdienst
Onder-

#

Huidige situatie Wetsvoorstel Wmo

Vraag

Risico's

Opmerkingen

r
•V.

* " •

"L

deel
5

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Hoe lang worden de persoonsgegevens

Het niet opnemen van dit element vormt een risico
voor de rechtmatigheid van de verwerking

bewaard? Geldt dezelfde

* * ï
i

-ïl

*

j

bewaartermijn voor elk van de typen

De wijze waarop de beveiliging, bewaring en vernietiging van

van verzamelde persoonsgegevens? Is

gegevens plaats gaat vinden wordt nader uitgewerkt in de

Uit de verschillende regimes van de subsectoren van het

het project onderworpen aan enige

beslissing voor welke technische voorziening ondersteunend

sociale domein kunnen verschillende bewaartermijnen

wettelijke/sectorale eisen met

gaat zijn aan de gegevensverwerking zoals opgenomen in het

betrekking tot bewaring?

wetsvoorstel. (Uitkomst eerste PIA § 7.3. Memorie van

*

•

" v"'

toelichting)

;
6

Zie IV.5.

Op welke beleidsmatige en technische

^

vereist?
,'

Het niet opnemen van dit element vormt een risico

*

"•voor de rechtmatigheid van de verwerking.
#"
•i

bewaartermijn te vernietigen? Worden

i't

i
r
x i
"\ *•»

'

\

-

alle persoonsgegevens, inclusief loggegevens, vernietigd? Is er controle op
de vernietiging, en door wie?
Transparantie en rechten van betrokkenen
S

«

176/252

-*'v

f
Zie IV.5.

Welke maatregelen zijn voorzien om de
persoonsgegevens na afloop van de

V

\

Het niet dpnemëh"van dit element vormt een risico
voor de rechtmatigheid van de verwerking.

gronden is deze termijn van bewaring

7

Over bewaartermijnen wordt alleen in het wetsvoorstel
-»"\ gesproken in het kader van SHG. Bij artikel 4.1.1. niet.

•"'S

'

ik

>

:

"

-

y

voortvloeien.

©üill^terfSI^SsdËiatesToetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-Zorgverzekeraar

Onder-

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

1

Is het doel van het verwerken van de

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormtjeen risico

Voor de dient zal veelal artikel 33 Wbp gelden:

voor de rechtmatigheid van de verwerking

j-lndien persoonsgegevens worden verkregen bij de

deel

Opmerkingen

' ;

H

gegevens bij de betrokkenen bekend of

"j

kan het bekend gemaakt worden?

betrokkene, deelt de verantwoordelijke vóór het

Wat is de procedure om betrokkenen

moment van de verkrijging de betrokkene de informatie

indien nodig te informeren over het

mede, bedoeld in het tweede en derde lid, tenzij de

doel van de verwerking van hun

betrokkene daarvan reeds op de hoogte is. (art 33-lid'ï

persoonsgegevens?

Wbp)

Voor gegevens van personen in het sociale netwerk (art
4.1.1. lid 4) geldt dat de gemeente hun'gegevens verkrijgt
-

zonder hun medeweten. Dan geldt artikel 34 Wbp:

Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt de
verantwoordelijke de,betrokkene de informatie mede,
bedoeld in het tweede en derde lid, tenzij deze reeds
daarvan op de hoogte is:
a. op het moment van vastlegging van hem betreffende
c

gegevens, of
b. wanneer de gegevens bestemd zijn om te worden .

i

verstrekt aan een derde, uiterlijk op het moment van;cle
t

eerste verstrekking, (art 34 lid 1)

177/252

Duthleriilil^ssöëJSÊës
Toetsmodel PIA Rijksdienst
Onder-

n

Vraag

Gegevensrelatie: Gemeenten-Zorgverzekeraar
Huidige situatie Wetsvoorstel Wmo

Opmerkingen

Risico's

deel

,

2

-

i\

Omdat het inherent.is aan het verlenen van

Risico, mogelijk in strijd met W b p tenzij adequate

van de betrokkenen verkrijgt, hoe stelt

maatschappelijke ondersteuning door het college aan de

maatregelen w o r d e n getroffen

u hen van uw identiteit en het doel van

cliënt dat gegevens worden verwerkt en verstrekt aan de

^

de verwerking op de hoogte vóór het

verschillende bij die maatschappelijke ondersteuning

moment van verwerking?

betrokken actoren, kan er vanuit worden gegaan dat het

Indien u de persoonsgegevens.dirëct

*

Dit risico lijkt beperkt aangezien betrokkene een Wmo

"*~i

<• ,
-i

aanvraag indient bij de gemeente. Voor zover nodig stelt
de gemeente op dat moment betrokkene op dehoogte
van zijn identiteit en het doel van de verwerking.

\ \

:K

verwerken van persoonsgegevens in het gehele traject op de

'c

toestemming van de dient kan rekenen, (artikelsgewijze

\

<•'

toelichting H4 §1)
3

Indien u de persoonsgegevens via een
andere (overheids)organisatie verkrijgt,

-

i

hoe zullen de betrokkenen van uw

•>

Het niet opnemen van difëlement vormt een risico
%
%
* . . <-,
voor de rechtmatigheid van de verwerking.
'

**

;

Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt de
verantwoordelijke de betrokkene de informatie mede,

identiteit en het doel van de verwerking

Het.wetsvoorstel beperkt zich tot de verstrekking van

bedoeld in het tweede en derde lid, tenzij deze reeds

op de hoogte worden gesteld op het

persoonsgegevens in de relatie gemeente-

daarvan op de hoogte is:

moment van verwerking?

zorgverzekeraar Het wetsvoorstel plaatst deze

a. op het moment van vastlegging van hem betreffende

verstrekking niet in het kader van een (bestaande)

gegevens, of

J

"

,'f

178/252

v

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Ï

verwerking. Ook de verantwoordelijke van de

b. wanneer de gegevens bestemd zijn om te worden

verwerking wordt daarmee niet vastgesteld. Het niet

verstrekt aan een derde, uiterlijk op het moment van de

opnemen van dit element vormt een risico voor de

eerste verstrekking, (art 34 lid 1)

rechtmatigheid van de verwerking. ((Er staat niets
over de relatie gemeente-zorgverzekeraar in

f.

"ï ---

paragraaf 4.1. van de wettekst:))

Iteiffl#
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-Zorgverzekeraar

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

4

Indien u toestemming tot verwerking

In het wetsvoorstel wordt de vraag over het intrekken van

Risico dat genomen maatregelen onvoldoende „

Indien persoonsgegevens worden verkregen op een

van persoonsgegevens aan de

toestemming (opt-out) tot verwerking niet beantwoord.

toereikend zijn. Het niet opnemen van dit element

-andere wijze dan bedoeld in artikel 33, deelt de

betrokkene vraagt

vormt een risico voor de rechtmatigheid van de -.

verantwoordelijke de betrokkene de informatie mede,

(opt-in), kan de betrokkene deze

verwerking, <•

deel

^

*

bedoeld in het tweede en derde lid, tenzij deze reeds
daarvan op de hoogte is:

toestemming dan op een later tijdstip
*>
weer intrekken (opt-out)? Bij een

*

v

f

weigering toestemming te geven, of bij
*"*"

een dergelijke intrekking, wat is dan de

*

l
"\
«S '

'T

implicatie voor de betrokkene?

't

*

* .

f

x

* 1
~ >r

F

>,
~ '

a. op het moment van vastlegging van hem betreffende
gegevens, of
b. wanneer de gegevens bestemd zijn om te worden
verstrekt aan een derde, uiterlijk op het moment van de
eerste verstrekking, (art 34 lid 1 Wbp)

•#p

179/252

Düth:ter5W^ss©eiatês
Toetsmodel PIA Rijksdienst
Onder-

Gegevensrelatie: Gemeenten-Zorgverzekeraar

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

5

Via welke procedure hebben

Deze vraag is in het wetsvoorstel niet beantwoord.

Risico dat genomen maatregeleri^onvoldoende

De betrokkene heeft het recht zich vrijelijk en met

Transparantie voor de burger in welke gegevens op welke

vormt een risico voor de rechtmatigheid van de

wenden met het verzoek hen mede te

manier worden verwerkt wordt per AmvB vastgelegd.

verwerking

delen of hun persoonsgegevens worden

(Uitkomst eerste PIA § 7.3. Memorie van toelichting)

deel

toereikend zijn. Het niet'opnemen'van dit eleVnent

betrokkenen de mogelijkheid zich tot de
verantwoordelijke te

-X,.

" *

*

- '

wenden met het verzoek hem mede te delen of hem
"•

Hoe worden derden, die mogelijk

Per AmvB zal nader uitgewerkt worden hoe aandacht wordt

Het we'tsvoorstel beperkt zich tot de verstrekking van

vier weken mee of hem betreffende persoonsgegevens

persoonsgegevens in de relatie gemeente-

worden verwerkt, (art 35 lid 1 Wbp)

bedenkingen hebben tegen een

geschonken aan de manier waarop verantwoordelijken in

dergelijke mededeling, in

concreto uitvoering geven aan art 34 Wbp. In de technische*,

de gelegenheid gesteld hun zienswijze

voorziening voor de gegevensverwerking zal de recht van

verwerking Ook de verantwoordelijke van de

te geven?

inzage en de recht van correctie worden gewaarborgd. Bij

verwerking wordt daarmee niet vastgesteld. Het niet

zorgverzekeraar Het wetsvoorstel plaatst deze
l
' * *,

t verstrekking niet in het kader van een (bestaande)

" 4

•»-

*™è -

het starten van het onderzoek zoals dit wetsvoorstel" i
*

.-

- "

••

*";>

opnemen vaïTdit element vormt een risico voor de
-

voorschrijft (art PM) wordt melding gedaan richting de

rechtmatigheid van de verwerking. ((Er staat niets

burger dat deze gegevensverwerking plaatsvindt. De
\'
gemeente legt het verslag van het onderzoek voor aan de,T

pvende relatie gemeente zorgverzekeraar in

v

'«\

'^

betrokkene Hiermee heeft d"è"Èetrokkene iruage in zijn t
~'

>

*'

i

*

l f

gegevens en de mogelijkheid t o t correctie ( § 7 4 M e m o r i e
van toelichting)

180/252

v

betreffende persoonsgegevens worden verwerkt. De
verantwoordelijke deelt de betrokkene schriftelijk binnen

verwerkt?

| l

"** }redelijke tussenpozen tot de verantwoordelijke te

paragraaf 4.1. van de wettekst.))

.©lalMfërlStesöeraités.
Toetsmodel PIA Rijksdienst

Gegevensrelatie: Gemeenten-Zorgverzekeraar

Onder-

Vraag

Huidige situatie Wetsvoorstel Wmo

Hoe kan een verzoek van een

•Deze vraag is in het wetsvoorstel niet beantwoord.

#

Opmerkingen

Risico's

deel
6

betrokkene tot verbetering, aanvulling,
verwijdering of

De vragen met betrekking tot verwijdering of afscherming

afscherming van persoonsgegevens in

van persoonsgegevens worden in het wetsvoorstel niet

behandeling worden genomen?

beantwoord.

Risico dat genomen maatregelen onvoldoende

Degene aan wie overeenkomstig artikel 35 kennis is

toereikend zijn. Het niet opnemen\an dit element

gegeven van hem betreffende persoonsgegevens, kan de

vormt een risico voor de rechtmatigheid van de1*
..... ^
^
verwerking Het wetsvoorstel beperkt zich tot de
"9
\ ^
~v
Y *
verstrekking van persoonsgegevens in de relatie

verantwoordelijke verzoeken deze te verbeteren, aan te

gemeente-zorgverzekeraar Het wetsvoorstel plaatst

de verwerking onvolledig of niet ter zake dienend zijn

-%

%,<#"

•* f- -

t deze verstrekking niet in het kader.van een

vullen, te verwijderen, of af te schermen indien deze
feitelijk onjuist zijn, voor het doel of de doeleinden van

dan wel anderszins in strijd met een wettelijk voorschrift

(bestaande) verwerking Ook dé verantwoordelijke

worden verwerkt. Het verzoek bevat de aan te brengen

van de verwerking wordt daarmee niet vastgesteld.

wijzigingen, (art 36 lid 1 Wbp)

Het nie^ opnemen van dit element vormt een risico
voor de rechtmatigheid van de verwerking. ((Er staat
niets over de relatie gemeente zorgverzekeraar in
paragraaf 4.1. van de wettekst.))
41

181/252

©u£htëtflB^ss®eia£ës
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensverwerking artikel 4.1.1: Gemeente intern
Huidige situatie Wetsvoorstel Wmo

Opmerkingen

Risico's

deel
1

Basisinformatie: type persoonsgegevens, type verwerkingen noodzaak/ gegevensminimalisering
1

Wilt u als verantwoordelijke

Ja, het wetsvoorstel verklaart het college van B&W

persoonsgegevens gaan gebruiken voor de

%

^

!

»

*

"*

Verwerking van andere persoonsgegevens dan die van

Persoonsgegevens moeten in overeenstemming met de

bevoegd tot het verwerken van de persoonsgegevens

de cliënt zelf levert het risico op dat meer gegevens

wet en op behoorlijke en zorgvuldige wijze worden

verwerking dieu voorziet? Zo ja, van welk

van de cliënt, zijn echtgenoot en inwonende

worden verwerkt dan nodig voor het doel De

verwerkt, (art 6 Wbp). M.a.w. de

type?

minderjarige kinderen, waaronder persoonsgegevens

begrippen echtgenoot en inwonende kinderen vragen

gegevensuitwisselingen op grond van de Wmo 2015

betreffende de gezondheid, (artikel 4.1.1. lid 1)

om nadere duiding in de wettekst onder meer uit een

moeten een compliance toets kunnen doorstaan.

oogpunt van subsidiariteit en proportionaliteit (vragen
T

zoals wat is hier de positie van een geregistreerde

Persoonsgegevens worden voor welbepaalde,

over de basale persoonsgegevens van de cliënt (naam,,

partner of van eerfpleegkind moeten ondubbelzinnig

uitdrukkelijk omschreven en gerechtvaardigde

adres, geslacht, leeftijd, bsn). (artikelsgewijze

kunnen wórden beantwoord).

doeleinden verzameld, (art 7 Wbp)

[...] Allereerst zal het college de beschikking krijgen

toelichting 4.1.1. lid 1)

"

" „,>
Vanwege/Allereerst' krijgt de formulering een open
karakter. Dat levert het risico op dat de doelbinding
wordt overschreden.

182/252

. itialftÊËM^tesêïEi-atëfs.
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking artikel 4.1.1: Gemeente intern

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

2

Andere specifieke persoonsgegevens?

Het college is voorts bevoegd ten behoeve van de

Het risico bestaat dat betrokkene onterechf'in . .

Niemand kan worden onderworpen aan een besluit

uitvoering van de taken die bij of krachtens deze wet

aanmerkelijke mate wordt getroffen door besluiten " •>

waaraan voor hem rechtsgevolgen zijn verbonden of dat

aan het college zijn opgedragen de persoonsgegevens

genomen op grond^van gegevens uit verschillende

hem in aanmerkelijke mate treft, indien dat besluit

van de dient, zijn echtgenoot en inwonende

subsectoren uit het sociale domeirï~fhet iederh*iin eigen

deel

minderjarige kinderen, waaronder persoonsgegevens

context

s, <c

betreffende de gezondheid, te verwerken die voor de

'"

^

1

'<

,

-»
-

uitvoeringvan die taken noodzakelijk zijn en die het

Het risico bestaat dat meer gegevens worden verwerkt

college heeft verkregen.ten behoeve van de uitvoering

dan nodig voor, het doel Het uitgangspunt van

van de taken die bij of krachtens de Jeugdwet, de,

integrahteit betekent niet dat gegevens kunnen worden

Participatiewet en de Wet op de schuldhulpverlening

opgèteldïzondefacht'te slaan op de plicht tot

aan het college zijn opgedragen (art 4 1 1 lid 2)

\gegevensminimalisering. Met betrekking tot het

v ^

4

t~

ï\

Ichinese walls" of met het honoreren van

college uit anderen hoofde beschikt of die het college^

beroepsgeheim adequate gegevensbescherming kan

op grond van andere bepalingen in dit wetsvoorstel ,,"*

worden gerealiseerd.

4-

"~

~

f.*

5

^ t

^

i

toelichting 4 1 1 )
/ u

.
\ *

j

••
*

-,
~f\

^ L

-JE-

bestemd om een beeld te krijgen van bepaalde aspecten
van zijn persoonlijkheid, (art 42 Wbp)

moeten worden in hoeverre met een systeem van

verstrekken, maar ook om gegevens waarover het*

door derden worden verstrekt (artikelsgewijze

geautomatiseerde verwerking van persoonsgegevens

verwerken sommige persoonsgegevens lijkt geregeld te

[...] Daarbij kan het gaan om gegevens die betrokkene
en zijn gezinsleden in het kader vanihet onderzoek \

alleen wordt genomen op grond van een

-^

•*

~

••

^

"»•(>

[ ] Daarbij wordt de ervaren problematiek breed
bezien, d w z dat ook in kaart wordt gebracht in
^hoeverre andere problemen in het sociale domein
(zorg, wonen, welzijn, jeugdzorg, onderwijs, schulden
t etc) samenhangen met zijn problemen op het vlak van

zelfredzaamheid en participatie (artikelsgewijze
toelichting 4 i ' l
i

lid 1).

'."i

183/252

©tóftteti
Gegevensverwerking artikel 4.1.1: Gemeente intern

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Risico's

Huidige situatie Wetsvoorstel Wmo

deel
2a

\

*\

Is het de bedoeling om gegevens over de

Daarnaastzal het college beschikking/krijgen over

Risico dat betrokkene in aanmerkelijke mate wordt

financiële of economische situatie van

bijzondere persoonsgegevens van betrokkene:

getroffen door besluiten genomen op grond van
' 20.

gegevens over diens lichamelijke of geestelijke

gegevens uit verschillende subsectoren uit het sociale

kunnen leiden tot stigmatisering of

beperkingen of problemen en, voor zover relevant

domein

uitsluiting te verwerken?

voor de beoordeling van de problematiek, over de zorg

'''-'

V
'-

"

v

"

die hij ontvangt in het kader van de Zorgverzekering

Het nstco bestaat da^t meer gegevens worden verwerkt

etc.

dan nodig voor het doel
*

onderzoek uit uit de aard der zaak gegevens ter

(artikelsgewijzetoelichting 4 1 1 hd 1)

}

\

~*1

h

beschikking over inkomensgegevêns die vanbelang" %
zijn bij het in kaart brengen van de te betalen eigen
bijdrage (artikelsgewijze toehclTting 4 1 1 lid 1)

st"

Omdat het college in het kader van de

$r

ij _

maatschappelijke ondersteuning verplicht is de
problematiek van betrokkene in het sociale domein in
-^ \
*^
^
onderlinge samenhang in kaart te brengen en te
^bevorderen datde dienstverlemmng in dat sociale
< domein zo goed mogelijk op elkaar wordt afgestemd,
zal het college onvermijdelijk ook gebruik moeten
maken van persoonsgegevens van betrokkene en zijn
gezinsleden waarover het college de beschikking heeft
uit hoofde van zijn taken op grond van de Jeugdwet,

(artikelsgewijze toelichting 4.1.1. lid 2)

^
-

>„-^
^

*

Verder krijgt het college m het onderzoek ook de

de Wet schuldhulpverlening, de Woningwet etc.

J;

*•* '
i

^ '-

beschikking over de gezinssituatie van betrokkene [*• ] k

-

%,
•*¥

• ,-

^

betrokkenen, of andere gegevens die

Voorts krijgt het college in het kader van het

184/252

Opmerkingen

'

l\

©^IMfêRilfesöëiaïes
Toetsmodel PIA Rijksdienst
Onder-

#

Gegevensverwerking artikel 4.1.1: Gemeente intern

Vraag

Huidige situatie Wetsvoorstel Wmo

Opmerkingen

Risico's

deel
2b

Is het de bedoeling om gegevens over

Dat het gaat om de verwerking van gegevens over

kwetsbare groepen of personen te

kwetsbare groepen of personen zoals verstandelijk

verwerken?

gehandicapten (Uitkomst eerste PIA § 7.3. Memorie

?
' -,

'V
->\

yan toelichting)
2c

Is het de bedoeling gebruikersnamen,

Door onzorgvuldig beheer van gebruikersname'n,

Niet vermeld in,wetsvoorstel.

wachtwoorden en andere inloggegevens te

wachtwoorden en andere inloggegevens bestaat het

verwerken?

risico dat ongeautoriseerde toegang tot
persoonsgegevens wordt verkregen

2d

Is het de bedoeling om uniek identificerende

Nee.

^

" '

gegevens, zoals biometrische gegevens, te
verwerken?
<

-f
•x.

185/252

•fctMëifi
Gegevensverwerking artikel 4.1.1: Gemeente intern

Toetsmodel PIA Rijksdienst
Onder-

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

2e

Is het de bedoeling om het'BSN-nummer, of

[...] Allereerst zal het college de beschikking krijgen

Het risico bestaat dat bij bekend wording van_het bsn

deel
—•

•e,

r

$£

een ander persoonsgebonden nummer te

over de basale persoonsgegevens van de dient (naam,

verwerken?

adres, geslacht, leeftijd, bsn). (artikelsgewijze

buiten het domein dat he't wetsvoorstel Wmö"2015
-•»
'i
"4
%J' ,
beoogt te regelen, persoonsgegevens van de
„\

toelichting 4.1.1. lid 1)

betrokkene uit.andeVe domeinen gekoppeld kunnen
y"

worden , "

"x
ï

\ v wet is voorgeschreven, wordt bij de verwerking van
persoonsgegevens slechts gebruikt ter uitvoering van de
betreffende wet dan wel voor doeleinden bij de wet

'

*
"

Het college, de toezichthoudende ambtenaren, het

T

""•

Een nummer dat ter identificatie van eén persoon bij

J

-!

bepaald, (art 24 lid 1 Wbp)
Het wetsvoorstel Wmo 2015 voldoet door middel van

Ir

art 4.2.12. aan dit vereiste.

CAK, een andere instantie als bedoeld in artikel 2.1.4,
zevende lid, de Sociale verzekeringsbank, het SHG, een
aanbieder, een zorgverzekeraar of een zorgaanbieder

,

als bedoeld in de Zorgverzekeringswet dan wel eeir* jj_
N»

^lï

bestuursorgaan als bedoeld in artikel 4 2 7, tweede lid, '
%

gebruiken het burgerservicenummej van een persoon
bij het verstrekken van persoonsgegevens als"bedoeld,
•"•fe.

in de artikelen 4 2 1 tot en met 4 2 7 met het doël'te
waarborgen dat de in het kader van de ^uitvoering van
i

^

(\

7"

deze wet te verwerken persoonsgegevens op die^ *?
persoon betrekking hebben (art 4*2 1F2) *
1

Het opnemenvan het bsn in de administratie dient op
zodanigewWijze te geschieden dat aan de hand van het
UI

T-

j?

W

bsn vastgesteld kan worden op welke persoon
bepaalde persoonsgegevens betrekking hebben Ook
Ï 1

bij de uitwisseling van persoonsgegevens voor de
'uitvoering van de onderhavige wet gebruiken de

B

^verschillende instanties het bsn (Artikelsgewijze
toelichting art 4 2 12)

186/252

f £.

*~
*

iliatMe:RralBss0€fatês
Toetsmodel P|A Rijksdienst

Gegevensverwerking artikel 4.1.1: Gemeente intern

Onder-

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

3

Kan van elk van de onder vraag 1.1 en vraag

Het is onvermijdelijk dat het college in het kader van

Het risico bestaat dat meer gegevens worden verwerkt

Persoonsgegevens moeten in overeenstemming met de

1.2 opgevoerde typen persoonsgegevens

dat onderzoek de beschikking krijgt over

dan nodig voor het doel.

wet en op behoorlijke en zorgvuldige wijze worden

worden gesteld dat zij beleidsmatig of

persoonsgegevens van betrokkene, met inbegrip van

deel

\

technisch direct van belang en onontbeerlijk

(zgn. bijzondere) persoonsgegevens inzake de

zijn voor het bereiken van de

gezondheid. [...] De noodzaak [van de verwerking]

beleidsdoelstelling?

•,
>

verwerkt, (art 6 Wbp)

Persoonsgegevens worden voor welbepaalde,

moet worden gezocht in de uitvoering van de

uitdrukkelijk omschreven en gerechtvaardigde

wettelijke taak. (Artikelsgewijze toelichting art 4.1.)

doeleinden verzameld, (art 7 Wbp)

Wat zou er precies niet inzichtelijk.worden
als ervoor wordt gekozen bepaalde
gegevens niet te verwerken? (Licht per te
verwerken persoonsgegeven toe.)

>

Omdat de gegevensverwerking gezien het gegeven van

Deze vraag wordt in het wetsvoorstel niet beantwoord.

maatwerk heel divers is, is het in dit stadium lastig te
bepalen om welke gegevens het exact gaat Daarom* •
zal op centraal niveau in een amvb*worden voorzien in

i

,

f

het formuleren van nadere criteria en nadere eisen ten
't

3

K* *•

,

aanzien van belangrijke aspecten van de verwerking..
van persoonsgegevens (Artikelsgewijze toelichting H4)
4

Kan als het gaat om gevoelige

Deze vraag wordt in het wetsvoorsfel niet
)u
*—•«•.

i- «
— -

persoonsgegevens hetzelfde beleidseffect of

beantwoord "'

t

technisch resultaat worden.bereikt op een

*. V-,

;

Gezien de aard van de dienstverlening.in het kader van

r

de Wmo ligt afgezien van analysedoeleinden niet voor
de hand gegevens te anonimiseren. Maatschappelijke
ondersteuning richt zich uiteindelijk op een persoon.

van de volgende wijzen: (a) door
(gecombineerd) gebruik van normale
persoonsgegevens, (b) door gebruik van

T

geanonimiseerde of gepseudonimiseerde
gegevens?

187/252

SL

anil^^d^wissöëa^ês1
Toetsmodel PIA Rijksdienst
Onder-

#

Gegevensverwerking artikel 4.1.1: Gemeente intern

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

In,welk breder wettelijk, beleidsmatig of

Omdat de gegevensverwerking gezien het gegeven van

Het ontbreken van een eensluidend technisch kader

Voor een juiste gegevensverwerking is vereist dat de

technisch kader wordt het voorziene

maatwerk heel divers is, is het,in dit stadium lastig te

voor de gegevensverwerking vormt een risico wanneer1"

betekenis van een gegeven in verschillende domeinen

deel
5

v\

bepalen om welke gegevens het exact gaat. Daarom
zal op centraal niveau in een amvb worden voorzien in

verwerking(en) van persoonsgegevens gaan

het formuleren van nadere criteria en nadere eisen ten

In het algemeen geldt dat de kaders voor de betrokken

hiervan deel uitmaken bij het voorziene

aanzien van belangrijke aspecten van de verwerking

instanties duidelijk moeten zijn, omdat anders een

traject?

van persoonsgegevens. (Artikelsgewijze toelichting H4)

Wordt hierbij gebruikt gemaakt van
(nieuwe) technologie of
informatiesystemen?

gegevens worden,ujtgewisseld

"'

informatiesystemen

188/252

Doelbinding, koppeling, kwaliteit en profilering

.*>

u

'11

t

*

*,

,

'J

25-04-2013. De nadere invulling waar betrokken Wmo
actoren om vragen is nog niet gereed.

H

,

verwerking van gegevens.

brief van de staatssecretaris aan de tweede kamer van

*,

Het wetsvoorstel vermeldt niet of er gebruik gemaakt^
wordt van (nieuwe) technologie of *

de zekerheid omtrent de betrouwbaarheid van de

Het beleidsmatige kader is in grote lijnen geschetst in de

Beleidsmatig maakt het wetsvoorstel deel uit van.de
~^
hervorming van de langdurige zorg. Het wetsvoorste!»
*ï4»

•*

risico onstaat voor de correcte uitvoering van de Wmo,

ti

bevat geen breder technisch kader

hetzelfde is. Een eensluidend technisch kader verhoogt
->

inclusief de gegevensbescherming

i"

II

v

beleid/databestand/informatiesysteem
ontwikkeld en wat voor soort(en)

\

t-

#tóti;fêifWSiSs<3ei-aïtès
Toetsmodel PIA Rijksdienst

Gegevensverwerking artikel 4.1.1: Gemeente intern

Onder-

Risico's

Opmerkingen

Het college is bevoegd tot het verwerken van de

Het specifieke doel waarvoor de persoonsgegevens

Persoonsgegevens worden voor welbepaalde,

u de persoonsgegevens gaat verwerken in

persoonsgegevens van de cliënt, zijn echtgenoot en

worden verwerkt is in algemene termen verwoord Dit

uitdrukkelijk omschreven en gerechtvaardigde

detail vastgesteld? Geldt hiervoor één en

inwonende minderjarige kinderen, waaronder

levert het risico op dat de doelbinding onvoldoende

doeleinden verzameld, (art 7 Wbp)

persoonsgegevens betreffende de gezondheid, die het

bepaald is

#

Vraag

Huidige situatie Wetsvoorstel Wmo

1

Hebt u het/de specifieke doel(en) waarvoor

deel

hetzelfde specifieke doel?

,

j-

'r)

\

college heeft verkregen ten behoeve van de uitvoering
van de taken die bij of krachtens deze wet aan het

Er wordt zowel in art 4.2 1 lid 2<als in dé Memorie van

college zijn opgedragen en voor de uitvoering van die

Toelichting gewezeri'naar de aan gemeente

taken noodzakelijk zijn. (artikel 4.1.1. lid 1)

toegewezen taken als""voldoende onderbouwing voor
de doelbinding Deze takehlijn echter in het huidige

Vastgesteld is dat het college bevoegd is tot het

%

Wefsvoorstel nog breed omschreven.

e

verwerken van persoonsgegevens, waaronder

•V

persoonsgegevens betreffende de gezondheid, die
noodzakelijk zijn voor de uitvoering van de tak"en die~
j

^

'~.

bij of krachtens deze wet aan het college zijn
. i. ^

i

p

x

„
\

t

opgedragen (artikelsgewijze toelichting 4 1 1)
B
*
«f/
^r
^, ^
Het eerste lid verschaft het college de bevoegdheid die
(bijzondere) persoonsgegevens te~verwèrken voor
v

Z •

'ï

£1*

zover dat noodzakelijk is^voor de uitvoering van zijn
taken (onderzoek, verstrekking maatwerkvoorziening
**r, •
»"•

^i v•

* s j.

*

of budget7 vaststelling eigen bijdragen, periodieke
^heroverweging/controle op geleverde ondersteuning),
<

persoonsgegevens! van de dient en a fortiori van de
personen in zijn directé'omgeving, die in het
onderzoek worden verkregen, maar voor de uitvoering
van de taken niet noodzakelijk zijn, zal het college
dèrrfalvé niet verder mogen verwerken.
(artikelsgewijze toelichting 4.1.1. lid 1)

189/252

-Eyfilil:fëtlWtess©0iafcesToetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensverwerking artikel 4.1.1: Gemeente.intern
Huidige situatie Wetsvoorstel Wmo

Opmerkingen

Risico's

"V '*.

deel
2

Het risico is dat bij nadere bepalingen de te verwerken

Gaat het bij het project/systeem om gebruik

Het gaat niet om het gebruik van nieuwe

van nieuwe persoonsgegevens voor een

persoonsgegevens. (Uitkomst eerste.PIA § 7.3.

bestaand doel, of bestaande doelen binnen

Memorie van toelichting)

'"•>'

'Jr'

~-'v^

persoonsgegevens toch zal^blijken dat er nieuwe

Gezien de gewijzigde rol van degemeentein de nieuwe
| W m o situatie kan er sprake zijn van nieuwe

-ï
verwerkingen.

persoonsgegevens verwerkt zullen worden*die nieuwe
al bestaande systemen? (scenario
risico's met zichjmee'zullen brengen, t
toevoeging

y

-

^**

^

nieuwe persoonsgegevens).

"u
f F

De uitkomst eerste PIA genoemd in de MvT (paragraaf
7.3) is dat er geen gebruik wordt gemaakt van nieuwe

v

-'
r

^"
<•

*
l

persoonsgegevens, terwijl de daadwerkelijke gegevens

<

nog bij Amvb moeten worden bepaald.
*i, -V^

Persoonsgegevens worden slechts verwerkt voor zover
\

*

zij, gelet op de doeleinden waarvoor zij worden
verzameld of vervolgens worden verwerkt, toereikend,
ter zake dienend en niet bovenmatig zijn. (art 11 Wbp)

190/252

-Bbi^h;fëKiW^ss©ciaïes
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking artikel 4.1.1: Gemeente intern

#

Vraag

Huidige situatie Wetsvoorstel Wmo

3

Gaat het bij het project/systeem om het

Het gaat om het gebruik van bestaande

Het risico bestaat dat betrokkene onterechMn

nastreven van nieuwe/aanvullende

persoonsgegevens voor nieuwe doelen. (Uitkomst

aanmerkelijke mate wordt getroffen door besluiten"'

doeleinden door bestaande

eerste P1A § 7.3. Memorie van toelichting)

genomen op grond-yan gegevens uit verschillende"-

Risico's

i

Opmerkingen

deel

persoonsgegevens, of verzamelingen
(...) Daarbij wordt de ervaren problematiek breed

koppelen of anderszins verder te

bezien, d.w.z. dat ook in kaart wordt gebracht in

doeleinden).

verwerkt, (art 6 Wbp)

subsectoren uit het sociale domeirVmet iederhun eigen

daarvan, te gebruiken, vergelijken, delen,

verwerken? (scenario toevoeging

Persoonsgegevens moeten in overeenstemming met de
'- , wet en op behoorlijke en zorgvuldige wijze worden

context

'

T

"f
- ^
\

hoeverre andere problemen in het sociale domein

••
•••..
r

-i
,

,

-t
*

'
"

*

Door het samenkomen van gegevens'Van verschillende

(zorg, wonen, welzijn, jeugdzorg, onderwijs, schulden

instanties met ieder hun eigen taak en belang ontstaan

etc) samenhangen met zijn problemen op het vlak van

spanningen Het risico bestaat dat gegevens voor een

Zo ja,.hebben alle

zelfredzaamheid en participatie, (artikelsgewijze

personen/instanties/systemen die

toelichting 4.1.1. lid 1)

**•*• _

doelstelling met de verwerking van de

Omdat het college in het kader van de

- ^

desbetreffende persoonsgegevens of is

maatschappelijke ondersteuning verplicht is de

daarmee spanning mogelijk gelet op hun

problematiek van betrokkene m~het sociale domein in

taak of hun belang? Gelden dezelfde doelen

onderlinge samenhang in kaart te brengen én te (

voor het.hele proces?

bevorderen dat desdienstverlemnmg m'dat sociale

Persoonsgegevens.worden voor welbepaalde.
uitdrukkelijk omschreven en gerechtvaardigde
doeleinden verzameld, (art 7 Wbp)

ander doel dan waarvoor zij zijn verkregen verwerkt
* worden

betrokken zijn bij de verwerking dezelfde
j-

Het risico bestaat dat meer gegevens worden verwerkt
dan nodig voor het doel

domein zo,goed mogelijk op elkaar wordt afgestemd,
V
•w

<ï\ ^

c

*

zal het college onvermijdelijk ook gebruik moeten
maken van persoonsgegevens van betrokkene en zijn
gezinsleden waarover het college de beschikking heeft
üit hoofde van zijn taken op grond van de Jeugdwet,
de Wet schuldhulpverlening, de Woningwet etc.
(artikelsgewijze toelichting 4.1.1. lid 2)

191/252

•#Mfttëillfcss&<;i:Mlës:
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking artikel 4.1.1: Gemeente intern

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

4

Indien u positief hebt geantwoord op vragen

Het wetsvoorstel gaat niet in op melding aan de FG of

Een niet gemelde verwerking in hetj<ader va'n^de^Wmo

Een geheel of gedeeltelijk geautomatiseerde verwerking

11.2 of 11.3, hoe wordt een dergelijk

aan de CBP.

is in principe onrechtmatig

van persoonsgegevens, die voorde verwezenlijking van

Opmerkingen

deel

" ' • . •

(

^

*

ïl

voorgenomen gebruik (d.w.z. gebruik van

een doeleinde of van verscheidene samenhangende

nieuwe persoonsgegevens in bestaande

doeleinden bestemd is, wordt gemeld, (art 27 lid 1)

systemen of van bestaande

V

t

,

persoonsgegevens voor nieuwe doeleinden)

De verantwoordelijke meldt de verwerking alvorens

gemeld aan: (a) de functionaris voor de

w

gegevensbescherming, of (b) het CBP indien

daarmee te beginnen bij het College of bij de
functionaris, (art 27 lid 3)

er geen FG is?

'

H-i

1

4^
5

Indien u positief geantwoord hebt op vragen

Deze vraag is in het wetsvoorstel niet beantwoord

11.2 of 11.3, welke (nadere) controles op een

i

v

** » Het risico bestaat dat onvoldoende maatregelen zijn

Persoonsgegevens worden in overeenstemming met de

genomen die een rechtmatige, behoorlijke en

wet en op behoorlijke en zorgvuldige wijze verwerkt.
(art 6 Wbp)

-f

dergelijk gebruik (d.w.z. gebruik van nieuwe

Er moet nog nader onderzocht* worden" welke (nadere)

zorgvuldige verwerking van persoonsgegevens borgen

persoonsgegevens in bestaande systemen of

controles op het gebruik van deze persoonsgegevens**

en een onnodige verzameling van persoonsgegevens

van bestaande persoonsgegevens voor

voor deze nieuwe doelen zijn voorzien Hier wordt

voorkomen.

nieuwe doeleinden) zijn voorzien?

gekeken naar hoe het binnen het SUWI domein is
geregeld (Uitkomst eerste^RI^J 7.3. Memorie van

verzameld of vervolgens worden verwerkt, toereikend,

~ toelichting)

ter zake dienend en niet bovenmatig zijn. (art 11 lid 1

!«•

"V

J-,

- t

-

}

V-

l
•

Persoonsgegevens worden slechts verwerkt voor zover
zij, gelet op de doeleinden waarvoor zij worden

l!

«3

,

v

'

Wbp)
"

'4

">

De verantwoordelijke legt passende technische en
organisatorische maatregelen ten uitvoer om
persoonsgegevens te beveiligen tegen verlies of tegen
enige vorm van onrechtmatige verwerking. [...] (art 13

192/252

liaffilfeKÉillMöGla^es
Toetsmodel PIA Rijksdienst

Gegevensverwerking artikel 4.1.1: Gemeente intern

Onder-

Huidige situatie Wetsvoorstel Wmo

#

Vraag

Opmerkingen

Risico's

deel
Wbp)

r

*~ F*

r

V

'<i

' ' <

6

Welke periodieke en incidentele controles

Periodieke controles om de juistheid, nauwkeurigheid'-

zijn voorzien om de juistheid,

en actualiteit en op ICT systeem verwerkte

nauwkeurigheid en actualiteit van de in het

persoonsgegevens te controleren worden per AmvB^ »

beleidsvoorstel, wetsvoorstel of overheids

vastgelegd (Uitkomst eerste PIA § 7 3 Memorie van <b

ICT-systeem verwerkte persoonsgegevens

toelichting)

v>

,

na te gaan?
Deze vraag is in het wetsvoorstel niet beantwoord.
i

• *

"

<

'•)•'

Het risico bestaat dat onvoldoende maatregelen zijn

De verantwoordelijke treft de nodige maatregelen opdat

genomen om te waarborgen dat persoonsgegevens

persoonsgegevens, gèlet'op de doeleinden waarvoor zij

juist, nauwkeurig en actueel zijn.

worden verzameld of vervolgens worden verwerkt, juist
en nauwkeurig zijn. (art 11 lid 2 Wbp)

Onjuiste gegevens levert het risico op van onjuiste
beslissingen die diep in kunnen grijpen op de

Gezien de hoeveelheid en variëteit van

persoonlijke levenssfeer van betrokkenen.

persoonsgegevens zal het borgen van de juistheid,
nauwkeurigheid en actualiteit veel inspanning vergen.
Gezien de ingrijpendheid van Wmo beslissingen is het
borgen van juistheid, nauwkeurigheid en actualiteit van
persoonsgegevens echter noodzakelijk.

' • ,

•

193/252

^ffijëi
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensverwerking artikel 4.1.1: Gemeente intern
Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

*•
L 'S

deel
• 7

Zullen de verzamelde/verwerkte

Het college is voorts bevoegd ten behoeve van de

persoonsgegevens gebruikt worden om het

uitvoering van de taken die bij of krachtens deze wet

**_ w*
Het risico bestaat dat betrokkene onterechtin
•

*

<•

#

Niemand kan worden onderworpen aan een besluit
• , * • >

—

waaraan voor hem rechtsgevolgen zijn verbonden of dat

alleen wordt genomen op grond van een

gedrag, de aanwezigheid of de prestaties

aan het college zijn opgedragen de persoonsgegevens

van mensen in kaart te brengen en/of te

van de dient, zijn echtgenoot en inwonende

subsectoren uit<het sociale domeinTmet iederlh'un eigen

beoordelen en/ofte

minderjarige kinderen, waaronder persoonsgegevens

context

voorspellen?

betreffende de gezondheid, te verwerken die voor de

s

'

f

' _

uitvoering van die taken noodzakelijk zijn en die het

Het risico bestaat dat meer gegevëhs'worden verwerkt
dan nodig voor het doel-

Zijn de betrokkenen daarvan op de hoogte?

van de taken die bij of krachtens de Jeugdwet, de

Zijn de gegevens die hiervoor worden
gebruikt, afkomstig uit verschillende

Participatiewet en de Wet op de schuldhulpverlening,,
3f
%
aan het college zijn opgedragen, (art 4.1.1?lid.2)

(eventueel externe) bronnen en zijn zij

De verzamelde/verwerkte gegevens zullen ook J*

hem in aanmerkelijke mate treft, indien dat besluit

geautomatiseerde verwerking van persoonsgegevens
bestemd om een beeld te krijgen van bepaalde aspecten

college heeft verkregen ten behoeve van de uitvoering

van zijn persoonlijkheid, (art 42 Wbp)

.,Indien persoonsgegevens worden verkregen op een

l

" "*=

n

\ ,

».

andere wijze dan bedoeld in artikel 33, deelt de
verantwoordelijke de betrokkene de informatie mede,

%

-

bedoeld in het tweede en derde lid, tenzij deze reeds

oorspronkelijk voor andere doelen

gebruikt worden om het gedrag van mensentin kaart „

daarvan op de hoogte is:

verzameld?

te brengen en/of te voorspellen Dit vanuit de

a. op het moment van vastlegging van hem betreffende

wettelijke taak die gemeenten met dit wetsvoorstel *

gegevens, of

krijgen om te voorkomen dat mensen zijn'aangewezen

b. wanneer de gegevens bestemd zijn om te worden

op ondersteuning (Uitkomst eerste PIA § 7 3

verstrekt aan een derde, uiterlijk op het moment van de

Memorie van toelichting)

eerste verstrekking, (art 34 lid 1 Wbp)

Per (bijzonder) persoonsgegeven zal in de AmvB
••onderbouwd worden wanneer en waarom verwerking
moet plaatsvinden zonder uitdrukkelijke toestemming
^van dejbetrokkene (§7 4 Memorie van toelichting)
P.er AmvB zal nader uitgewerkt worden hoe aandacht
wordt geschonken aan de manier waarop
verantwoordelijken in concreto uitvoering geven aan
art 34 Wbp. (§ 7.4. Memorie van toelichting)

194/252

*

aanmerkelijke mate wordt getroffen door besluiten
-*
>^
— <*
genomen op grond van gegevens uit verschillende

'©l^hMFSSte^êSfafês
Toetsmodel PIA Rijksdienst
Onder-

#

Gegevensverwerking artikel 4.1.1: Gemeente intern

Vraag

Huidige situatie Wetsvoorstel Wmo

Wordt bij deze

Deze vraag is in het wetsvoorstel niet beantwoord.

Opmerkingen

Risico's

deel
8

analyse/beoordeling/voorspelling gebruik

Het risico bestaat dat betrokkene onterecht in^

Niemand kan worden onderworpen aan een besluit

aanmerkelijke mate wordt getroffen door besluiten die " (

waaraan voor hem rechtsgevolgen zijn verbonden of dat

gemaakt van vergelijking van

In de technische infrastructuur zal gewaarborgd

geautomatiseerd genomen worden zonder,mensëlijke

persoonsgegevens die technisch

worden dat er geen-automatische vergelijk van

tussenkomst.

geautomatiseerd is (d.w.z.. niet door mensen

gegevens is, maar eerder een soort dashboard voor

zelf wordt uitgevoerd)?

mensen.;(§ 7.4. Memorie van toelichting)

\.

k

^

hem in aanmerkelijke mate treft, indien dat besluit
alleen wordt genomen op grond van een
geautomatiseerde verwerking van persoonsgegevens

*

bestemd om een bèeld.te,krijgen van:bepaalde aspecten
van zijn persoonlijkheid, (art 42 Wbp)

Zo ja, hoe wordt geregeld dat, indien dit
geautomatiseerde proces tot een
beoordeling of voorspelling over een

Niet alleen de technische infrastructuur, maar vooral de

bepaalde persoon leidt, hierop pas concrete

inrichting van besluitvormingsprocessen moet

'~

' *'

menselijke tussenkomst garanderen.

actie wordt ondernomen na tussenkomst en
"i

* i

(tweede) controle van (menselijk)

J

~"t

personeel?

•t

'" K
* -, %

^

-\

ff,

De technische infrastructuur kan (bijvoorbeeld in de

"•**

vorm van een informatiedienst) voorzien in de
verschaffing van alleen die aspecten van
persoonsgegevens die relevant zijn voor de te nemen
beslissing, zonder andere aspecten te verwerken of vrij

t

te.geveh (dataminimalisatie).
t,

III

Betrokken instanties/systemen en verantwoordelijkheid).

-Ir

• •

195/252
.©.

#ü3HlileiWfesteial:es:
:

Toetsmodel PIA Rijksdienst
Onder-

:

'

'

Gegevensverwerking artikel 4.1.1: Gemeente intern
Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

RISICO'S

1

Welke interne en externe instantie(s) en/of

Het wetsvoorstel.bevat geen informatie beschikbaar

Het risico bestaat dat beperkte transparantie over

* *

deel

t

- K
^

^

»

^

%

De betrokkene wordt gezien als degene die gegevens
^

^

j_

over bestanden, infrastructuren etc.

ontvangers en verstrekkershvan gegevens, alsmede • .« tf verstrekt. Het College gebruik (primair)
\t ^
' ^
^
gegevensbronnen en systemen binnen de gemeente
gebruikte infrastructuren en deelbestanden leidt tot^

onderscheiden fasen?

Daarbij kan het gaan om gegevens die betrokkene en

minder zekerheid omtrent de betrouwbaarheid van

Welke verstrekkers zijn er en welke

zijn gezinsleden in het kader van het onderzoek aan

gegevens ' ~

ontvangers? Welke bestanden of

het college verstrekken, maar ook om gegevens

deelbestanden en welke infrastructuren?

waarover het college uit anderen hoofde beschikt of

De betrokkene verliest na eenmalige verstrekking de

die het college op grond van andere bepalingen in dit

grip op zijn persoonsgegevens, ook omdat sprake is van

systemen.is/zijn betrokken bij de voorziene
verwerking in elk van de onder 1.5

n

• *

wetsvoorstel door derden worden verstrekt.

zelf.

^

VW*

^

'

,- - f ~

Ruimedefinitie van derden van wie gegevens over de
betrokkene mag worden verwerkt.

,« **s , meerdere (voorlle(betrokkene met transparante)

(artikelsgewijze toelichting 4 1 1 )

„>

gegevensbronnen Hierdoor ontstaat het risico dat de
'betrokkene gevolgen ondervindt van onjuist genomen

[...] zal het college onvermijdelijk ootk gebruik moeten

beslissingen, bijvoorbeeld omdat deze zijn gebaseerd

maken van persoonsgegevens van betrokkene en zijn

op verouderde of onjuiste gegevens.

gezinsleden waarover het college de beschikking heeft
uit hoofde van zijn taken'op grond van de Jeugdwet, „
de Wet schuldhulpverlening de Woningwetietc

«?

(artikelsgewijze toelichting 4 1 1 lid 2)"
2

Het college is verantwoordelijk voor de verwerking
V*
5.
bedoeld in het eerste tot en met vierde lid (artikel

Is (in ieder stadium) duidelijk wie
verantwoordelijk is voor de verwerking van

\ \

de

4 1 1 i.o s)

persoonsgegevens? Zo ja, is deze persoon of '
organisatie daarop voldoende voorbereid en.
geëquipeerd wat betreft de nodige
" 'S
voorzieningen en maatregelen, waaronder

voorbereid en geëquipeerd is en dat a|s gevolg daarvan

gegevensbescherming in het kader van de uitvoering van

de gegevensverwerking onrechtmatig is en/of dat

de Wmo leidde in 2011 tot een kritisch rapport.

t

.:
\

*

f-

Dezeanaly e van nodige voorzieningen en

> maatregelen is in het wetsvoorstel niet vermeld

beslissingen.

In juni 2012 stuurde de Minister van Sociale Zaken naar
alle gemeenten dat de informatiebeveiliging rondom
Suwinet dringend moest verbeteren.

\1

196/252

Onderzoek CBP bij gemeenten naarde correcte

betrokkenen gevolgen ondervinden van onterechte
.

middelen, beleid, taakverdeling, procedure: •*
en intern toezicht?

1

Het risico bestaat dat de gemeente onvoldoende

^

i

\
<*

r
•*-•

• ©tóh te Fllitessocistes
Toetsmodel PIA Rijksdienst

Gegevensverwerking artikel 4.1.1: Gemeente intern

Onder-

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

3

Wie binnen uw organisatie, en elk van de

Deze vraag is in het wetsvoorstel niet beantwoord.

Het niet opnemen van dit element vormt een risico

deel

T

^ gegevensbescherming in het kader van de uitvoering van

voor de rechtmatigheid van de verwerking "* '

andere betrokken organisaties, krijgen
precies toegang tot de persoonsgegevens?

Onderzoek CBP bij gemeenten naar de correcte

de Wmo leidde in 2011 tot een kritisch rapport.

*

Bestaat de kans dat bij het gebruik ervan de
'

gegevens ter beschikking komen van
onbevoegden?

4

"~

>
;•

Geldt voor een of meer van de betrokken

Ja.

^J"

J,

'

"}.

T

i"
">

"<.

V

^

In juni 2012 stuurde de Minister van Sociale Zaken naar
allegemeenten datde informatiebeveiliging rondom
Suwinet dringend moest verbeteren.
De.geheimhoudingsplicht zoals die van artsen lijkt niet

i

instanties een beperking van de

aan de orde in artikel 4.1.1. Wmo. Overigens geldt voor

mogelijkheid om persoonsgegevens te

medewerkers van de gemeente die belast zijn met de

verwerken als gevolg van

uitvoering van de Wmo de gebruikelijke

geheimhoudingsverplichtingen (in verband

geheimhoudingsplicht zoals die ook geldt ten aanzien

met functie/wet)?

van de Gemeentelijke.Basisadministratie: Dit heeft
consequenties voor de verstrekkingen aan andere

ir

&

^

•" 'i,A~

"*

V*
*

*

actorenbinnen hét kader van Wmo.

-5 * >

Een ieder die is:betrokken bij een controle als bedoeld in
het eerste of vijfde lid is verplicht tot geheimhouding

"-.f,

•f''j

,-

"

-f

i

van de persoonsgegevens waarover zij de beschikking

* -'1

hebben gekregen, behoudens voor zover enig wettelijk

i
' t

voorschrift hem tot mededeling verplicht of uit zijn taak
de noodzaak tot mededeling voortvloeit, (art 120a lid 8

\

Wgba)

/->

197/252

©öiliifêi^tesSÏMiate&
Gegevensverwerking artikel 4.1.1: Gemeente intern

Toetsmodel PIA Rijksdienst
Onder-

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

.5

Zijn alle;stappen van de verwerking in de zin

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormt ee'n'nsico

V

. X^l

deel

«t>
\^=^

|.^T.

van soorten gegevens en uitwisselingen, in

M \r-

..-£5v_

In navolging van de PIA moeten deze gegevens en

& ,
"*'i ? '*~

voor de rechtmatigheid van de verwerking

• * M «uitwisselingen in kaart worden gebracht.

kaart gebracht of te brengen, zodanig dat
daardoor voor de betrokkenen inzichtelijk is
bij wie, waarom en hoe de
persoonsgegevens worden verwerkt?
6

\

Beleid en procedures voor het creëren en bijhouden

Het niet opnemen van dit element vormt een risico

Binnen gemeenten is er vanzelfsprekend veel ervaring

het creëren en bijhouden van een

van een verzameling van de persoonsgegevens zijn *.

voortde rechtmatigheid van de verwerking

met de verwerking van persoonsgegevens. De mate van

verzameling van de persoonsgegevens die u

niet voorzien in het wetsvoorstel.

compliance aan de Wbp verschilt per gemeente.

'*

wilt gaan gebruiken?

'S

•' is.,

verwerking worden gecontroleerd? Omvat
i

de verzameling een verwerking die namens
u

i,'

wordt uitgevoerd (bijvoorbeeld door een
onderaannemer)?
Is er sprake van overdracht van

Nee.

persoonsgegevens naar een (overheids)

H

instantie buiten de EU/EER? Heeft dit land
een niveau van gegevensbescherming dat
als passend is beoordeeld door een besluite

-.

van de Europese Commissie of de Minister
van Veiligheid en Justitie? Worden daarbij
alle of een gedeelte van de

198/252

*

^J",

persoonsgegevens doorgegeven?

IV

'•>.

Zijn er beleid en procedures voorzien voor

Zo ja, hoe vaak en door wie zal de

7

••

Beveiliging en bewaring/vernietiging

lii

n

MAtóÉiKSs&eiaïés
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking artikel 4.1.1: Gemeente intern

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

1

Is het beleid met betrekking tot

Deze controle is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormt'èen.nsico

Bij artikel 4.1.1. gaat het om de gemeente als

voor de rechtmatigheid van de verwerking

9 verantwoordelijke voor de verwerking van

deel

gegevensbeveiliging binnen uw organisatie

persoonsgegevens.

op orde? Zo ja, wie/welke afdeling(en)

Bij algemene maatregel van bestuur wordt, op

is/zijn binnen de organisatie

voordracht van Onze Ministervan Veiligheid.en Justitie

verantwoordelijk voor het opstellen.

Onze.Minister, bepaald aan welke beveiligingseisen de

In juni 2012 stuurde de Minister van Sociale Zaken naar

implementeren en handhaven hiervan? Is

in dithoofdstuk bedoelde verwerking van

alle gemeenten dat de informatiebeveiliging rondom

dit beleid specifiek gericht op

persoonsgegevens voldoet, (art.4.2.9)

gegevensbescherming en

Voorts is adequate beveiliging noodzakelijk. Mede om

gegevensbeveiliging ?

te grote diversiteit tussen gemeenten te voorkomen,"

-

f ' t
%.

i.

's
•

* ^ -

KING heeft 7 mei 2013 de Baseline Informatiebeveiliging
Nederlandse Gemeenten gepubliceerd. Onbekend is in

verdient het de voorkeur dat op centraal niveau wordt

hoeverre gemeenten deze. baseline toepassen.

voorzien in het formuleren van nadere criteria en
concrete vereisten ter zake. (artikelsgewijze toelichting
4.1.3. lid 1)

Suwinet dringend moest verbeteren.

^

r*

1

^

In die amvb zal preciezer worden opgenomen om

•*

welke persoonsgegevens het gaat, op welke wijze ->
persoonsgegevens worden verwerkt en volgens welke
techmsche^standaarden dat plaatsvindt Ook zullen de
beveiligingseisen daarin een plaats krijgen
^(artikelsgewijze toelichting H4)
r

v

*

'

*-?•

>»

De wijze waafopde beveiliging, bewaring en
ji

J

*

vernietiging van gegevens plaats gaat vinden wordt
nader uitgewerkt in de beslissing voor welke
technische voorziening ondersteunend gaat zijn aan de
gegevensverwerking zoals opgenomen in het
wetsvoorstel. (Uitkomst eerste PIA § 7.3. Memorie van
toelichting)

199/252

^jaÈhlélSStesöëtMt'ëS
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking artikel 4.1.1: Gemeente intern

#

Vraag

Huidige situatie Wetsvoorstel Wmo

2

Indien (een deel van) de verwerking.bij een

In.artikel 4.1.1. zijn geen bewerkers aangewezen.

Opmerkingen

Risico's

deel

bewerker plaatsvindt, hoe draagt u zorg
V.w

voor de gegevensbeveiliging, en het toezicht
daarop, bij die bewerker?
3

Welke technische en organisatorische

c

Deze vraag is in het wetsvoorstel niet beantwoord.

beveiligingsmaatregelen zijn getroffen ter
voorkoming van niet-geautoriseerde of

Bij algemene maatregel van bestuur wordt, op

onrechtmatige verwerking/misbruik van (a)

voordracht van Onze Minister van Veiligheid en Justitie

gegevens die in een geautomatiseerd format

Onze Minister, bepaald aan welke beveiligingseisen dê1"

staan (bv. wachtwoord-bescherming,

in dit hoofdstuk bedoelde verwerking van

versleuteling, encryptie) en (b) gegevens die

persoonsgegevens voldoet (art 4 2 9)

1f

*

*v**'

1.
J

w

Het niet opnemen van dit element vormt eeri' risico

Bij artikel 4.1.1. gaat het om de gemeente als

voor de rechtmatigheid van de verwerking

verantwoordelijke voor de verwerking van
persoonsgegevens.

i

tï
*

,

\

*'t*
tg

* %i>

y

L

In juni 2012 stuurde de Minister van Sociale Zaken naar
A

t>

Vs

alle gemeenten dat de informatiebeveiliging rondom
Suwinet dringend moest verbeteren.

handmatig zijn opgetekend bv. sloten op
kasten)? Is er een hoger
beschermingsniveau om gevoelige
persoonsgegevens te beveiligen?

Voorts is adequate beveiliging noodzakelijk Mede om ,
V^J.

te grote diversiteit tussen gemeenten te voorkomen,
verdient het de;voorkeur„dat!pp,_centraal niveau wordt

hoeverre gemeenten deze baseline toepassen.

voorzien in het formuleren.van nadere criteria en »'
concrete vereisten ter zake (artikelsgewijze toelichting
4 13

lid 1)

-•"•

't

> ""'
*

,

-

<•*

-t

'"' v i \

In'die amvb zal preciezer wordënopgenomen om
^

^ ^

^

i~~

*.*-

^welke persoonsgegevens^het gaat, op welke wijze
persoonsgegevenstworden verwerkt en volgens welke
technische standaarden dat plaatsvindt Ook zullen de
beveiligingseisen daarin een plaats krijgen.
^(artikelsgewijze toelichting H4)

De wijze waarop de beveiliging, bewaring en

200/252

KING heeft 7 mei 2013 de Baseline Informatiebeveiliging
Nederlandse Gemeenten gepubliceerd. Onbekend is in

^ÉiitMêifiEpSssiéfël aïes.
Toetsmodel PIA Rijksdienst
Onder-

#

Gegevensverwerking artikel 4.1.1: Gemeente intern

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

i '

deel
•\

vernietiging van gegevens plaats gaat vinden wordt
_-

-*

i

i- ^

nader uitgewerkt in de beslissing voor welke
technische voorziening ondersteunend gaat zijn aan de
gegevensverwerking zoals opgenomen in het
wetsvoorstel. (Uitkomst eerste PIA § 7.3. Memorie van

7/

toelichting)
4

Welke procedures bestaan er in geval van

ZielV.3.

-^ as.

' ••

inbreuken op beveiligingsvoorschriften, en
voor
het detecteren ervan? Is er een
calamiteitenplan om het gevolg van een

i",

i

onvoorziene gebeurtenis waarbij
persoonsgegevens worden blootgesteld aan
onrechtmatige verwerking of verlies van
persoonsgegevens af te handelen?
i

5

Hoe lang worden de persoonsgegevens

'

t r

Deze analyse is in het wetsvoorstel niet uitgevoerd.^,

bewaard? Geldt dezelfde bewaartermijn

is

^<

v

*-

r

Het niet opnemen van dit element vormt een risico

Over bewaartermijnen wordt alleen in het wetsvoorstel

voor de rechtmatigheid van de verwerking.

gesproken in het kader van SHG. Bij artikel 4.1.1. niet.

voor elk van de typen van verzamelde

De wijze waarop de beveiliging, bewaring en

persoonsgegevens? Is het project

vernietiging van gegevens plaats gaat vinden wordt

Uit.de.verschillende regimes van de subsectoren van het

onderworpen aan enige wettelijke/sectorale

„nader uitgewerktjn,de beslissing voor welke

sociale domein kunnen verschillende bewaartermijnen

eisen met betrekking tot bewaring?

^technische vo'örziening'öndersteunend gaat zijn aan de

voortvloeien.

*

x~>

*

^

•*

~*

* *

^

*

gegevensverwerking zoals opgenomen in het
-••wetsvoorstel (Uitkomst eerste PIA § 7.3. Memorie van
toelichting)

6

Op welke beleidsmatige en.technische

Zie IV^5

Het niet opnemen van dit element vormt een risico

gronden is deze termijn van bewaring

voor de rechtmatigheid van de verwerking.

201/252
.©.

©MfeiÉllfassoöaiës
Toetsmodel PIA Rijksdienst

Gegevensverwerking artikel 4.1.1: Gemeente intern

Onder-

Huidige situatie Wetsvoorstel Wmo

Risico's

Zie IV.5.

Het niet opnemen van dit element vormt een risico

#

Vraag

Opmerkingen

deel
vereist?
~<r

7

Welke maatregelen zijn voorzien om de
persoonsgegevens na afloop van de

^

„

" •»

voor de rechtmatigheid van de verwerking

^

bewaartermijn te vernietigen? Worden alle
*

persoonsgegevens, inclusief log-gegevens,
vernietigd? Is er controle op de vernietiging,

•

' *

en door wie?
V

Transparantie en rechten van betrokkenen

."%

,

^

"c^
-!

J

202/252

ï

' ^

•*

#.ülMiéïÉSfö£§sö€iaté.s
Toetsmodel PIA Rijksdienst
Onder-

#

Gegevensverwerking artikel 4.1.1: Gemeente intern

Vraag

Huidige situatie Wetsvoorstel Wmo

Is het doel van het verwerken van de

Deze analyse is in het wetsvoorstel niet uitgevoerd

Opmerkingen

Risico's

deel
1

het bekend gemaakt worden?

Voor de Client zal veelal artikel 33 Wbp gelden:

Het niet opnemen van dit element vormt een risico
voor de rechtmatigheid van de verwerking

gegevens bij de betrokkenen bekend of kan

, ,

t

Uit het voorgaande moge duidelijk worden dat het
ii

Wat is de procedure om betrokkenen indien

college in het kader van dit onderzoek de beschikking

nodig te informeren over het doel van de

krijgt over een groot aantal gegevens van de cliënt èn,

**>*i,
Indien persoonsgegevens worden verkregen bij de

*S>

f

*

' * ?

betrokkene, deelt de verantwoordelijke vóór het
moment van de verkrijging de betrokkene de informatie

(,

verwerking van hun persoonsgegevens?

mede, bedoeld in het tweede en derde lid, tenzij de

onder omstandigheden, ook van personen uit diens
>

naaste omgeving, (artikelsgewijze toelichting 4.1.1. lid

betrokkene daarvan reeds op de hoogte is. (art 33 lid 1

1)

Wbp)

-

,

V

_

Voor gegevens van personen in het.sociale netwerk (art
4.1.1. lid 4) geldt dat de gemeente hun gegevens

,

-t

verkrijgt zonder hun medeweten. Dan,geldt artikel 34
>
Wbp:
*

*

Indien persoonsgegevens worden verkregen op een
-

andere wijze dan bedoeld in artikel 33, deelt de
verantwoordelijke de betrokkene de informatie mede,
bedoeld in het tweede en derde lid, tenzij deze reeds
daarvan op de hoogte is:

\

a. op het moment van vastlegging van hem betreffende
gegevens, of
b. wanneer de gegevens bestemd zijn om te worden
verstrekt aan een derde, uiterlijk op het moment van de
:

2

eerste verstrekking, (art 34 lid 1)

-4

'•Omdat het inherent is aan het verlenen van

Risico, mogelijk in strijd met Wbp tenzij adequate

Dit risico lijkt beperkt aangezien betrokkene een Wmo

betrokkenen verkrijgt, hoe stelt u hen van

maatschappelijke ondersteuning door het college aan

maatregelen worden getroffen.

aanvraag indient bij de gemeente. Voor zover nodig stelt

uw identiteit en het doel van de verwerking

de cliënt dat gegevens worden verwerkt en verstrekt

indien u de persoonsgegevens direct van de'

de gemeente op dat moment betrokkene op de hoogte

203/252

:DöÉliLfëM®E^©'èi:èftésToetsmodel PIA Rijksdienst

Gegevensverwerking artikel 4.1.1: Gemeente intern

Onder-

Huidige situatie Wetsvoorstel Wmo

#

Vraag

X

RISICO'S

Opmerkingen

J.

Sc

deel
e -

op de hoogte vóór het moment van

aan de verschillende bij die maatschappelijke

verwerking?

ondersteuning betrokken actoren, kan er vanuit

-*J

'"b \ > - „ „ van zijn identiteit en het.doel van de verwerking.

.
1

•*!•

-t

*
nf%

.f
^

'

*>*

worden gegaan dat het verwerken van

V

r^.

i,

persoonsgegevens in het gehele traject op de
toestemming van de dient kan rekenen,

f

-

«V

^

(artikelsgewijze toelichting H4 §1)
3

Indien u de persoonsgegevens via een

Deze analyse is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormt een risico

andere (overheids)organisatie verkrijgt, hoe

vooade rechtmatigheid van de verwerking
-

zullen de betrokkenen van uw identiteit en

j.

r

^

het doel van de verwerking op de hoogte
worden gesteld op het moment van

\

i*
1:

t

t-Sk

*

i

verwerking?
4

Indien u toestemming tot verwerking van
persoonsgegevens aan de betrokkene vraagt

Het wetsvoorstel is er juist op gerieft om verwerking ,
Risico dat genomen maatregelen onvoldoende
t
^
' -f
zonder toestemmming van de betrokkene mogelijk te
toereikend zijn. Het niet opnemen van dit element

andere wijze dan bedoeld in artikel 33, deelt de

(opt-in), kan de betrokkene deze

maken. Voor zover hettwêtsvoorstel tóestemming van

vormt een risico voor de rechtmatigheid van de

verantwoordelijke de betrokkene de informatie mede,

toestemming dan op een later tijdstip weer

de betrokkenen vereist, wórdt gesteld dat deze

verwerking.

bedoeld in het tweede en derde lid, tenzij deze reeds

/

intrekken (opt-out)? Bij een weigering

voorwaardelijkiis voor het verknjg'en van ,

daarvan op de hoogte is:

toestemming te geven, of bij een dergelijke

ondersteuning Als de betrokkenen in dat geval de

a. op het moment van vastlegging van hem betreffende

intrekking, wat is dan de

toestemming intrekt is Wmo dienstverlening dus niet

gegevens, of

implicatie voor de betrokkene?

mogelijke

b. wanneer de gegevens bestemd zijn om te worden

,_

t In het wetsvoorstel worcit het verkrijgen van

verstrekt aan een derde, uiterlijk op het moment van de

toestemming toA/erwerking (opt-in) toegelicht:

eerste verstrekking, (art 34 lid 1 Wbp)

i

Per AmvB zal nader uitgewerkt worden hoe aandacht
wordt geschonken aan de manier waarop
verantwoordelijken in concreto uitvoering geven aan
art 34 Wbp. In de technische voorziening voor de

204/252

Indien persoonsgegevens worden verkregen op een

&ftWëMlE9MsièW3&ës
Gegevensverwerking artikel 4.1.1: Gemeente intern

Toetsmodel PIA Rijksdienst
Onder-

#

Huidige situatie Wetsvoorstel Wmo

Vraag

Opmerkingen

Risico's

deel
gegevensverwerking zal de recht van inzage en de
recht van correctie worden gewaarborgd. Bij het
starten van het onderzoek zoals dit wetsvoorstel
voorschrijft (art PM) wordt melding gedaan richting de
v

burger.dat deze gegevensverwerking plaatsvindt. De

,

•""

gemeente legt het verslag van het.onderzoek voor aan
de betrokkene. Hiermee heeft de betrokkene inzage in
zijn gegevens en de mogelijkheid tot correctie. (§ 7.4.
Memorie van toelichting)

f

1

r

.» _

,
't

\ ^

"i

In het wetsvoorstel wordt de vraag over het intrekken *

*

"5

van toestemming (opt-out) tot verwerking niet „ , ,
beantwoord.
5

'

**

Via welke procédure hebben betrokkenen

Deze vraag naarde procedure kan niet worden "'"'

de mogelijkheid zich tot de

beantwoord aan de handsvah hetwetsvoorstel.

verantwoordelijke te

-v

l

\

^

**/

_,

V

wenden met het verzoek hen mede te delen

De persoon vajy/vie de gegevens''zijri°'opgeslagen ên

of hun persoonsgegevens worden verwerkt?

worden verwerkt heeft het recht deze gegevens in te

Hoe worden derden, die mogelijk

zien (art4 1 5 )

'iS**1
*

bedenkingen hebben tegen een dergelijke
mededeling, in

*

*

j

>

""*"•

*""•

-i

\

RISICO dat genomen maatregelen onvoldoende

De betrokkene heeft het recht zich vrijelijk en met

toereikend zijn. Het niet opnemen van dit element

redelijke tussenpozen tot de verantwoordelijke te

vormt een risico voor de rechtmatigheid van de

wenden met het verzoek hem mede te delen of hem

verwerking.

betreffende persoonsgegevens worden verwerkt. De
verantwoordelijke deelt de betrokkene schriftelijk
binnen vier weken mee of hem betreffende

*

^ "

persoonsgegevens worden verwerkt, (art 35 lid 1 Wbp)

~De dient heeft recht'op.inzage in zijn

de gelegenheid gesteld hun zienswijze te

persoonsgegevens Daarbij hoeft de cliënt niet aan te

geven?

geveniwaarom hij inzage wil. (artikelsgewijze
toelichting 4 1 5 lid 1)
• ' t , (»

^

Transparantie voor de burger in welke gegevens op
welke manier worden verwerkt wordt per AmvB

205/252

©üifiSnleln^^l^ss^cviatës
Toetsmodel PIA Rijksdienst
Onder-

n

Vraag

Gegevensverwerking artikel 4.1.1: Gemeente intern
x

Risico's

Huidige situatie Wetsvoorstel Wmo

*

deel

Opmerkingen
J

s
1

vastgelegd. (Uitkomsteerste PIA § 7.3. Memorie van

»..
« :*

toelichting)

Per AmvB zal nader uitgewerkt worden hoe aandacht
-

»•

wordt geschonken aan de manier waarop
verantwoordelijken in concreto uitvoering geven aan
!

S

art 34 Wbp. In de technische voorziening voor de

-s

gegevensverwerking zal de recht van inzage en de
'

, .

\

recht van correctie worden gewaarborgd. Bij het

' % ^ *! " 4.-.

starten van het onderzoek zoals dit wetsvoorstel
voorschrijft (art PM) wordt melding gedaamnchting de •
!
burger.dat deze gegevensverwerkmg<plaatsvindt- De
gemeente legt het verslag van het onderzoek voor aan
de betrokkene. Hiermee heeft de betrokkene inzage in
zijn gegevens en de mogelijkheid tot correctie (§ 7 4 ' \
1

ös " t

Memorie van toelichting)

~* *

^ -^

s

%

, „*•

206/252
.©.

-

•

'

f

J

#itiiKèii^S^ssioÜës:
Toetsmodel PIA Rijksdienst

Gegevensverwerking artikel 4.1.1: Gemeente intern

Onder-

Vraag

Huidige situatie Wetsvoorstel Wmo

Hoe kan een verzoek van een betrokkene tot

Deze vraag is in het wetsvoorstel niet beantwoord.

#

Opmerkingen

Risico's

deel
6

Risico dat genomen maatregelen onvoldoende

^

toereikend zijn. Het niet opnemen van dit element "

verbetering, aanvulling, verwijdering of

Degene aan wie overeenkomstig artikel 35 kennis is
gegeven van hem betreffende persoonsgegevens, kan

afscherming van persoonsgegevens in

De persoon van wie de gegevens zijn opgeslagen,

vormt een risico voor de rechtmatigheidvan de

de verantwoordelijke verzoeken deze te verbeteren, aan

behandeling worden genomen?

heeft het recht te verzoeken de gegevens te laten

verwerking. „

te vullen, te verwijderen, of af te schermen indien deze

corrigeren, (art 4.1.5. lid 2)

• :

;

"

feitelijk onjuist zijn, voor het doel of de doeleinden van
de verwerkingonvolledig of niet ter zake dienend zijn
dan wel anderszins in strijd met een wettelijk voorschrift

Op basis van de inzage in zijn gegevens kan de cliënt

worden verwerkt. Het verzoek bevat de aan te brengen

de verantwoordelijke verzoeken de persoonsgegevens
te verbeteren, aan te vullen, te verwijderen of af te

*-

il

wijzigingen, (art 36 lid 1 Wbp)

schermen, jartikelsgewijze toelichting 4 1 5 lid 2) -v

De gemeente legt het verslag van het onderzoek voor
$

X? *-

~

aan de betrokkene Hiermee heeft de betrokkene * "*
inzage in zijn gegevens en de mogelijkheid tot
correctie. (§7 4 Memorie van toelichting)

i.%

*

\

\^

* •

*>•

De vragen met betrekking tot verwijdering of
*.

}"S
4

^

"^
•*-" ,

afscherming van persoonsgegevens worden in het
wetsvoorstel niet beantwoord
-\* 1

207/252

#ktWéiïf@tess0€Miës
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensverwerking SHG
Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

^ .

deel
1

Basisinformatie: type persoonsgegevens, type verwerking en noodzaak/ gegevensminimalisering

*"*-

r^.
-H*%''j.
->*"*"'* ï r », _

ti

1

Wilt u als verantwoordelijke

Het SHG is bevoegd tot het verwerken van de

1»*

.,.

' i

Verwerking van andere persoonsgegevens dan die van
>

persoonsgegevens gaan.gebruiken voor de

persoonsgegevens, waaronder persoonsgegevens

verwerking die u voorziet? Zo ja, van welk

betreffende de gezondheid en het seksuele leven, van

type?

personen die betrokken zijn bij huiselijk geweld, die het

^>

<M.

de melder, (vermoedelijke) dader en slachtoffer zelf

Het betreft hier zeer gevoelige gegevens. Dit stelt hoge
eisen aan doelbinding en waarborgen

levert het n ico op dat meer gegevenscwordén
Persoonsgegevens moeten in overeenstemming met de
verwerkt dan nodig.voor het doel ^K

SHG heeft verkregen ten behoeve van de uitvoering van

jt

s

de taken, bedoeld in artikel 2.2.5., tweede en derde lid,

Vanwege waaronder' krijgtde formulering een open

wet en op behoorlijke en zorgvuldige wijze worden
verwerkt, (art 6 Wbp). M.a.w. de
gegevensuitwisselingen op grond van de Wmo 2015

en voor de uitvoering van die taken noodzakelijk zijn Het

karakter D^at levert het risico op dat de doelbinding
moeten een compliance toets kunnendoorstaan.

SHG is de verantwoordelijke voor deze verwerking: (art
wordt over chreden
4.1.3.)

<,

f>
\

^
•"

De verwerking van persoonsgegevens betreft de

t

•X

registratie van meldingen van (vermoedens van)\"

W

's,„

%t

4.1.3.)

. ,~"« ' ^ "*

208/252

-,<
5* e

-1

*

uitdrukkelijk omschreven en gerechtvaardigde
doeleinden verzameld, (art 7 Wbp)

huiselijke geweld, zodat het SHG ook daadwerkelijk als
meldpunt kan funger;en'*(artikelsgewijze toejichting

Persoonsgegevens worden voor welbepaalde,

1

rf

f

^MMëlÉifessi&i affiès.
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

2

Andere specifieke persoonsgegevens?

Gelet op de aard van de situatie, is daarbij niet.uit te

Het risico bestaat dat betrokkene onterecht in

Weliswaar is hier geen sprake van geautomatiseerde

sluiten dat het SHG aldus gegevens onder zich krijgt

aanmerkelijke mate wordt getroffen^door besluiten %

verwerking, maar de verwerking van persoonsgegevens

waaruit valt af te leiden welke ondersteuning iemand

genomen op grond van gegevens uit verschillende

uit verschillende bronnen leidt wel tot een beeld van

ontvangt, en daarmee beschikt over persoonsgegevens

subsectoren uit hêt"spciale domein met ieder hun

bepaalde aspecten van de persoonlijkheid en is in die

betreffende de gezondheid. Afhankelijk van de aard van

eigen context

zin een inbreuk op de privacy.

deel

het huiselijke geweld zal het SHG door een melding of

i

V*"*
^

,.^-

j

"*'v

'OT1
Is

*~

.,>
*.

• door het onderzoek dat het SHG daarna onderneemt,

Het nsico'bestaat dat meer gegevens worden verwerkt

Niemand kan worden onderworpen aan een besluit

ook de beschikking krijgen over het seksuele leven van

dan nodig*voor het doel Het uitgangspunt van

waaraan voor hem rechtsgevolgen zijn verbonden of

de cliënt en de vermoedelijke dader, (artikelsgewijze*-

integraliteit betekent nietdat gegevens kunnen

dat hem in aanmerkelijke mate treft, indien dat besluit

<

worden opgeteld zonder acht te slaan op de plicht tot

alleen wordt genomen op grond van een

gegëvensminimalisenng Met betrekking tot het

geautomatiseerde verwerking van persoonsgegevens

Het college is bevoegd de persoonsgegevens, waaronder

"verwerken sommige pesoonsgegevens lijkt geregeld te

bestemd om een beeld te krijgen van bepaalde

persoonsgegevens betreffende de gezondheid, die het

moeten worden in hoeverre met een systeem van

aspecten van zijn persoonlijkheid, (art 42 Wbp)

toelichting 4.1.3.)

college heeft verkregen ten behoeve van de uitvoering *•

'chmese walls" of met het honoreren van

van de taken die bij of krachtens deze wet, de Jeugdwet,

beroepsgeheim adequate gegevensbescherming kan

de Participatiewetten de Wet op de schuldhulpverlening

worden gerealiseerd.

aan het college zijn opgedragen,ite verstrekken aan [ ]
c [ ] het SHG (art4*21 )
******

f"

**k

%

%

„ ^

^h

**

Het college 15 bevoegd uit eigen beweging en
<*•**
1
i-v
o *desgevraagd.yerplicht kosteloos aan het SHG terstond de
"algemene gegevens, bedoeld in artikel 34, eerste lid,

. .
\

. onderdeel a, onder 1'tbt en met 6, van de Wet
*
<gemeentelijke basisadministratie persoonsgegevens, te
verstrekken dië'noodzakelijk zijn voor de uitvoering van
de"taken, bedoeld in artikel 2.2.S., derde lid. (art 4.2.10.
lid 1)

209/252

©WKtiiitBiSIlssöiialës:
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG
Opmerkingen

iV

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

2a

Is het de.bedoelihg om gegevens over de

Gelet op de aard van de situatie, is daarbij niet uit te

Ja het risico bestaat dat de verwerkte gegevens leiden

deel
"^

financiële of economische situatie van

sluiten dat het SHG aldus gegevens onder zich krijgt

betrokkenen, of andere gegevens die

waaruitvalt af te leiden welke ondersteuning iemand

kunnen leiden tot stigmatisering of

ontvangt, en daarmee beschikt over persoonsgegevens

uitsluiting te verwerken?

betreffende de gezondheid. Afhankelijk van de aard van

• ' * ii>

tot stigmatisering of uitsluiting Het risico bestaat dat
^ -^
"*#
^«
betrokkene in aanmerkelijke mate wordt getroffen
1 *

~»

)

-

onderwerp zich leent voor valse beschuldigingen.
verschillende bronnen die allemaal gevoelig zijn.
Daarbij komt dat het hier gaat om veel en gevoelige

door het onderzoek dat het SHG daarna onderneemt,

a
Het n ico be taat dat meer gegevens worden verwerkt

ook de beschikking.krijgen over het seksuele leven van

dan nodig voor het doel
*

toelichting 4.1.3.)

^4.

De verwerking van dergelijke bijzondere
*

(,*_
-f

-

,« r

persoonsgegevens is slechts mogelijk als üifëen melding
redelijkerwijs een vermoeden van huiselijk geweld kan * \
worden afgeleid. Wanneer daarvan geen sprake is kan
het SHG de melding nog wel registreren, maar is het niet
toegestaan om daarbij bijzondere^persoonsgegêvens te
verwerken (artikelsgewijze toelichting 4 1 3 )

210/252

huiselijk geweld is dat des tè belangrijker omdat de
gegevens stigmatiserend kunnen werken en het

door besluiten genijmen op grond van gegevens uit

het huiselijke geweld zal het SHG door een melding of

de dient en de vermoedelijke dader, (artikelsgewijze

De verantwoordelijke moet zich overtuigen van de
^ juistheid van de persoonsgegevens. In het geval van

>

gegevens.

• BtiïKelf
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG

#

Vraag

Huidige situatie Wetsvoorstel Wmo

2b

Is het de bedoeling om gegevens over

Dat het gaat om de verwerking van gegevens over

Uit de aard van het onderwerp huiselijk geweld vloeit

kwetsbare groepen of personen te

kwetsbare groepen of personen zoals verstandelijk

onvermijdelijk voort dat gegevens over kwetsbare

verwerken?

gehandicapten (Uitkomst eerste PIA § 7.3. Memorie van

groepen of personen verwerkt worden.

Risico's

Opmerkingen

deel

toelichting)
De verantwoordelijke moet zich overtuigen van de
juistheid van de persoonsgegevens. In het geval van

Om teivoorkomen dat een dergelijk.onderzoek naar een
(vermoedelijke) situatie van huiselijk geweld wordt

huiselijk geweld is dat des te belangrijker omdat de

gefrustreerd doordat betrokkenen, waaronder de

gegevens stigmatiserend kunnen werken en het

(vermoedelijke) dader op de hoogte gebracht worden en^

onderwerp zich leent voor valse beschuldigingen.

in verband met de kans op represailles voor het

Daarbij komt dat het hier gaat om veel en gevoelige

*'

gegevens.

slachtoffer, is het verstrekken van de informatie dan niet»
gewenst, (artikelsgewijze toelichting 4 3 1 lid 1 èn 2)

-

[...] Ontbreekt deze mogelijkheid, dan bestaat de kans **>>
dat het SHG vanwege mogelijke repercussies niet zal •"•>
wórden benaderd,tmet alle risico's op voortduring en
escalatie van het huiselijk geweld.van dien
(artikelsgewijze toelichting 4 3 l N i d / )
«*<"• - ,
f . 5
S

•• r-

""i->
-f

••

*

[ A] Het op verzoek van de wetfelijke vertegenwoordiger
verstrekken van inlichtingen over de jeugdige dan wel
verlenen van inzage in bescheiden van de jeugdige, zou
bijvoorbeeld met zich kunnen meebrengen dat de
wettelijke vertegenwoordiger de jeugdige onttrekt aan
verdere hulpverlening, (artikelsgewijze toelichting 4.3.2.
lid*2)

211/252

"S^ÉfüëK
""

Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensverwerking SHG
Opmerkingen

Risico's

Huidige situatie Wetsvoorstel Wmo

deel

\

2c

Is het de bedoeling gebruikersnamen,

Door onzorgvuldig beheer varifgebruikelrsnamen

Niet vermeld in wetsvoorstel.

wachtwoorden en anderejinlogge'gevens bestaat het

wachtwoorden en andere inloggegevens te

risico dat ongeautoriseerde"töegangtdt| \

verwerken?

persoonsgegevens wordt verkregen
2d

Is het de bedoeling om uniek identificerende

't

^

Nee.

gegevens, zoals biometrische gegevens, te
verwerken?
2e

Is het de bedoeling om het BSN-nummer, of

Het college, de toezichthoudende ambtenaren het CAK,

Het risico besfaat dat btj,bekend wording van het bsn

Een nummer dat ter identificatie van een persoon bij

een ander persoonsgebonden nummer te

een andere instantie als bedoeld in artikel 2.1 4, zevende

buiten het domen\dat het wetsvoorstel Wmo 2015

wet is voorgeschreven, wordt bij de verwerking van

lid, de Sociale verzekeringsbank, het SHG, een aanbieder,
een zorgverzekeraar of een zorgaanbieder als'Bèdoeld in

, f- V J
*
beoogt te regelen persoonsgegevens van de
'betrokkene uit andere domeinen gekoppeld kunnen

de betreffende wet dan wel voor doeleinden bij de wet

de Zorgverzekeringswet dan wel eerkbestuursorgaan_als

worden

bepaald, {art 24 lid 1 Wbp)

""V

verwerken?

'•<"%

persoonsgegevens slechts gebruikt ter uitvoering van

bedoeld in artikel 4 2 7, tweede lid, gebruiken het,,

Het wetsvoorstel Wmo 2015 voldoet door middel van

burgerservicënummervan'een persoon bij het

art 4.2.12. aan dit vereiste.

**}_

verstrekken van persoonsgegevens als bedoeld in de '•
artikelen 4 2 1 tot en met 4 2 7 met het doel te ïs'r
waarborgen dat de in>het kader vanfde uitvoenng van
deze wet te verwerken persoonsgegevens op die
"'t*Sfc,K
' '
persoon betrekking hebben.<(|rj4.2.12)
Het opnemen van het.bsn in de administratie dient op
zodanige wijze te geschieden; dat aan de hand van het
bsn'VastgesteJd kan^wq^rden op welke persoon bepaalde
persoonsgegevens betrekking hebben. Ook bij de
uitwisseling van persoonsgegevens voor de uitvoering
van de onderhavige wet gebruiken de verschillende
instanties het bsn (Artikelsgewijze toelichting art 4.2.12).

212/252

•%_

Büfililrt^É^sieiatêS'
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

ft

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

3

Kan van elk van de onder vraag 1.1 en vraag

Het SHG is bevoegd tot het verwerken van de

Het risico bestaat dat meer gegevens worden verwerkt

Persoonsgegevens moeten in overeenstemming met de

1.2 opgevoerde typen persoonsgegevens

persoonsgegevens, waaronder persoonsgegevens

dan nodig voor het doel nu de te verwerken"

wet en op behoorlijke en zorgvuldige wijze worden

worden gesteld dat zij beleidsmatig of

betreffende de gezondheid en het seksuele leven, van

persoonsgegevens niet nader5worden aangeduid"

deel

technisch direct van belang en onontbeerlijk

personen die betrokken zijn bij huiselijk geweid, die het

zijn voor het bereiken van.de

SHG.heeft verkregen ten behoeve van de uitvoering van

beleidsdoelstelling?

de taken, bedoeld in artikel 2.2.5., tweede en derde lid,

SHG is de verantwoordelijke voor deze verwerking, (art

als ervoor wordt gekozen bepaalde

4.1.3.)

Persoonsgegevens worden voor welbepaalde,
""

V

•»•

%

1-

•• »v.

uitdrukkelijk omschreven en gerechtvaardigde

>

Deze vraag wat er niet inzichtelijk zou worden als

registratie van meldingen van (vermoedens van) -

bepaalde gegevens niet verwerkt zouden worden,

huiselijke geweld, zodat het SHG ook daadwerkelijk als

wordt in het wetsvoorstel niet beantwoord.

meldpunt kan fungeren, (artikelsgewijze toelichting

Kan als het gaat om gevoelige

a

doeleinden verzameld, (art 7 Wbp)

De verwerking van persoonsgegevens betreft de

4.1.3.)
4

*~

1

V

gegevens niet te verwerken? (Licht per te
verwerken persoonsgegeven toe.)

verwerkt, (art 6 Wbp)

i

en voor de uitvoering van die taken noodzakelijk zijn. Het
Wat zou er precies niet inzichtelijk worden

' *~ "

' *"

i.
U
Deze vraas wordtiih?het wetsvoorstel niet Bëantwo'örd
"

*

*

~
'

.

r

-

r«'"«S'
«--•,,,

Gezien de aard van de gegevensverwerking bij huiselijk

Ij.»

geweld ligt het afgezien van analysedoeleinden niet

persoonsgegevens hetzelfde beleidseffect of
>

technisch resultaat worden.bereiktop een

f

,"

* t

"

'

voor de hand gegevens te anonimiseren. Bij huiselijk

"V.

geweld gaat het uiteindelijk om specifieke personen.

van de volgende wijzen:, (a) door
(gecombineerd) gebruik van normale

geanonimiseerde of gepseudonimiseerde

i

» '""

persoonsgegevens, (b) door gebruik van
r

r~

gegevens?

213/252

©üilKëi^wssöÈi^fes
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

5

In welk breder wettelijk, beleidsmatig of

Beleidsmatig maakt het wetsvoorstel deel uit van de

Het voorkomen of beëindigen van huiselijk geweld

technisch kader wordt het voorziene

hervorming van de langdurige zorg. Het wetsvoorstel

Het ontbreken van een eensluidend technisch kader
-*-,.
"C
* * ï*.
voor de gegevensverwerking vormt een risico wanneej^

deel

j

?

i.

beleid/databestand/informatiesysteem

bevat geen breder technisch kader.

gegevens worden uitgewisseld

heeft alleen al vanwege de mogelijke strafrechtelijke

•**?>

"it

't.

<%

r

consequenties een ander karakter dan de overige
onderdelen van de Wmo. Dat vraagt andere

ontwikkeld en wat voor soort(en)
verwerking(en) van persoonsgegevens gaan

Het wetsvoorstel vermeldt niet of er gebruik gemaakt

In het algemeen geldt dat de kaders voor de betrokken

maatregelen en waarborgen dan voor de andere Wmo

hiervan deel uitmaken bij het voorziene

wordt van (nieuwe) technologie of informatiesystemen.

instanties duidelijk moeten zijn omdat anders een

onderdelen gewenst zijn. In die zin wijkt huiselijk

traject?

risico onstaat voor de correcte uitvoering van de Wmo,

geweld af van het bredere Wmo kader.

Wordt hierbij gebruikt gemaakt van

inclusief de gegevensbescherming.

(nieuwe) technologie of
J

informatiesystemen?

"l^

Voor een juiste gegevensverwerking is vereist dat de

t ,.

betekenis van een gegeven in verschillende domeinen

F-"

' ?r

-

^

* * \

p

^t

"

vt

hetzelfde is. Een eensluidend technisch kader verhoogt
de zekerheid omtrent de betrouwbaarheid van de
verwerking van gegevens.

Het beleidsmatige kader is in grote lijnen geschetst in
•?

~

M

de brief van de staatssecretaris aan de tweede kamer
van 25-04-2013. De nadere invulling waar betrokken
Wmo actoren om vragen is nog niet gereed.

II

214/252

Doelbinding, koppeling, kwaliteit en profilering

;

,

.£teffi,të?fl
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

1

Hebt u het/de specifieke doel(en) waarvoor

Het SHG is bevoegd tot het verwerken van de

Het specifieke doel waarvoor de persoonsgegevens

deel

u de persoonsgegevens gaat verwerken in
detail vastgesteld? Geldt hiervoor één en
hetzelfde specifieke doel?

1

Persoonsgegevens worden voor welbepaalde,

persoonsgegevens, waaronder persoonsgegevens

worden verwerkt is in algemene termen verwoord" De

uitdrukkelijk omschreven en gerechtvaardigde

betreffende de gezondheid en het seksuele leven, van

verdere verwerking van persoonsgegevens,

doeleinden verzameld, (art 7 Wbp)

personen die betrokken zijn bij huiselijk geweld, die het

bijvoorbeeld,bij het inschakelen van een

SHG heeft verkregen ten behoeve van de uitvoering van

hulpverlenende instantie, is in algemene termen

de taken, bedoeld in artikel 2.2.5., tweede en derde lid,

verwoord Dit levert het risico op dat de doelbinding

en voor de uitvoering van die taken noodzakelijk zijn. Het

„onvoldoende bepaald is

*

SHG is de verantwoordelijke voor deze verwerking, (art
4.1.3.)

Er wordt zowel,in art 4 1 3*als in de Memorie van

'\

Toehchting gewezen naar de aan het SHG toegewezen
De verwerking van persoonsgegevens betreft de

taken als voldoende onderbouwing voor de

registratie van meldingen van (vermoedens van) __.

doelbinding Deze taken zijn echter in het huidige
wetsvoorstel nog breed omschreven.

huiselijke geweld, zodat het SHG ook daadwerkelijk als
meldpunt kan fungeren Vervolgens dient het SHG te

'**

beoordelen of de melding aanleiding vormt om een5 ^
andere instantie in te schakelen en welke instantie in dat
geval het beste is'Ook daarvoor kan hefrnodig zijn
persoonsgegevens te verwerken 'Wanneer ten slotte
daadwerkelijk passende hulp ingeschakeld wordt,
bijvoorbeeld dooreen hulpverlenende instantie in
„contact te brengen metseen slachtoffer, zullen ook
daartoe persoonsgegevens verwerkt worden. Dit
< implicieert dat het SHG de beschikking krijgt over
persoonsgegevens van het slachtoffer van dit huiselijke
gewejd, van de vermoedelijke dader daarvan en van de
melder (artikelsgewijze toelichting 4.1.3.)

215/252

©(afhfeiStesoeiates
Toetsmodel PIA Rijksdienst
Onder-

#

Gegevensverwerking SHG

Vraag

Huidige situatie Wetsvoorstel Wmo

Opmerkingen

Risico's
^A

deel

** 'r,

2

Gaat het bij het project/systeem om gebruik

Het gaat niet om het gebruik van nieuwe

Het risico is dat bij nadere bepaling va7itdeje

van nieuwe persoonsgegevens voor een

persoonsgegevens. (Uitkomst eerste PIA § 7.3. Memorie

verwerken persoonsgegevens toch zal blijken dat er

bestaand doel, of bestaande doelen binnen

van toelichting)

nieuwe persoonsgegevens verwerkt zullen worden die

">" i.

al bestaande systemen? (scenario

'C

Wmo situatie kan er sprake zijn van nieuwe
verwerkingen.

nieuwe risico s met zich mee zullen brengen

toevoeging

Gelet op de aard van de situatie, is daarbij niet uit te

r

De uitkomst eerste PIA genoemd in de MvT (paragraaf

nieuwe persoonsgegevens).

sluiten dat het SHG aldus gegevens onder zich krijgt

Het SHG 'kan de melding nog wel registreren' wanneer

7.3) is dat er geen gebruik wordt gemaakt van nieuwe

waaruit valt af te leiden welke ondersteuning iemand

na onderzoek geen sprake blijkt te'zijn van huiselijk

persoonsgegevens, terwijl de daadwerkelijke gegevens

ontvangt en daarmee beschikt over persoonsgegevens

geweld Het risico bestaat dat'de betrokkene in

nog bij Amvb moeten worden bepaald.

betreffende de gezondheid. Afhankelijk van de aard van

aanzienlijke mate in zijn privacy getroffen wordt, ook

het huiselijke geweld zal hét SHG door een melding of

al als de melding onjuist is Deze melding (en de

Persoonsgegevens worden slechts verwerkt voor zover

door het onderzoek dat het SHG daarna orïöemeemt,

inhoud daarvan) wordt in het huidige wetsvoorstel

zij, gelet op de doeleinden waarvoor zij worden

ook de beschikking krijgen over het seksuele leven van

met nader beschreven

de dient en de vermoedelijke dader Dit artikel geéft'het
SHG de bevoegdheid die (bijzonde're) persoonsgegevens
te verwerken voor zover dafnóodzakélijk is voor de
uitoefening van zijnitaken' De verwerking van dergelijke
~y

-

>

'^

•"-

** *

bijzondere persoonsgegevens is slechts mogelijk als uit
*

p

een melding redelijkerwijs een vermoeden van huiselijk
geweld kan worden afgeleid Wanneer daarvan geen
sprake is, kan hét SHG de melding nog wel registreren,
maar is het niet toegestaan om daarbij bijzondere
^

~jv

persoonsgegevens te verwerken (artikelsgewijze
toelichting 4 1 3 )

216/252

Gezien de,gewijzigde rol van de gemeente in de nieuwe

f

p

verzameld of vervolgens worden verwerkt, toereikend,
ter zake dienend en niet bovenmatig zijn. (art 11 Wbp)

D u tMe F illfessöei aies
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

U

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

3

Gaat het bij het project/systeem om het

Het gaat om het gebruik van bestaande

Het risico bestaat dat betrokkene ontëréchtjin.

Persoonsgegevens moeten in overeenstemming met de

nastreven van nieuwe/aanvullende

persoonsgegevens voor nieuwe doelen. (Uitkomst eerste

aanmerkelijke mate wordt getroffen door besluiten

wet en op behoorlijke en zorgvuldige wijze worden

doeleinden door bestaande

PIA § 7.3. Memorie van toelichting)

genomen op grond van gegevens uit verschillende

verwerkt, (art 6 Wbp)

deel

subsectoren uit het sociale domein met ieder hun

persoonsgegevens, of verzamelingen

eigen context

Persoonsgegevens worden voor welbepaalde,

daarvan, te gebruiken, vergelijken, delen,

De verwerking van persoonsgegevens betreft de

koppelen of anderszins verder te

registratie van meldingen van (vermoedens van)

verwerken? (scenario toevoeging

huiselijke geweld, zodat het SHG ook daadwerkelijk als

Door het samenkomen van gegevens van verschillende

doeleinden).

meldpunt kan fungeren. Vervolgens dient het SHG te

instanties met ieder hun eigen taak en belang ontstaan

beoordelen of de melding aanleiding vormt om een >•

spanning'en. Het risico bestaat dat gegevens voor een

In tegenstelling tot Wmo 2007 vermeldt het

Zo ja, hebben alle

andere instantie in te schakelen en welke instantie'insdat

"ander doel dan waarvoor ZIJ zijn verkregen verwerkt

wetsvoorstel Wmo 2015 niet dat het huiselijk geweld

personen/instanties/systemen die

geval het beste is. Ook daarvoor kan het nöcjig zijn

L worden.

door de SHG aan de politie wordt gemeld.

betrokken zijn bij de verwerking dezelfde

persoonsgegevens te verwerken Wanneer ten slotte

doelstelling met de verwerking van de

daadwerkelijk passende hulp ingeschakeld wordt,

desbetreffende persoonsgegevens of is

bijvoorbeeld door een hulpverlenende instantie in>

'^ ^

~

uitdrukkelijk omschreven en gerechtvaardigde

-

doeleinden verzameld, (art 7 Wbp)

"-.

?

Hêfirisico bestaat dat meer gegevens worden verwerkt

*

-f**

»^ jdan nodig voor het doel

daarmee spanning mogelijk gelet op hun

contact te brengen met eën^slachtoffer, zullen ook *

taak of hun belang? Gelden dezelfde doelen

daartoe persoonsgegevens verwerkt worden Dit

voor het hele proces?

implicieert datjiet SHG de beschikking krijgt over

* *

persoonsgegevens van'het slachtoffer van difchuisehjke
geweld, van de vermoedelijke dader daarvan en van de
melder* (artikelsgewijze toelichting 4 1 3 )

»

' . * % ""U „ x

*Het college is bevoegd de persoonsgegevens, waaronder
persoonsgegevens betreffende de gezondheid, die het
college heeft verkregen ten behoeve van de uitvoering
van"de taken die bij of krachtens deze wet, de Jeugdwet,
de Participatiewet en de Wet op de schuldhulpverlening
aan het college zijn opgedragen, te verstrekken aan: [...]

217/252

«iifêrWlssöëiafësToetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

Huidige situatie Wetsvoorstel Wmo

#

Vraag

Risico's

\

Opmerkingen

deel
c. [...] het SHG. (art 4.2.1.)

\

•

^

'

*

- ,

"te

^

3.
T-

. -

i
*~

218/252

}

+

^

-i

><\

^

.aail^![;ëif^tesK3eiatesToetsmodel PIA Rijksdienst
' Onder-

Gegevensverwerking SHG

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

4

Indien u positief hebt geantwoord op vragen

Het wetsvoorstel gaat niet in op melding aan de FG of

Een met gemelde verwerking in het kader van^de W m o

Een geheel of gedeeltelijk geautomatiseerde

11.2 of 11.3, hoe wordt een dergelijk

aan de CBP.

is in principe onrechtmatig

deel

>

verwerking van persoonsgegevens, die voor de

voorgenomen gebruik (d.w.z. gebruik van

verwezenlijking van een doeleinde of van verscheidene

nieuwe persoonsgegevens in bestaande

samenhangende doeleinden bestemd is, wordt gemeld.

systemen of van bestaande

*

*r

*

•i

(art 27 lid 1)

>
^r-?

<- "-

„

persoonsgegevens voor nieuwe doeleinden)

V

" \

%-

De verantwoordelijke meldt de verwerking alvorens

gemeld aan: (a) de functionaris voor de
1

gegevensbescherming, of (b) het CBP indien

s

Indien u positief geantwoord hebt op vragen

daarmee te beginnen bij het College of bij de
functionaris, (art 27 lid 3)

er geen FG is?
5

^

Deze vraag is in het wetsvoorstel niet beantwoord.

11.2 of 11.3, welke (nadere) controles op een
dergelijk gebruik (d.w.z. gebruik van nieuwe

Er moet nog nader onderzocht wordên'welke (nadere)

persoonsgegevens in bestaande systemen of

controles op het gebruik van deze persoonsgegevens

van bestaande persoonsgegevens voor

voor deze nieuwe doelen zijn voorzien Hier wordt

nieuwe doeleinden) zijn voorzien?

gekeken naar hoe het binnen het SU Wl domein is

-

Hetknsicb bestaat dat onvoldoende maatregelen zijn

Persoonsgegevens worden in overeenstemming met de

genomen die een rechtmatige, behoorlijke en

wet en op behoorlijke en zorgvuldige wijze verwerkt.

zorgvuldige verwerking van persoonsgegevens borgen

(art 6 Wbp)

enfëen onnodige verzameling van persoonsgegevens
voorkomen

, -

Persoonsgegevens worden slechts verwerkt voor zover
zij, gelet op'de doeleinden waarvoor zij worden

geregeld (Uitkomst eerste PIA § 7 3 Memorie van"**

verzameld of vervolgens worden verwerkt, toereikend,

toelichting) ^ i

ter zake dienend en niet bovenmatig zijn. (art 11 lid 1

^/s.

i,
•i>r *ï
* \

V

"*
*

r .

Wbp)

\
-

-5,

*-%

*

De verantwoordelijke legt passende technische en
^

s.

T

organisatorische maatregelen ten uitvoer om
persoonsgegevens te beveiligen tegen verlies of tegen
enige vorm van onrechtmatige verwerking. [...] (art 13
Wbp)

219/252

•©ül^;tëiraiis@«si®ës.
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensverwerking SHG
Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

1

r V

deel
6

Welke periodieke en incidentele controles

-

X

De verantwoordelijke treft'de nodige maatregelen

Periodieke controles om de juistheid, nauwkeurigheid en

Het risico bestaat dat onvoldoende maatregelen zijn

zijn voorzien om dejuistheid,

actualiteit en op ICT systeem verwerkte

genomen om te waarborgen dat persoonsgegevens'

*

nauwkeurigheid en actualiteit van de in.het

persoonsgegevens te controleren worden per AmvB

••tft.

»*

beleidsvoorstel, wetsvoorstel of overheids

vastgelegd. (Uitkomst eerste PIA § 7.3. Memorie van

ICT-systeem verwerkte persoonsgegevens

toelichting)

»«•

juist, nauwkeurig en actueel-zijn

^

,. *,
*$

>

4*

J,T

opdat persoonsgegevens, gelet op dedoeleinden
waarvoor zij worden verzameld of vervolgens worden
verwerkt, juist en nauwkeurig zijn. (art'11 lid 2Wbp)

„ '

Onjuiste gegevens levert het risico op van onjuiste

na te gaan?
Deze vraag is in het wetsvoorstel niet beantwoord.

beslissingen die diep in kunnen grijpen op de

Gezien de hoeveelheid en variëteit van

persoonlijke levenssfeer van betrokkenen

persoonsgegevens zal het borgen van de juistheid,
nauwkeurigheid en actualiteit veel inspanning vergen.

r

f
•%

220/252

V

Gezien de ingrijpendheid van Wmo beslissingen is het

-s

borgen van juistheid, nauwkeurigheid en actualiteit van
persoonsgegevens echter noodzakelijk.

-Ütófïtó
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG
Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

7

Zullen de verzamelde/verwerkte

De verwerking van persoonsgegevens betreft de

Het risico bestaat dat betrokkene onterecht in

Weliswaar is hier geen sprake van geautomatiseerde

persoonsgegevens gebruikt worden om het

registratie van meldingen van (vermoedens van) huiselijk

aanmerkelijke mate worcjt.getroffe'n^door besluiten

verwerking, maar de verwerking van persoonsgegevens

gedrag, de aanwezigheid of de prestaties

geweld, zodat het SHG ook daadwerkelijk als meldpunt

genomen op grond van gegevens uit verschillende

uit verschillende bronnen leidt wel tot een beeld van

van mensen in kaart te brengen en/of te

kan fungeren. Vervolgens dient het SHG te boordelen of

subsectoren uit het sociale domein met leder.hun

beoordelen en/ofte

de melding aanleiding vormt om een andere instantie in

eigen context

voorspellen?

te schakelen.en welke instantie in dat geval het beste is.

"^

deel

«»*•

(artikelsgewijze toelichting 4.1.3.)

Zijn de betrokkenen daarvan op de hoogte?

Indien aan een SHG bij de uitoefening van de taken, i j.

1

Zijn de gegevens die hiervoor worden

bedoeld in artikel 2.2.5., derde lid, persoonsgegevens.
worden verstrekt door een ander dan betrokkene,

t_

bepaalde aspecten van de persoonlijkheid en is in die

^

»„^

^ __

**- ' f

r

'

zin een inbreuk op de privacy.

^

Jiet nsfco bestaat dat meer gegeve'ns worden verwerkt

Niemand kan worden onderworpen aan een besluit

dan<nodig voor het doel

waaraan voor hem rechtsgevolgen zijn verbonden of

'V- '.„/
rf

gebruikt, afkomstig uit verschillende

-

"-^
!-

'

•

dat hem in aanmerkelijke-mate treft; indien dat besluit
alleen wordt genomen op grond van een
geautomatiseerde verwerking van persoonsgegevens

(eventueel externe) bronnen en zijn zij

brengt deze betrokkene hiervan zo spoedig mogelijk,

bestemd om een beeld te krijgen van.bepaalde

oorspronkelijk voor andere doelen

doch in ieder geval binnen vier weken na het moment

aspecten van zijn persoonlijkheid, (art 42 Wbp)

verzameld?

van vastlegging van hem betreffende gegevens/op de *•
hoogte (art 4 3 1)

,'
,

<*-

'*•

\
i

•*
3?

,%
Indien persoonsgegevens worden verkregen op een
andere wijze dan bedoeld in artikel 33, deelt.de.

De verzamelde/verwerkte gegevens zullen ook gebruikt

verantwoordelijke de betrokkene de informatie mede,

worden om het gedrag van mensen in kaartte brengen

bedoeld in het tweede en derde lid, tenzij deze reeds

en/of tevoorspellen Dit vanuit de wettelijke taak die

daarvan op de hoogtejs:

gemeenten metidjt wetsvoorstelknjgen om te

a. op het moment van vastlegging van hem betreffende

voorkomen dat mensen zijn aangewezen op

gegevens, of

ondersteuning (Uitkomst eerste PIA § 7.3. Memorie van

b. wanneer de gegevens bestemd zijn om te worden

, toelichting)

l

,'

verstrekt aan een derde, uiterlijk op het moment van

"•j

Per (bijzonder) persoonsgegeven zal in de AmvB

de eerste verstrekking, (art 34 lid 1 Wbp)

i (Onderbouwd worden wanneer en waarom verwerking
moet plaatsvinden zonder uitdrukkelijke toestemming
van de betrokkene. (§ 7.4. Memorie van toelichting)

221/252

©ütMe«lfeödaies
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG
l

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

8

Wordt bij deze

Deze vraag is in het wetsvoorstel niet beantwoord.

Het risico bestaat dat betrokkene ontërecfit in

Weliswaar is hier geen sprake van geautomatiseerde

aanmerkelijke mate wordt getroffen door besluitenvdie

verwerking, maar de verwerking van persoonsgegevens

-.

deel

analyse/beoordeling/voorspelling gebruik

m

j .

"Sb-

^

*

ïi

gemaakt van vergelijking van

In de technische infrastructuur zal gewaarborgd worden

geautomatiseerd.genomen worden zo"nder menselijke

uit.verschillende bronnen leidt wel tot een beeld van

persoonsgegevens die technisch

dat er geen automatische vergelijk van gegevens is, maar

tussenkomst

bepaalde aspecten van de persoonlijkheid en is in die

geautomatiseerd is (d.w.z. niet door mensen

eerder een soort dashboard voor mensen. (§ 7.4.

zelf wordt uitgevoerd)?

* .

V

^
t/'

^^

Memorie van toelichting)
i

"

ir s
V

Vt
-J

zin een inbreuk op de privacy.

[
J

Niemand kan worden onderworpen aan een besluit

Zo ja, hoe wordt geregeld dat, indien dit
f

geautomatiseerde proces tot een

waaraan voor hem rechtsgevolgen zijn verbonden of

beoordeling of voorspelling over een

dat hem in aanmerkelijke mate treft, indien dat besluit

bepaalde persoon leidt, hierop pas concrete

alleen wordt genomen opgrond van een

actie wordt ondernomen na tussenkomst en

geautomatiseerde verwerking van persoonsgegevens

(tweede) controle van (menselijk)

bestemd om een beeld te krijgen van bepaalde

personeel?

aspecten van zijn persoonlijkheid, (art 42 Wbp)

Niet alleen de technische infrastructuur, maar vooral de
e

inrichting van besluitvormingsprocessen moet
menselijke tussenkomst garanderen.

De technischejhfrastructuur kan (bijvoorbeeld in de
vorm van een informatiedienst) voorzien in de
S1

verschaffing V3n alleen die aspecten van

-\

persoonsgegevens die relevant zijn voor de te nemen
*3

beslissing, zonder andere aspecten te verwerken of vrij

V»

V

tegeven (dataminimalisatie).
i

*t

III

*

Betrokken instanties/systemen en verantwoordelijkheid

222/252
.©.

©amtéRÉiteseeiates
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

Huidige situatie Wetsvoorstel Wmo

U

Vraag

Opmerkingen

Risico's
*

deel
1

Welke interne en externe instantie(s) en/of

Het college is bevoegd de persoonsgegevens, waaronder

Het risico bestaat dat beperkte transparantie over

Het college en de melder worden gezien als degene die

systemen is/zijn betrokken bij de voorziene

persoonsgegevens betreffende de gezondheid, die het

ontvangers en verstrekkers van gegevens.'alsmede *

gegevens verstrekken. Het college gebruik (primair)

verwerking in elk van de onder 1.5

college heeft verkregen ten behoeve van de uitvoering

gebruikte infrastructuren en deelbestanden leidt tot

gegevensbronnen en systemen binnen de gemeente

onderscheiden fasen?

van de taken die bij of krachtens deze wet, de Jeugdwet,

minder zekerheid omtrent de bëtïouwbaaYrïeid van

zelf.

Welke verstrekkers zijn er en welke

de Participatiewet en de Wet op de schuldhulpverlening

gegevens >»'

ontvangers? Welke bestanden of

aan het college zijn opgedragen, te verstrekken aan [ ]

deelbestanden en welke infrastructuren?

c. [...] het SHG. (art 4.2.1.)

'•

"

,
-

-Tl

""^
a

,

'

-X

De betrokkene heeft geen grip op zijn

Ruime definitie van derden van wie gegevens over de
betrokkene mag worden verwerkt.

persoonsgegevens, ook omdat sprake is van meerdere
Derden die opgrond vaneen wettelijk voorschrift of op
grond van hun ambt of beroep tot geheimhouding zijn
verplicht, zijn bevoegd aan het SHG desgevraagd of uit

-

j

(voor de betrokkene met-transparante)

Het wetsvoorstel bevat geen informatie beschikbaar

gegevensbronnen Hierdoor ontstaat het risico dat de

over bestanden, infrastructuren etc.

betrokkene gevolgen ondervindt van onjuist genomen

eigen beweging persoonsgegevens, waaronder*. .

'beslissingen, bijvoorbeeld omdat deze zijn gebaseerd

Andere verstrekkers en betrokkenen bij de verwerking

persoonsgegevens betreffende de gezondheid en het

op'verouderde of onjuiste gegevens.

zijn ook de melder en derden (bijvoorbeeld

seksuele leven te verstrekken waarover zij beroepshalve

huisgenoten: [...] Ook kan het belang van de melder,

beschikken, indien dit noodzakelijk kan'worden gea'oht

maar ook derden (bijvoorbeeld huisgenoten), om

1 •«

-

^
*

~r
.

.

*

\

om een situatie van huiselijk geweld te beindigen of een

anoniem te blijven een reden voor weigering zijn.

redelijk vermoeden daarvan te onderzoeken (art 4 2 2)

(artikelsgewijze toelichting 4.3.1. lid 1 en 2)

\
Het college is bevoegd uit eigen beweging en
-\
desgevraagd verplicht kosteloos.aan het SHG terstond de
>-A S *

^algemene gegevens, bedoeld in artikel 34, eerste lid,
"onderdeel a, onder 1 tot en met 6, van de Wet
gemeentelijke basisadministratie persoonsgegevens, te
verstrekken die noodzakelijk zijn voor de uitvoering van
e-!

de taken, bedoeld in artikel 2.2.5., derde lid. (art 4.2.10.
lid 1)

223/252

©ui:htëpillll&ssQ€ia;tes
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

2

Is (in ieder stadium) duidelijk wie

Het SHG is bevoegd tot het verwerken van de

Het risico bestaat dat het SHG onvoldoende

verantwoordelijk is voor de verwerking van

persoonsgegevens, waaronder persoonsgegevens

de

betreffende de gezondheid en het seksuele leven, van

voorbereid en geëquipeerd is en dat als gevolg
%>*^
,
daarvan de gegevensverwerking onrechfmatigïs'en/of

persoonsgegevens? Zo ja, is deze persoon of

personen die betrokken zijn bij huiselijk geweld, die het

organisatie daarop voldoende voorbereid en

SHG heeft verkregen ten behoeve van de uitvoering van

Opmerkingen

deel

~x
^£

geëquipeerd wat betreft de nodige

de taken, bedoeld in artikel 2.2.5., tweede en derde lid,
en voor de uitvoering van die taken noodzakelijk zijn. Het

middelen, beleid, taakverdeling, procedures

SHG is de verantwoordelijke voor deze verwerking, (art
4.1.3.)

~!

"

-1'1

onterechte, beslissingen

voorzieningen en maatregelen, waaronder

en intern toezicht?

^

dat betrokkenen gevolgen ondervinden van, 4

i-«

i-1

'

'\s

- -' J

-J

Deze analyse van nodige voorzieningen en maatregelen
is in het wetsvoorstel niet vermeld.
3

Wie binnen uw organisatie, en elk van de

*"-al_

i

Deze vraag is in het wetsvoorstel niet beantwoord

y.

andere betrokken organisaties, krijgen

f.
"t

l,

gegevens ter beschikking komen van
onbevoegden?

224/252

•

Hetiniet opnemen van dit element vormt een risico

*. •voor de rechtmatigheid van de verwerking.

'\v

precies toegang tot de persoonsgegevens?
Bestaat de kans dat bij het gebruik ervan de

^¥

j

© -üt'h'MfWÊÈMsQëi ates
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG

tt

Vraag

Huidige situatie Wetsvoorstel Wmo

4

Geldt voor een of meer van de betrokken

Ja.

Opmerkingen

Risico's

deel
De geheimhoudingsplicht zoals die van artsen wordt
doorbroken door art 4.2.2.

instanties een beperking van de
mogelijkheid om persoonsgegevens te

Derden die op grond van een wettelijk voorschrift of op

verwerken als gevolg van

grond van hun ambt-of beroep tot geheimhouding zijn

geheimhoudingsverplichtingen (in verband

verplicht, zijn bevoegd aan het SHG desgevraagd of uit

./- -

-^

met functie/wet)?

" **,
~$ i

7

.-•
•»

eigen beweging persoonsgegevens, waaronder
j

-"^#

persoonsgegevens betreffende de gezondheid en het

" f Si

seksuele leven, te verstrekken waarover zij beroepshalve
beschikken, indien dit noodzakelijk kan worden geacht?
om een situatie van huiselijk geweld te beëindigen of »

• *

'.

een redelijk vermoeden daarvan te onderzoeken, (art

s

i

4.2.2.)
5

Zijn alle stappen van de verwerking in de zin

Deze analyse is in het wetsvoorstel niet uitgevoerd

-

He't niet opnemen van dit element vormt een risico

In navolging van de PIA moeten deze gegevens en

"i.

van soorten gegevens en uitwisselingen, in

voor de rechtmatigheid van de verwerking.
l

kaartgèbracht of te brengen, zodanig dat
daardoor voor de betrokkenen inzichtelijk is
bij wie, waarom en hoe de

rrn

'

i

<

uitwisselingen in kaart worden gebracht.

k

H •

^

persoonsgegevens worden verwerkt?

225/252

Du t:h tér.JÈB&ssoeiates
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

Huidige situatie Wetsvoorstel W m o

#

Vraag

6

Zijn er beleid en procedures voorzien voor

Opmerkingen

Risico's

deel
Beleid en procedures voor het creëren en bijhouden van

Het niet opnemen van dit element vormt een risico

Sinds 2007 hebben SHG's ervaring opgedaan met de

het creëren en bijhouden van een

een verzameling van de persoonsgegevens zijn niet

voor de rechtmatigheid van de verwerking ',,

verwerking van persoonsgegevens in het kader van

verzameling van de persoonsgegevens die u

voorzien in het wetsvoorstel.

'- '

wilt gaan gebruiken?

verwerking worden gecontroleerd? Omvat
de verzameling een verwerking die namens
u
- i-

wordt uitgevoerd (bijvoorbeeld door een

'T

onderaannemer)?
i

7

Is er sprake van overdracht van

Nee.

"

~'_

persoonsgegevens naar een (overheids)
instantie buiten de EU/EER? Heeft dit land
' *"• t

een niveau van gegevensbescherming dat
als passend is beoordeeld door een besluit
van de Europese Commissie of de Minister

"-X

van Veiligheid en Justitie? Worden daarbij
alle of een gedeelte van de
persoonsgegevens doorgegeven?

Beveiliging en bewaring/vernietiging

'

***

"">•%''

~~

* M

226/252

"*
i'

Zo ja, hoe vaak en door wie zal de

IV

c"

*

,

'-*

v

v -

V

i,

%r

" »
"-* ,

\

Wmo 2007.

©üih^ÉifessöeiMës
Gegevensverwerking SHG

Toetsmodel PIA Rijksdienst
Onder-

«7

Opmerkingen

U

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

1

Is het beleid met betrekking tot

Deze controle is in het wetsvoorstel niet uitgevoerd.

Het niet opnemen van dit element vormt een risico

deel
"f

v

H.

voor de rechtmatigheid van de verwerking' *

gegevensbeveiliging binnen uw organisatie
Bij algemene maatregel van bestuur wordt, op

op orde? Zo ja, wie/welke afdeMng(en)

%,

is/zijn binnen de organisatie

voordracht van Onze Minister van Veiligheid en Justitie

verantwoordelijk voor het opstellen,

Onze Minister, bepaaldiaan welke beveiligingseisen de in

implementeren en handhaven hiervan? Is

dit hoofdstuk-bedoelde .verwerking van

~*

^

?»"
~

verantwoordelijke voor de verwerking van

M

**>*

H
*%

"*"*
V

persoonsgegevens voldoet, (art 4.2.9)

dit beleid specifiek gericht op

v

,

persoonsgegevens.

t"
f

v

Bij artikel 4.1.3. gaat het om het SHG als

>

'-

*•„
(U

J *

' , * "

'Tij

f*

„ *

gegevensbescherming en
gegevensbeveiliging ?

In die amvb zal preciezer worden opgenomen om welkes.
persoonsgegevens het gaat, op welke wijze

^>

=cs
persoonsgegevens w o r d e n v e r w e r k t en volgens w e l k e "

l

technische s t a n d a a r d e n d a t p l a a t s v i n d t Ook zullen de
beveiligingseisen d a a r i n een plaats krijgen "

(artikelsgewijze toelichting H4)

»

V _

'-V ¥

&

De wijze waarop de beveiliging, bewaring en vernietiging
van gegevens plaats gaat vinden wordt>iader uitgewerkt
in de beslissing voor welke technische voorziening
ondersteunend gaat zijn aan de gegevensverwerking
zoals opgenomen in het wetsvoorstel (Uitkomst eerste
v

j,.

*

V-

"PIA § 7 3 Memorie van toelichting)
2

Indien (een deel van) de verwerking bij een
bewerker plaatsvindt, hoe draagt u,zorg

In artikel 4 13 zijn geen bewerkers aangewezen.
,

voor de gegevensbeveiliging, en het tóezjcht
daarop, bij die bewerker?

227/252

B® m térlifessöCiaÈes
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

n

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

3

Welke technische en organisatorische

Deze vraag is in het wetsvoorstel niet beantwoord.

Het niet opnemen van dit element vormt een risico

Bij artikel 4.1.3. gaat het om het SHG als

voor de rechtmatigheid^an de verwerking *

verantwoordelijke voor de verwerking van

i

deel

beveiligingsmaatregelen zijn getroffen ter
voorkoming van niet-geautoriseerde of

Bij algemene maatregel van bestuur wordt, op

onrechtmatige verwerking/misbruik van (a)

voordracht van Onze Minister van Veiligheid en Justitie

gegevens die in een geautomatiseerd

Onze Minister, bepaald aan welke beveiligingseisen de in

format staan (bv. wachtwoord-bescherming,

dit hoofdstuk bedoelde verwerking van

versleuteling, encryptie) en (b) gegevens die

persoonsgegevens voldoet, (art 4.2.9)

- "' è
persoonsgegevens.

handmatig zijn opgetekend bv. sloten op
• * •

kasten)? Is er een hoger

In die amvb zal preciezer worden opgenomen om welke*

beschermingsniveau om gevoelige

persoonsgegevens het gaat, op welke wijze

persoonsgegevens te beveiligen?

persoonsgegevens worden verwerkt en volgens welke

"**•
^%

"iv

De wijze waarop de beveiliging bewaring en vernietigmg
van gegevens plaats gaat vinden wordt^nader uitgewerkt
in de beslissing voor welke technische voorziening
ondersteunend gaat zijn aan de gegevensverwerking
zoals opgenomen in het wetsvoorstel. (Uitkomst eerste

'

-£*> dL ^ »

''t'

iPIA § 7 3 Memorie van toelichting)
.3

228/252

•
*

beveiligingseisen daarin een plaats krijgen ^
Hi

" *

\

technische standaarden dat plaatsvindt Ook zullen de

(artikelsgewijze,toelichting,H4)

Opmerkingen

•sS,

fe

t "

f
" l

« * * • *

©llfMerillfessiéillesToetsmodel PIA Rijksdienst
Onder-

#

Gegevensverwerking SHG

Vraag

Huidige situatie Wetsvoorstel Wmo

Welke procedures bestaan er ingeval van

Zie IV.3.

Risico's

Opmerkingen

/'

deel

r

4

inbreuken op beveiligingsvoorschriften, en
voor

""

,

>

(

het detecteren ervan? Is er een
calamiteitenplan om het gevolg van een
. onvoorziene gebeurtenis waarbij
persoonsgegevens worden blootgesteld aan
•" t S*-

V^

onrechtmatige'verwerking of verlies van
l

persoonsgegevens af te handelen?
5

Hoe lang worden de persoonsgegevens

Deze analyse is in het wetsvoorstel niet.uitgevoerd: "

bewaard? Geldt dezelfde bewaartermijn
voor elk van de typen van verzamelde
persoonsgegevens? Is het project
onderworpen aan enige wettelijke/sectorale
eisen met betrekking tot bewaring?

Onverminderd artikel 4.3.5. bewaarthetSHG bescheiden
v
*"
^
*
die hij met betrekking tot een betrokkene onder zich
heeft gedurende vijftien jaren, te rekenen van het,
*
<* *
-""^
tijdstip van ontvangst of waaföp.deze'door het SHG zijn
v
*
V
' •»
*••
vervaardigd, of zoveel langer als redelijkerwus.in
v~
^4

-f

*

i,

»•*

W " >
/ Ï
t

v.

t

Het niet opnemen van dit element vormt een risico

Uit de verschillende regimes van de'subsectoren van

voor de rechtmatigheid van de verwerking

het sociale domein kunnen verschillende
bewaartermijnen voortvloeien.

De bewaartermijn van vijftien jaar resulteert in het
\nsjco van bovenmatigheid. Door veroudering dreigt

Het risico dat een betrokkene jarenlang achtervolgd

verlies van datakwaliteit.

wordt door een mogelijk onjuiste registratietkan
beheerst worden door een kortere bewaartermijn.

l

verband met een zorgvuldige-uitvoenng van de taken
van het.SHG noodzakelijk is (art 4'3 4 )
* -*

'

De wijze waarop_de beveiliging,-bewanng en vernietiging
ivan gegevens plaats gaat vinden wordt nader uitgewerkt
m de beslissing voor welke technische voorziening
ondersteunend gaatTzijn aan de gegevensverwerking
zoals opgenomen in het wetsvoorstel. (Uitkomst eerste
PIA § 7 3 Memorie van toelichting)

229/252

'fiwêfaférïi^tessöEia£es
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG

#

Vraag

Huidige situatie Wetsvoorstel W m o

Risico's

6

Op welke beleidsmatige en technische

Met de artikelen 4.3.4. en 4.3.5. wordt inzake het

Het niet opnemen van dit element vormt een risico
sw
***
voor de rechtmatigheid'van de verwerking-.

Opmerkingen

'

deel

^

Se
Jr

gronden is deze termijn van bewaring

bewaren en vernietigen van bescheiden aangesloten bij

vereist?

de bepalingen inzake de geneeskundige
J

„

- ,„

de bepalingen in de Wet op de jeugdzorg (de artikelen
55 en 56). Hierdoor komende de termijnen voor

/-l

bewaren en vernietigen overeen met de termijnen
waaraan bijvoorbeeld betrokken zorgaanbieders zich *~
dienen te houden, (artikelsgewijze toelichting 4.3.4 ) v

V

"\

Het wetsvoorstel bevat geen informatie beschikbaar

. - } ' *.

bewaartermijn te vernietigen? Worden alle

•V'

persoonsgegevens, inclusief log-gegevens,

*.''. V r

fc

ïj. K

f.

*

\

*

*-•.»•
'

en door wie?
Transparantie en rechten van betrokkenen*"

"t

230/252

s

iV
^t"~
l '*

v

c

vernietigd? Is er controle op de vernietiging,

V

!

\

* ft

over technische gronden van bewaring
.
-s,k
Deze vraag is in het wetsvoorstel ''S
niet beantwoord.,,.
"
i.
«\, • .<, , Ijlet'niet opnemen van dit element vormt een risico

persoonsgegevens na afloop van de

<

jarenlang achtervolgd wordt door een mogelijk onjuiste
registratie.

7:454, derde lid, en 7:455 Burgerlijk Wetboek (BW), en

Welke maatregelen zijn voorzien.om de

jeugdzorg met betrekking tot de bewaartermijnen is te
heroverwegen, gezien het risico dat de betrokkene

behandelingsovereenkomst, in het bijzonder de artikelen

7

De koppeling met de Wgbo in het BW en de Wet op de

voor de rechtmatigheid van de verwerking.

BMÏMëm
Toetsmodel PIA Rijksdienst

Gegevensverwerking SHG

Onder-

Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel W m o

Risico's

V,

1

Is het doel van het verwerken van de

Indien aan een SHG bij de uitoefening van de taken,

Het risico dat de inbreuk op de rechten van'de

Indien persoonsgegevens niet van betrokkene worden
verkregen, deelt de verantwoordelijke de betrokkene

deel

gegevens bij de betrokkenen bekend of kan

bedoeld in artikel 2.2.5, derde lid, persoonsgegevens

betrokkene onnodig groot is als gevolg varïxle

het bekend gemaakt.worden?

worden verstrekt door een ander dan betrokkene.

afwijking van art 35 Wbp, moet worderï'afgewogen
%

!

^

• i i

\

Wat is dé procedure om betrokkenen indien

brengt deze betrokkene hiervan zo spoedig mogelijk

tegen het belang vanthet onderzoek naar huiselijk

nodig te informeren over het doel van de

dochin ieder, gevalbinnen vier weken na het moment

geweld en bijvoorbeeldde anonimiteit van d l melder.

verwerking van hun persoonsgegevens?

van vastlegging van de hem betreffende gegevens, op de

^ ^

hoogte, (art 4.3.1. lid 1)

De in het eerste lid genoemde termijn kan door het SHG

<>

%,

V"1

Ss'

^

i"*

f

de informatie mede, bedoeld in het,tweede en derde

»

lid, tenzij deze reeds daarvan op de hoogteis:

•*<'

'^

a. op het moment van vastlegging van hem betreffende
gegevens, of

Het risico bestaat dat de verlengingsmogelijkheid met

b. wanneer de gegevens bestemd zijn om te worden

steeds twee weken ex lid 2 ertoe leidt dat betrokkene

verstrekt aan een derde, uiterlijk op het moment van

nooit op de hoogte wordt gesteld.

de eerste verstrekking, (art 34 lid 1 Wbp)

telkens met ten hoogste twee weken worden verlengd,
voor zover dit noodzakelijk is voor de uitoefening van de*

*•

De betrokkene heeft het recht zich vrijelijk en met
ir

taken, bedoeld in artikel 2.2.5, derde lid. en dit!
i

fci

--

redelijke tussenpozen tot de verantwoordelijke te
wenden met het verzoek hem medete delen of hem

noodzakelijk kan worden geacht om een situatie van
huiselijk geweld te beëindigen of een redelijk vermoeden*

betreffende persoonsgegevens worden verwerkt. De

daarvan te onderzoeken (art*4 3 1 lid 2)

verantwoordelijke deelt de betrokkene schriftelijk

t*. *

i

l

T

»
•* _

*

binnen vier weken mee of hem betreffende

*
.

In afwijking van artikel 35 van dé Wet bescherming'

'

persoonsgegevens worden verwerkt.-fart 35 lid 1 Wbp),

persoonsgegevens k'an een SHG de mededeling, bedoeld
in dat,artikél,2aan de betrokkene achterwege laten voor

Om te voorkomen dat de inbreuk op de rechten van,de.

zover dit noodzakelijk kan worden geacht om een

betrokkene (vermoedelijke dader) onnodig groot is,

'situatie van'huiselijk geweld te beëindigen of een

zouden nadere regels kunnen worden gesteld omtrent

redelijk vermoeden daarvan te onderzoeken, (art 4.3.1.

de gevallen waarin het bekend maken van de over de

lid 3)

betrokkene verwerkte gegevens achterwege kan
blijven. Analoog aan 4.3.1. lid 4.

t*

t

VBIJ algemene maatregel van bestuur kunnen regels
worden gesteld omtrent de gevallen waarin het

Tevens zou de verlengingsmogelijkheid van lid 2 nader

.bekendmaken van de identiteit van de persoon die het

geclausuleerd moeten worden.

huiselijk geweld of het vermoeden daarvan heeft gemeld
of van de persoon van wie informatie in het kader, varL
het onderzoek is verkregen, achterwege kan blijven, (art
4.3.1. lid 4)

231/252

©M%t:è:p!l^&SS0&iattes
Toetsmodel PIA Rijksdienst
Onder-

#

Vraag

Gegevensverwerking SHG
Huidige situatie Wetsvoorstel Wmo

Risico's

Opmerkingen

i>
i

deel

"
*

2

Indien u de persoonsgegevens direct van de

*.
'

<

Ml

Zie V I .
t!

betrokkenen verkrijgt, hoe stelt u hen van

1

^

""

j ~

"

-•

^ -

uw identiteit en het doel van de verwerking
op de hoogte vóór het moment van

"f

rt

verwerking?
3

Indien u de persoonsgegevens via een

Zie V I .

andere (overheids)organisatie verkrijgt, hoe

V

zullen de betrokkenen van uw identiteit en

-

het doel van de verwerking op de hoogte

A

worden gesteld op het moment van
verwerking?
4

Indien u toestemming tot verwerking van

-V
't

Het wetsvoorstel is er juist op gericht om verwerking

h

A

^x

_

/-f
v

* \2

t

RISICO dat genomen maatregelen onvoldoende

Indien.persoonsgegevens worden verkregen op een

t\

persoonsgegevens aan de betrokkene vraagt
(opt-in), kan de betrokkene deze

zonder toestemmming van de betrokkene mogelijk te
,<
!',
maken. Zie verder V I
i
*"*•

toestemming dan op een later tijdstip weer

toereikend zijn Het niet opnemen van dit element
•.< tvormt een risico voor de rechtmatigheid van de
verwerking.

andere wijze dan bedoeld in artikel 33, deelt de
verantwoordelijke de betrokkene de informatie mede,
bedoeld in het tweede en derde lid, tenzij deze reeds

intrekken (opt-out)? Bij een weigering

Onverminderd het bij of krachtens de wet bepaalde,

daarvan op de hoogte is:

toestemming te geven, of bij een dergelijke

verstrekt het SHG aan anderen dan'de betrokkene geen

a. op het.moment van vastlegging van hem betreffende

intrekking, wat is dan de

inlichtingen over betrokkene, dan'wel inzage in of

gegevens, of

implicatie voor de betrokkene?

afschrift van de bescheiden dan met toestemming van
'*
V
betrokkene. (art,4.3.3. lid 1)

b. wanneer de gegevens bestemd zijn om te worden
verstrekt aan een derde, uiterlijk op het moment van
de eerste verstrekking, (art 34 lid l W b p )

232/252

D:tói1:!MFfKlKss0C-faitës..
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG

#

Vraag

Huidige situatie Wetsvoorstel W m o

Risico's

Opmerkingen

5

Via welke procedure hebben betrokkenen

Het SHG verstrekt aan een betrokkene desgevraagd zo

Risico dat genomen maatregelen onvoldoende

De betrokkene heeft het recht zich vrijelijk en met

de mogelijkheid zich tot de

spoedig mogelijk inzage in en afschrift van de bescheiden

toereikend zijn Het niet opnemen van dit element i

redelijke tussenpozen tot de verantwoordelijke te

verantwoordelijke te wenden met het

waarover hij met betrekking tot die betrokkene beschikt,

vormt een risico,voor de rechtrnatigheidjvan dec

wenden met het verzoek hem mede te delen of hem

verzoek hen mede te delen of hun

(art 4.3.2. lid 1)

verwerking

deel

,

'-"J

Hoe worden derden, die mogelijk

*

betreffende persoonsgegevens worden verwerkt. De
verantwoordelijke deelt de betrokkene schriftelijk

persoonsgegevens worden verwerkt?

binnen vier weken mee of hem betreffende

Zie V I .

bedenkingen hebben tegen een dergelijke

'"*

mededeling, in de gelegenheid gesteld hun

' _,

".

~

«,*

persoonsgegevens worden verwerkt, (art 35 lid 1 Wbp)

\

zienswijze te geven?

233/252

Dfcrëh iërÊËÈMssQm aïes
Toetsmodel PIA Rijksdienst
Onder-

Gegevensverwerking SHG
Opmerkingen

#

Vraag

Huidige situatie Wetsvoorstel Wmo

Risico's

'_

6

Hoe kan een verzoek van een betrokkene

Het SHG vernietigt de door hem bewaarde bescheiden

Risico dat genomen maatregelen onvoldoende

Degene aan wie overeenkomstig artikel 35 kennis is

deel

^

?

' **

ïti

tot verbetering, aanvulling, verwijdering of

binnen drie maanden na een daartoe strekkend

toereikend zijn om bovênmatigheid te voorfomen Het„

gegeven van hem betreffende persoonsgegevens, kan

afscherming van persoonsgegevens in

schriftelijk verzoek van degene op wie de bescheiden

niet opnemen van dit elemêntvormt eéhtrisicdrvoor

de verantwoordelijke verzoeken deze te verbeteren,

betrekking hebben, (art 4.3.5. lid 1)

de rechtmatigheid van de verwerking

behandeling worden genomen?

Cv

" X

lv

">

aan te vullen, te verwijderen, of af te schermen indien
deze feitelijk onjuist zijn, voor het doel of de

l

Het eerste lid geldt niet voor zover het verzoek

'

doeleinden van de verwerking onvolledig of niet ter

bescheiden betreft waarvan redelijkerwijs aannemelijk is

zake dienend zijn dan wel anderszins in strijd met een

dat de bewaring van aanmerkelijk belang is voor een

wettelijk voorschrift worden verwerkt. Het verzoek

ander dan de verzoeker alsmede voor zover het

«

%

* ' '

i,\

'^

's

bevat de aan te brengen wijzigingen, (art 36 lid 1 Wbp)

bepaalde bij of krachtens de wet zich tegen vernietiging
*~

verzet, (art 4.3.5. lid 2)

verwijdering van persoonsgegevens na het verstrijken

Het verzoek wordt niet ingewilligd indien het gedaan is
,gj,

a jonger is dan twaalf ja renfof->

<^fc

•""

•i

"C
>'f

»

b minderjarig is en de leeftijd van twaalf jaren heeft
ƒ

V.

i*

bereikt en met in staat kan worden geacht^tot een
r
f
i
redelijke waardering van zijn belangen ter zake (art
43 5 hd3) ~-

i"

"""

' In'de gevallen^bedoeld in het derde lid, kan het verzoek
^loor eerf wettelijke vertegenwoordiger worden gedaan
(8114^3 5 lid 4)

'1i

•&

"* '™,

In het wetsvoorstel wordt de vraag over het verbeteren,
aanvullen of afschermen van persoonsgegevens niet
beantwoord.

234/252

Het risico van bovenmatigheid (door te lang te
bewaren) kan beheerst worden door geautomatiseerde

»

door iemand die:

<\

fef

n

van de bewaartermijn.

DaM^rali5Sss0*€'Miè^

Bijlage 5 Overzicht verwerkingen, uitwisselingsrelaties, actoren |n persoonsgegevens
Versie 19 juli 2013
Partijen

Doel

Gegevens van

Gegevensset

Gemeenten (binnen
sociale.domein)

Ten behoeve van integrale beoordeling
en ihrichtingyan maatwerkvoorziening,
passehd,op het bestaande.aanbod.
Eén gezin één.plan één regisseur.
Zoveel mogelijk eenmalige
gegevensuitvraag.
Doelmatige besteding van middelen
(voorkomen van overlap in
ondersteuningsaanbod).

Client,
huisgenoten
(incl kinderen),
mantelzorger(s)

Uitkering ihkv WWB, Wajong, WIA (ja/nee en soort
ff
uitkering)
'' *
Reintegratie aanbod ihkv WWB, Wajong,*WIA (duur,
aanbieder, inhoud)
>t
Registratie ihkv Wet Schuldhulpverleningjja/nee)
«
Ondersteuningsaanbod ihkv Wet Schuldhulpverlening (duur,
aanbieder, inhoud)
's
\
Beschikking ihkv Jeugdwet (ja/nee, voo?"wie, achfergrond!
van de diagnose/gespreksverslagen) ,
%'ïl
• _"-*"
OndersteuningsaanboB ihkv Jeugdwet (duur, aanbieder,
>J
inhoud)
>
-,
';;v
"*>

Gemeententoezichthoudende
ambtenaren

Toezicht op rechtmatigheid van
verstrekte ondersteuning van gemeente
Fraudebestrijding

Client,
huisgenoten
(incl kinderen)

Beschikkingiihkvde Wmo((achtergr,ond vd problematiek,
afspraken over,ondersteuningsplan) *

Gemeenten- CAK

Vastelling vaneigen bijdrage

Client

Beschikking ih'kv de Wmo (achtergrond vd problematiek,
afspraken over ondersteuningsplan (duur, omvang)
Aanbieder

Gemeenten-SVB

Trekkingsrecht en administratieve
afhandeling pgb's
Fraudebestrijding

Client

Onderbouwing van aanvraag voor UZ
indicatie
.^

Client, * >' ^
,mantelzorger,
huisgenoten ^*

Gespreksverslagen/onderzoeksverslagen van zorgbehoefte
geleverde ondersteuning ihkv Wmo (aanbieder, soort
Ondersteuning, duur van de ondersteuning, evt kosten)
Gegevens over het sociaal netwerk en mantelzorgers (kan
öök om bijzondere persoonsgegevens gaan bv. wanneer
mantelzorger ook ziek wordt)

Client

Beschikking ihkv de Wmo (achtergrond vd problematiek,
afspraken over ondersteuningsplan (duur, gewenst
resultaat)
Welke vormen van ondersteuning er ihkv Pwet, Jeugdwet,
SHV al door welke aanbieder wordt geleverd.

>

Gemeenten- CIZ

- $.

rf*

f

Gemeentenaanbieder

,

Opdrachtverstrekking voor leveren "
maatwerkvoorziening aan cliënt naar
aanbieder.
*,t ,
Opdrachtverstrekking voor
samenwerking en afstemming op al
aanwezige ondersteuning. ""•
*

•.

"

* Toelichting
Toegang tot deze gegevens moet mogelijk zijn zonder
excpliciete toestemming van de cliënt. Client kan belang
hebben bij het achterhouden van bepaalde informatie.

• 'v

zonder toestemming vd dient

• > ' '

Beschikking ihkv de Wmo (achtergrond vd problematiek,
afspraken over^onde'rsteunmgsplan)
met toestemming vd cliënt

235/252

•Deiih:ïeiS@feoei'at-es
derden-SHG

^f.

Toezichthoudende
ambtenarengemeenten

Melding van (vermoeden tot) fraude of
oneigenlijk gebruik van
ondersteuning/maatwerkvoorziening
van.gemeente. Doel rechtmatigheid.

CAK- gemeenten

Informatie over realisatie berekening en
incasso eigen bijdragen voor
voorzieningen wmo

huisgenoten

zonder toestemming vd dient

-*
a

Informatie over realisatie verstrekte
PGB'en Wmo aan ingezetenen

CI2-gemeenten

Toets op rechtmatigheid ( bij indicatie
LIZ, geen Wmo)

BelastingdienstCAK

Inkomens- en vermogensgegevens tbv
berekening eigen bijdragen
voorzieningen Wmo

Aanbiedergemeente

Verantwoording en/ of declaratie.
Bij mandatering van signalering/toegang
door. gemeente aan aanbieder (bv bij
sociaal wijkteam) dan heeft gemeente
de informatie nodig van de aanbieder
orh de beschikking op te stellen.
Daarnaast nog doorgeven van
bijvoorbeeld noodzakelijk geachte
mutaties:
Realisatiegegevens feitelijk afgenomen
ondersteuning

r

Indicatie LI2 (ja/nee/procedure loopt),,

Client

'

Aanbieder- SVB

Realisatiegegevens feitelijk afgenomen «
ondersteuning

Aanbiedertoezichthoudende
ambtenaren

Fraudebestrijding

'
i

Gegevens betreffende de gezondheid vd cliënt en/of
huisgenotenGegevens over leef- en werksituatie vd dient,
en/of huisgenoten
t

Client,

SVB- gemeenten

Aanbieder- CAK

236/252

Melding van redelijk vermoeden
huiselijk geweld zodat dit nader
onderzoGht kan worden

->

"*

,

>

-.

^

,-

BSN, start en eventueël'einddatum'zorg,
Geleverde zorg(uren) en/ of bereikte 'effect
Gegevens over gezondheid van dient en evt mantelzorger
waardoor mutatie van maatwerkvoorziening nodig is.
wfc

",?
*

-> *
1

v

Client,
huisgenoten

*

"^
*.

»r

'BMMërl
Zorgverzekeraargemeenten

Afstemming van maatwerkvoorziening
op zorgaanbod vanuit ZVW
(behandeling/verpleging)Toets op
rechtmatigheid (hulpmiddelen al
verstrekt vanuit Zvw?)

Client

'*1

"

o.

Continuering van de zorg en inhoudelijk
verantwoorde zorg bieden gerechtvaardigd belang

Client

Voorkomen niét afgestemd aanbod
.gemeente en zorgverzekeraar
Afbakening van (financiële)
verantwoordelijkheden
Goede vervulling publiekrechtelijke taak
en behartiging gerechtvaardigd belang,
individuele zorg en tussen ketenpartners

Client

Gemeentenzorgaanbieder

Voorkomen niet afgestemd aanbod
gemeente en zorgverzekejaar \
Goede vervulling publiekrechtelijke taak
en behartiging gerechtvaardigd belang,
individuele zorg en tussen ketenpartners

Client

Bestuursorgaan/CIZgemeenten

Informatie over indicaties verblijf/PGB
op grond van wetsvoorstel LIZ
(ingezetenen)
,

*•

-

^

>
v

-•'

~

^

Passief verstrekken op aanvraag 1 BSN, 2 professionele
samenvatting behandelaar'

1

Gemeentenzorgverzekeraar

i n

%

(

Zorgaanbiedergemeenten

Om te weten of iemand vanuit de gemeente Wmo
voorzieningen geleverd kan krijgen, moet de gemeente
wet'ë'h'of iemand een intramurale indicatie heeft. Of de
gemeente op dat moment nog gaat verstrekken is van
belang te weten of de persoon in de instelling ook
da'adwerkelijk behandeling krijgt. Als er geen behandeling
is, dan kan het zijn dat vanuit gemeente uit de Wmo
gèjeverd moet*worden, bijvoorbeeld hulpmiddelen. Kun je
r
zien uit de declaratie over iemand. Daaruit blijkt of iemand
indicatie al verzilverd heeft en behandeling ontvangt. Met
\ tof zonder behandeling straks niet meer aan AGB code te
zien.Echtef declaratie volgt pas na 2 maanden, dus die
periode wordt niet gedekt. Er kan iets gestart zijn zonder
datje dit dus weet. Afhankelijk van wat er gevraagd wordt
* ,
'aan de gemeente, is de vervolgvraag nodig. Bij indicatie
**geen begeleiding en verzorging, maar mogelijk wel
hulpmiddelen. Volgende vraag staat centraal: is het zo dat
er aanvullende voorzieningen nodig zijn vanuit de
gemeente, omdat de instelling niet volledig voorziet in
ondersteuning persoon? Of voor overbruggingszorg.

Gegevens dat cliënt ook welke vormen van zorg vanuit Zvw
krijgt.

4

Signaal dat iemand vanuit Wmo ondersteuning ontvangt (bv
hulpmiddelen of verzorging).

Een burger verandert van zorgaanbieder of krijgt er een
zorgaanbieder bij en is gebaat bij overdracht van
bevindingen van de zorgaanbieder. Bijvoorbeeld in
gevallen van: transfer (bijv vanuit Wmo naar instelling
AWBZ, ziekenhuis naar Wmo); of klant overnemen na
nieuwe aanbesteding; vanuit jeugd GGZ naar volwassene
GGZ
Afhankelijk van hoe knip PV/VP komt te liggen, kan het zijn
dat de financiering van het aanbod overgaat van
gemeente naar Zvw als er ook verpleging bij komt.

237/252

Bijlage 6 Wmo-verordening

Verordening individuele
voorzieningen Wmo
Gemeente Woudenberg

Datum vaststelling: 26 mei 2011
Datum bekendmaking: 31 mei 2011
Datum ingang: 1 juli 2011

De raad van de Gemeente Woudenberg,
gelezen het voorstel van Burgemeester en Wethouders van 19 april 20.11;
gelet op het gestelde in de artikelen 149 en 156 van.de Gemeentewet en artikel 5 van de
Wet maatschappelijke ondersteuning;
overwegende hetgeen volgt:
a. De Wrno heeft aIs doel: iedereen moet kunnen meedoen. In de wet is bepaald dat
gemeenten een compensatieplicht hebben. Door de regering is, bij de opzet:van de
wet, bewust een verschuiving gemaakt van een zorgplicht en rechten yan burgers
naar een compensatie van beperkingen, gericht op dë specifieke situatie van de
burger, waarbij een groter beroep wordt gedaan op de eigen mogelijkheden van de
burger en diens omgeving.
b. Uit een onderzoek van het Sociaal Cultureel Planbureau ss gebleken dat de vraag naar
huishoudelijke hulp niet alleen sterk oploopt irnet leeftijd, maar ook mét de
aanwezigheid van chronische aandoeningen en fysieke beperkingen. Ook
alleenstaanden doen vaker een beroep op huishoudelijke hulp. Uit demografische
gegevens blijkt dat de groep ouderen in de toekomst aanzienlijk toeneemt, waardoor
de vraag naar hulp en zorg eveneens aanzienlijk kan gaan toenemen.
c. Het gemeentebestuur ziet het dan ook tot haar taak om personen dié beperkingen
ondervinden in hun zelfredzaamheid en maatschappelijke participatie voorzieningen
aan te bieden ter compensatie van dié beperkingen, binnen het kader van de wet, Het
gemeentebestuur ziet het daarbij ook als haar taak om mensen te activeren en te
stimuleren om zo goed mogelijk voor zichzelf en hun omgeving te zorgen. De
voorzieningen zijn er dan ook mede óp gericht om de eigen gezondheid en leefsituatie
te verbeteren of achteruitgang in gezondheid zoveel mogelijk te beperken. Gemeend
wordt dat ook het vergroten van de verantwoordelijkheid voor de eigen gezondheid
en het bevorderen van de zelfredzaamheid gezien moet worden als eert onderdeel
van de integrale hulp en het compensatiebeginsel.
d. Het gemeentebestuur heeft ook verplichtingen op grond van de Wet publieke
gezondheid die nauw verband houden met opdrachten uit de Wet maatschappelijke
ondersteuning. Behalve op het gebied van de jeugdgezondheidszorg is inmiddels ook
dé ouderenzorg onder de gemeentelijke verantwoordelijkheid komen te vallen. Dat
betreft onder meer:
• het op systematische wijze volgen en signaleren van ontwikkelingen in de
gezondheidstoestand van ouderen en van gezondheidsbevorderende en bedreigende factoren;
• het ramen van de behoeften aan zorg;
• de vroegtijdige opsporing en preventie van specifieke stoornissen als
coniorbiditeït;
• het geven van voorlichting, advies, instructie en begeleiding;
• het formuleren van maatregelen ter beïnvloeding van gezondheidsbedreigirigen.
e. Het gemeentebestuur heeft geconstateerd dat de huidige werkwijzen, wetgeving en
maatschappelijke constructies ie j den tot eeri, sterk versnipperde, los van elkaar
staande hulp- en zoo-g verlening. Zij ziet het als een opdracht om samen met andere
partners in de zoi-gketen naar mogelijkheden te zoeken om tot een betere
afstemming van allé hulp en ondersteuning te komen, welke inspanning rechtstreeks
ten goede komt aan individuele personen die een beroep doen op de Wrno.
f. Ook anderen, waaronder de minister van Volksgezppdheid, Welzijn en Sport, zoeken
naar mogelijkheden om tot een meer integrale zorgverlening te komen. Dat komt

onder meer tot uitdrukking in de brief van de minister aan de tweede kamer van 22
december 2008, nr. 29 247, De visie op de eei'stelijnszoYg "Dynamische
eerstelijhszórg" en zijn brief "Programmatische aanpak van chronische ziekten" In de
brief aan de tweede kamer stelt de minister: ldat in de toekomst de nadruk steeds
meer komt te liggen op de noodzaak voor een geïntegreerde benadering van de zorg.
Door de groei en vergrijzing van de Nederlandse bevolking, maar ook de ontwikkeling
in leefstijl (onder andere toename overgewicht) en de verbeteringen van medische
technologieën zal het:taantal chronisch zieken de komende twintig jaar sterk
toenemen. Omdat mensen ook vaker meerdere chronische aandoeningen tegelijk
hebben, wordt dê zorgvraag ook complexer. Dit heeft grote gevolgen voor de mensen
die het treft, voorde organisatie van de zorg en voor de maatschappij. Er moet
worden gestreefd naar het niet of pas later ziek worden van mensen en dat, indien de
ziekte zich eenmaal heeft gemanifesteerd, complicaties worden voorkomen. Mensen
moeten geholpen worden zo goed mogelijk met hun chronische aandoening om te
kunnen gaan om een zo hoog mogelijk kwaliteit van leven te houden. Ik wil
stimuleren dat partijen in het veld meer ruimte krijgen om de zorg samenhangend te
organiseren rondom de zorgvraag. De patiënt komt zo meer centraal te staan. Om
deze samenhang in het zorg- en ondersteumngsaanhod van de hulpvrager te
vergroten is multidisciplinaire samenwerking een vereiste. De verbetering van de
coördinatie tussen de hulpverleners en dus afstemming van activiteiten zal
tegenstrijdige adviezen voorkomen. Ook zal het de meerwaarde van de individuele
hulpverlening vergroten en zodoende de doelmatigheid en de kwaliteit van de
hulpverlening verbeteren. Ik wil stimuleren dat partijen in het veld meer ruimte
krijgen om de zorg samenhangend te organiseren rondom de zorgvraag. De patiënt
komt zo meer centraal te staan. Om deze samenhang in het zorg- en
ondersteuningsaanbod van de hulpvrager te vergroten is multidisciplinaire
samenwerking een vereiste. De verbetering van de coördinatie tussen de
hulpverleners en dus afstemming van activiteiten zal tegenstrijdige adviezen
voorkomen. Ook zal het de meerwaarde van de individuele hulpverlening vergroten
en zodoende de doelmatigheid en de kwaliteit van de hulpveriening verbeterend
g. Er specifieke aandacht moet worden besteed aan ouderen omdat dit de grootste
groep gebruikers is van de Wmo en deze groep in de toekomst in omvang zal
toenemen. De leidraad voor de verordening is in deze het advies van de
gezondheidsraad uit de nota 'Ouderdom komt met gebreken'. De Gezondheidsraad
acht in de zorg aan deze ouderen tenminste vier functies onontbeerlijk: 1) tijdige
signalering van dreigende risico's van rnuïtimorbiditeit, 2) regie over de behandeling
en zorg aan deze ouderen, 3) specialistisch advies door de tweede lijn en 4)
toepassing van geiiatrische kennis [in de kliniek),
h. Vele zorgfuncties zijn te benoemen, zoals huisartsenzorg, paramedische zorg,
farmaceutische zorg, verloskundige zorg, psychologische zorg, mondzorg, verpleging,
verzorging, preventieve zorg, ouderenzorg, welzijnszorg, thuiszorg en ondersteuning
mantelzorgers die een rol kunnen spelen in het leven van een individu waarop enig
moment regie en coördinatie moet plaats vinden.
i.

De doelstellingen van de Wet maatschappelijke ondersteuning kunnen het beste
behaald worden door het stimuleren van een integrale hulpverlening en het creëren
van ruimte om andere werkwijzen en vormen van ondersteuning te kunnen
toepassen. Tevens wordt, daar waar mogelijk, aansluiting gezocht bij programma's
op andere terreinen, zoals wonen, cultuur, communicatie en ondernemingen.

},

Aangezien de Wmo alsplatvorm voor innovatie is bedoeld en het als belangrijke
factor voor de ontwikkeling van het welzijn van alle individuen in de gemeenschap
wordt gezien, kan de gemeente op grond van artikel 5 van de wet maatregelen
nemen om de doelstelling te behalen.

k. Hefc cprnpensatiêbégirisèi, de basis van é'e: wet, verdient een :bëtére uitwerking
waardoor ze zowel in juridische als in praktische zin zo optimaal mogëfjj'kkart Worden
toegepast.
besluit:
vast te stellen de Verordening individuele voorzieningen maatschappelijke ondersteuning
gemeente Woudenberg onder gelijktijdige intrekking van de Verordening individuele
voomeningen gemeente Woudenberg vastgesteld in de raadsvergadering van 21-092006,

Hoofdstuk ï .
Paragraaf 1
Artikel 1

Algemeen

Begripsbepalingen

Wét- en regelgeving en organen

In deze verordening en de daarop gebaseerde nadere regelgeving wordt Verstaan onder:
a. Wet: de Wet maatschappelijke ondersteuning;
b. gebruikelijke zorg: de normale, dagelijkse zorg die partners, ouders, inwonende
kinderen of andese huisgenoten geacht worden elkaar onderling te bieden zoals: nader
is bepaald in het protocol gebruikelijke zorg;
c,: AWBZ: Algemene Wet Bijzondere'Ziektekosten;- K H - Ï - -• -'fi^f^ï^ïé^fg
••• •
d. de gemeente: de gemeente Woudenberg;
e, college: het college van burgemeester en wethouders.

Artikel 2

Algemene begripsbepalingen

In deze verordening wordt verstaan onder:
a. Nadere regels: nadere regels individuele voorzieningen gemeente Woudenberg.
b. Buitenwettelijk begunstigend beleid: beleid mefc betrekking tot het verstrekken
van voorzieningen die buiten de vier domeinen vallen, genoemd in artikel 4,'Eïd 1,
onder a, b, c en d van de wet;
c. persoon: de persoon die ten gevolge van ziekte of gebrek, dan we! van een
chronische psychisch en/of psychosociaal probleem, aantoonbare beperkingen
ondervindt in zijn zelfredzaamheid en maatschappelijke participatie;
d. aanvrager: de peisoon als bedoeld onder c, die een aanvraag doet;
e. betrokkene: de persoon als bedoeld onder c, op wie een aanvraag of voorzienina
betrekking heeft;
f. mantelzorger: iemand die een persoon langdurige en onbetaalde hulp of zorg
geeft vanuit een persoonlijke relatie met die persoon;
g. zelfredzaamheid: het vermogen het leven in te richten zonder dat hulp van
anderen nodig is;
h. compenseren/compensatie: het treffen van noodzakelijke voorzieningen, binnen
het kader van artikel 4 lid 1 onder a, b, c en d van de wet, om b'eperkingen van
een persoon of groepen personen zo veel mogelijk op te heffen waardoor zij in
aanvaardbare mate zeffredzaam kunnen zijn en kunnen deelnemen aan de"
maatschappij en dat een besluit met betrekking tot het verstrekken van een
individuele voorziening afgestemd is op de omstandigheden van de persoon;
i. zelfzorg: het algemene vereiste om goed voor de eigen gezondheid te zorgen;
j . huishoudelijke ondersteuning: integrale hulp en ondersteuning bij het voeren 'van
een huishouden zoals is vastgesteld in dé offeitéaanvraag van de aanbesteding
'integrale hulp en ondersteuning bij het voeren van een huishouden';

k. algemeen gebruikelijk: kosten dié geacht worden tot het gangbare gebruiks- of
bestedingspatroon te behoren van de groep personen waartoe de aanvrager
behoort;
I. collectief vraagafhankelijk vervoer: vervoer van deur tot deur op afroep met een
deeltaxi, waarbij de rit kan worden gecombineerd met een rit van andere
reizigers;
m. hoofdverblijf: de woonruimte waar de aanvrager zijn of haar vaste woon- en
verblijfplaats heeft en op welk adres de aanvrager in het bevolkingsregister staat
ingeschreven, dan wei zal staan ingeschreven, dan wel hetfeitefijk woonadres
indien de aanvrager met een briefadres is ingeschreven, dan wef zal staan
ingeschreven in de gemeentelijke basisadministratie;
n. NANDA: North American Nursing Diagnosis Association: classificeert
verpleegkundige diagnosen;
o. NIC: Nursing> Int'èrvèntion Classificafcion;: classificeert verpleegkundige
interventies; .
p. NOG: Nürsing Gutcqrnes CiassifJeation: classificeertr verpleegkundig .e resultaten;
q. ICF: Internationa! •Cjassi.ficatiori of Functioning, DisabJÏity and Health: classificeert
het menselijk functioneren.

Artikel 3

Voorzieningen

In deze verordening en de daarop gebaseerde nadere regelgeving twordt verstaan onden
a. voorliggende voorziening: elke voorziening, buiten dèzè verordening, waarde
betrokkene aanspraak op kan maken, een beroep op kan doen of gebruik van kan
maken, waarmee beperkingen in het participeren kunnen worden gecompenseerd;
b. individuele voorziening: een voorziening die toegankelijk is op grond van deze
verordening.

Artikel 4

Financiële begrippen

In deze verordening en de daarop gebaseerde nadere regelgeving wordt verstaan onder:
a. voorziening in natura: een individuele voorziening die niet in geld wordt verstrekt;
b. persoonsgebonden budget: een geldbedrag waarmee de betrokkene zelfstandig één
of meer aan hem of haar te verlenen individuele voorzieningen kan aanschaffen;
c. financiële tegemoetkoming: een tegemoetkoming in de kosten van een individuele
voorziening;
d. inkomen: verzamelinkomen van de betrokkene zoaEs genoemd in aitikël 4.2 van het
landelijk Besluit maatschappelijke ondersteuning;
e. meerkosten: kosten die uitgaan boven de als algemeen gebruikelijk te beschouwen
kosten van de individuele voorziening;
f. goedkoopst adequaat: niet duurder dan noodzakelijk en toch doeltreffend, doelmatig
en afgestemd op de specifieke situatie van de betrokkene, waar onder eveneens
wordt verstaan het hergebruik van roerende zaken.
Artikel 5
N i é t nader a a n g e d u i d e b e g r i p p e n
Voorzover niet nader is •aangeduid, gelden de" Begrippen zoals genoemd in; de Wet
maatschappelijke ondersteuning en dé Algemene Wet Bestuursrecht,

Paragraaf 2
Artikel 6

Opdracht college

Opdracht college

1. Het college heeft de verantwoordelijkheid in het kader-van de wètpm:
a. een stelsel van voorzieningen tè creëren pf het ónt'stiari daarvan te bevorderen
waarbij mensen met beperkingen zo adequaat mogelijk worden gecompenseerd in
hun beperkingen. Deze voorzieningen zijn mede gericht op hét faciliteren en
stimuleren van de persoon om de beperkingen op te heffen, te verminderen of te
stabiliseren. Daarbij staat het behoud van de eigen gezondheid, regie,

zelfredzaamheid en zelfoplossendvermogen voorop maar worden ook,de
doelmatigheidi.en kostenbeheersing van die voorzieningen in aanmerking
genomen;
b. mantelzorgondersteuning te bieden, waaronder het verstrekken van informatie,
het geven van advies en begeleiding,- educatie, hulp bij het zoeken naaf en het
inzetten van voorliggen de vöo nziénirigén waarónder rèspijtzoYg;
c. keten pa rtnere té ondersteunen in en te stimuleren tot eén proces van doorlopende
verbetering met betrekking tot" ingezette óf niéuwe vóóraênangèn.
2. De maatregelen die kunnen worden getroffen órri dë in lid 1 vastgestelde
verantwoordelijkheid te verwezen lijken, omvatten ondermeer de. volgende
activiteiten:
a. overleg met ketenpartners en overige van belang zijnde partijen om' creativiteit en
innovatievermogen te vergroten, samenwerking të bevorderen en'tot passende
oplossingen te komen;
b. het •subsidiërenj inkopen of stimuleren van voorliggende voorzieningen;
c. dienstverlening bij voorkeur inkopen bij die organisaties die actief streven, om de
beste organisatie in hun branche te worden en daarbij zichtbare resultaten
kunnen; tonen;
d. het ontwikkelen en toepassen van prestatie-indicatoren;
e. het toepassen van financiële prikkels;
f. informatie- en promotiecampagnes om de belangrijkste boodschappen te
verspreiden;
g. het uitvoeren van marktonderzoeken om problemen en behoeften in kaart te
brengen;
h, inventariseren van voorbeelden van güëde praktijken en verspreiding van
informatie óver de gevonden oplossingen en dé werkzaamheid daèrvari;
i. betrokkenen stimuleren om de éigën gezondheid, zelfredzaamheid eii kwaliteit
van leven te bevorderen.

Artikel 7

Individuele wettelijke voorzieningen

1. Voorzieningen worden overeenkomstig artikel 4 van de wet individueel vastgesteld en
betreffen voprzienihgeri op het gebied van:
a. een huishouden te voeren;
b. zich té verplaatsen in en om de. woning;
c. zich lokaal te verplaatsen per vervoermiddel;
d. medemensen te ontmoeten en op basis daarvan sociale verbanden aan te gaan.
2. Bij de keuze van vpprzi en in gen kan gebruik gemaakt worden van allé, specifiek voor
mensen mét beperkingen, op de markt verkrijgbare hulpmiddelen en voorzieningen,
3. Bij het vaststellen van de vervoersbehoefte voor maatschappelijke participatie, zoals
bedoeld onder lid 1, sub c ëri d, wordt uitgegaan van:
a. de verplaatsingen in de dinecte woon- en leefomgeving in het kader van het leven
van alledag' en;
b. de aard èn omvang van het gemeentelijk grondgebied en dat van de omringende
regio en;
c. de bereikbaarheid van winkels, sociale contacten, openbare en andere activiteiten
en voorzieningen,
4. De té verstrekken vervoei-svergoeding bedraagt, uitgaande van de bepalingen in lid
3, maximaal:
a. Voor personen van 4 tot 12 jaar:
taxi/auto derden: € 2.578,00
rglstoeltaxïj € 2.962,00
b. Voor personen vanaf 12 jaar:
taxi/auto derden: € S^SS^O5
roIstoeltaxiÏ € 3.949,00
.
aanvulling pp CVV taxi: € 859,0.0
aa'nvuliing op CW roistoeltaxJ:€ 987,00
c. Voor personen in eeri AWBZ-insfelling:

taxi/auto derden: € 621,00
rolstoeltaxi: € 932,00.
4. De vergoeding, genoemd in lid 4, binder c kan worden benut voor een collectief
vervoerssysteem van de AWBZ-instëlling.
Artikel 3 Buitenwettelijk begunstigend beleid
1. Het college kan buitenwettelijke individuele voorzieningen verlenen op het gebied
van:
a. wonen;
b. sportbeoefening;
c. ondersteunende begeleiding.
2. Het college bepaalt in nadere regels welke buitenwettelijke individuele voorzieningen
kunnen worden verf eend, en onder welke voorwaarden.
3. Met uitzondering van Anti kei 7, zijn de bepalingen van deze verordening
overeenkomstig van toepassing op de.buitenwettelijke voorzieningen, tenzij in de
nadere regels anders is bepaald.
4. Het college kan maximale of forfaitaire bedragen, dan wél minimale gebruiksperioden
vaststellen bij hetbepaien van buitenwettelijke voorzieningen.
Artikel 9 Samenwerking met andere partijen
1. Het college bevordert bij de uitvoering van deze verordening de samenwerking met in
de keten werkende organisaties.
2. Indien een samenwerking tot stand komt tussen keten partrïërs bevoi'dert het college
dat een coördinator wordt benoemd die verantwoordelijk is voor de organiéatie van
de samenwerking:.

Paragraaf 3

Voorwaarden individuele

voorzieningen

Artikel 10 Aanspraak op individuele voorzieningen
1. Een betrokkene kan voor noodzakelijke individuele voorzieningen, zoals bedoeld in
artikel 4 van de wet, in "aahirieiicing komen indien:
a. de betrokkene zijn hoofdverblijf heeft in de gemeente;
fa. er geen voorliggende voorzieningen aanwezig zijn die een adequate oplossing
bieden, waaronder mede wordt verstaan huisgenoten die gebruikelijke zorg
kunnen verlenen;
c. er sprake is van een langdurig en op een verantwoorde wijze benutten van een
voorziening.
2. Alleen individuele voorzieningen worden toegekend die als goedkoopst adequaat
kunnen worden aangemerkt.
Artikel 11 Weigert ngsgronden
1. Geen individuele voorziening wordt toegekend als:
a. de gevraagde voorziening algemeen gebruikelijk is;
b. de noodzaak van de voorziening niet meer is vast te stellen indien de kosten van
de voorziening zijn gemaakt of verplichtingen daarvoor zijn aangegaan vóór de
aanvraagdatüm;
c. er aan de zijde van betrokkene geen sprake is van aantoonbare meerkosten in
vergelijking met de situatie voorafgaand aan het optreden van de beperkingen
waarvoor de voorziening wordt-aangevraagd;
d. de kosten, waarop.de aanvraag betrekking heeft, vermeden (hadden) kunnen
worden;
e. het een voorziening betreft die reeds eerder is verstrekt en waarvan de
afschrijvingstermijn nog niet is verstreken,, tenzij die eerder toegekende
vöoriienipg; v^ïioreri is gegaan als gevolg; van omstandigheden die niet aan de
betrokkene zijn toe te rekenen;
8

f. de vooraening leidt tot belemmering van de herstelmogelijkheden van de ervaren
beperkingen.
2. Het college stelt in nadere regels een lijst van algemeen gebruikelijke voorzieningen
vast. Het college kan deze aanvullen afhankelijk van v^at in hét maatschappelijk
verkeer en in jurisprudentie als gebruikelijk wordt beschouwd.
3. Het college kan, bij; het bepalen van de lijst van algemeen gebruikelijke
voorzieningen, de hoogte van het inkomen betrekken door het vaststellen van
inkomensgrenzen.
Artikel 12 Het bepalen van de compensatie
1. Het college draagt er zorg voor dat het onderzoek, naar aanleiding van een aanvraag
of heronderzoek, leidt tot een individuele afstemming van de compensatie.
2. Het college draagt er zorg voor dat er overleg gepleegd wordt met betrokkene, waar
in alle beschikbare voorliggende voorzieningen worden beoordeeld op bruikbaarheid
en toepasbaarheid.
3. Onder het "rekening houden met de capaciteit van de aanvrager om. uit het oogpunt
van kosten zelf in maatregelen te voorzien', zoals is bepaald in artikel 4 lid 2 1 van de
wet wordt mede verstaan de mogelijkheden van de betrokkene om de eigen
omstandigheden te verbeteren en de gezondheid te bevorderen.
4. Het college stimuleert zo veel mogelijk zelfzorg en het zelfoplossend vermogen van
betrokkene.

Artikel 13 Voorwaarden die leiden tot beperking of beëindiging
voorziening
1. Het college kan aan het verlenen van een individuele voorziening verplichtingen
opleggen tot het verbeteren van de lichamelijke en geestelijke gezondheid en
individuele psychosodaie omstandigheden, die strekken tot vermindering of
beëindiging van de voorziening.
2. Een verplichting kan ook, op advies van een arts, inhouden het zich onderwerpen aan
een noodzakelijke behandeling van medische aard.
3. Het college kan bij de toepassing van de leden 1 en 2 ondersteuning verlenen aan de
persoon.

Paragraaf 4

Financiële voorwaarden

Artikel 14 Eigen bijdrage
ï . De persoon van 18 jaren of ouder aan wie maatschappelijke ondersteuning is
verleend, is een eigen bijdrage verschuldigd.
2. De eigen bijdrage wordt vastgesteld conform de maximum bedragen zoals bepaald in
hoofdstuk IV van het landelijk Besluit maatschappelijke ondersteuning.
3. De eigen bijdrage per uur voor huishoudelijke ondersteuning in natura bedraagt
maximaal de basisprijs per uur die het college contractueel is verschuldigd aan de
door de betrokkene gekozen zorgaanbieder.
Artikel 15 Voorzieningen zonder eigen bijdrage
Geen eigen bijdrage is verschuldigd voor de toegang tegen gereduceerd tarief'tot het
collectieve vraagafhankelijk vervoer.
Artikel 16 Eigen aandeel
Bij financiële tegemoetkomingen is geen eigen aandeel verschuldigd.

Artikel 4, lid 2: Bij het bepalen van de voorzieningen houdt het college van burgemeester en wethouders
rekening met de persoorüskehmerken en behoeften van de aanvrager van dé vppraenirigen/waaronder
verandering van woning in verband mei wijiigjng van leefsituatie, alsmede metdé'capaütéi! van de aanvrager
om uit een oogpunt van kosten zelf in maatregelen te voorzien.

Hoofdstuk I I . Wijze van verstrekking en
voorwaarden
Paragraaf 5

Keuzemogelijkheden

Artikel 17 In natura
1. Een voorziening kan in natura worden verleend indien de voorziening voor groepen
van mensen kan worden ingekocht, verkregen of gehuurd. Dat betreft in ieder geval
de volgende voorzieningen:
a. voorzieningen gericht op het voeren van een huishouden;
b. voorzieningen gericht op het verplaatsen in en om de woning.
2. Een voorziening wordt niisMi£Qd in natura verleend indien de voorziening
redelijkerwijs niet door een individu kan worden aangeschaft, georganiseerd, gehuurd
of ingekocht of om redenen van doelmatigheid. Dat betrefbin ieder geval de toegang
tot collectief vraagafhankelijk vervoer tegen gereduceerd tarief door middel van een
vei voerspas.
3. Het college kan in nadere regels bepalen welke voorzieningen uitsluitend in natura of
uitsluitend als financiële tegemoetkoming worden verleend.
Artikel 18 Persoonsgebonden budget
Voorzieningen kunnen op verzoek van de betrokkene in de vorm van een
persoonsgebonden budget worden verleend tenzij bepaald is dat een voorziening
uitsluitend in natura of uitsluitend als financiële tegemoetkoming wordt verleend.

Paragraaf 6

Voorwaarden persoonsgebonden budget

Artikel 19 Algemene voorwaarden verstrekking persoonsgebonden
budget
1. Roerende zaken die met een persoonsgebonden budget in eigendom zijn aangeschaft
mogen niet zonder toestemming van het college worden vervreemd of verhuurd.
2. De omvang van het persoonsgebonden budget is de tegenwaarde van de in de
desbetreffende situatie goedkoopst adequate te verstrekken voorziening in natura,
inclusief kosten van instandhouding,
3. Het persoonsgebonden budget voor voorzieningen van niet bouwkundige of nietwoontechnische aard wordt vastgesteld voor een periode overeenkomend met de
normale afschrijvingstermijn van die voorziening.
4. De betrokkene met een persoonsgebonden budget is verplicht om kwalitatief goede
en voor de betrokkene geschikte producten of dienstverlening in te kopen. Het college
kan nadere eisen stellen waaraan'de aan te schaffen of in te zetten voorziening dient
te voldoen.
5. Een persoonsgebonden budget wordt bij wijze van voorschot verstrekt aan de
aanvrager.
6. De definitieve toekenning van een in voorschot verstrekt persoonsgebonden budget
geschiedt nadat de kosten door'betrokkene zijn verantwoord.
7. De betrokkene legt over het verleende bruto persoonsgebonden budget voor
voorzieningen, niet zijnde periodieke voorzieningen, verantwoording af door binnen
zes maanden na de verzenddatum van de beschikking, de-nota of betalingsbewijs van
de gerealiseerde voorziening jn te leveren bij de gemeente.
8. De betrokkene dient de bewijsstukken gedurende vijf kalenderjaren na het jaar van
verstrekking van het persoonsgebonden budget te bewaren en deze, desgevraagd,
ter beschikking te stelen van het college.

10

Artikel 20 Nadere voorwaarden persoonsgebonden budget
hil ishoudel ijkë on d ersteuni lig
1. De betrokkene met een persoonsgebonden budget voor huisiioüdeSijkëó'ndereteunïng
dient alle wettelijke regels met betrekking tot werkgeverschap in acht te-nemén.
2. De betro kkëne sïu it een schriftel ijke a rbeidsq vereen kom st mét de pérsdo n Hïe de
huishoudelijke ondersteuning verleent of een: zofgovereenkbrnst met de instantie bij
wie de betrokkene de huishoudelijke voorziening' betrekt, waarin de afspraken zyn
opgenomen met betrekking tot de uit.te voeren werkzaamheden,
3. Betrokkene zorgt VDor bewijsstukken met ten minste een overzicht van:
a. de dagen waarop is gewerkt, het aantal te betalen uren en het tarief hiervoor;
b. het burgerservicenümmer:èn de naam ën adres v a n d e persoon die de
huishoudelijke ondersteuning verleent of;
c. het btw-nummer of inschrijfnummer van de Kamer van Koophandel, dé naam en
het adres van de instantie die de. huishoudelijke voorziening levert.
4. Het persoonsgebonden budget voor huishoudelijke ondersteuning kent eèn vrij
besteedbaar Bedrag van € 250,00, waarover gêeri verantwoording verschuldigd is.
5. Het college kan bepalen dat met andere dan de hierboven genoemde'documenten
verantwoording wordt afgelegd.
Artikel 21 Hoogte persoonsgebonden budget huishoudelijke
ondersteuning
1. De hoogte van het persoonsgebonden budget voor huishoudelijke ondersteuning is
vastgesteld op het salaris van furictieschaaj FWG 15, Verhoogd met
eindejaarsuitkering, vakantietoeslag en vaka'ntiédagen zoals in de EAO W T is
vastgesteld voor of op 1 januari en voorts verhoogd met 5% voor de kosten van^
administratie èn overige kosten zoals reiskosten, vénnenïgvutdigd met het aantal
geïndiceerde uren per jaar.
2. Indien de noodzaak aanwezig is dat op meer dan 4 dagen per week huishoudelijke
ondersteuning wordt verleend door dezelfde persoon, dan wordt het salaris zoals
vastgesteld ónder lid 1 verhoogd met 20%.
3. De betrpkkene met een persoonsgebonden .budget voor huishoudelijke: ondersteuning
kan gratis gebruik maken van dé administratieve diensten en collectieve
verzekeringen aangeboden door een door het college aangewezen instantie.
Artikel 22 Weigering van een persoonsgebonden budget
Verstrekking als persoonsgebonden budget vindt hiet plaats indien:
a. op grond van aanwijzingen het ernstige vermoeden bestaat dat de betrokkene
problemen zal hebben bij het omgaan meteen persoonsgebonden budget;
b. als is gebleken dat de betrokkene een eerder persoonsgebonden budget niet in
overeenstemming met doel en/of bestemming heeft ingezet;
c. door de progressiviteit van de ziekte of handicap de aangevraagde voorziening snel
weer door eèn andere voorziening vervangen móet worden. In die situatie wordt de
voorziening in natura aangeboden;
d. verstrekking van een persoonsgebonden budget gezien de (verwachte) korte duur
van de verstrekking zou leiden tot een inefficiënte besteding van gemeentelijke
middelen.

Paragraaf 7

Voorwaarden financiële tegemoetkanimg

Artikel 23 Financiële tegemoetkoming
1. Uitsluitend in de vorm van een financiële tegemoetkoming wórden voorzieningen
verleend dié voldoen aah één of meer van de volgende voorwaarden:
a. Het betreft een voorziening waarin geen keuzemogelijkheid is;

11

b. Het betreft'een eenmalige voorziening waarop geen afschrijvingstermijn van
toepassing: is;
c. Het betreft een voorziening waarop een door het college vastgestelde eenmalige
nominale tegemoetkoming van toepassing is;
d. het betreft een voorziening dié zeer Beperkt wordt verleend.
2. Dat betreft ïn ieder geval de kosten van de volgende voorzieningen:
a. verhuizing en inrichting;
b. tijdelijke huisvesting;
c. huurdenfïng.
3. Het college stelt nadere regels ten aanzien van de voorzieningen die in de vorm van
een financiële tegemoetkoming worden verstrekt en de hoogte van de financiële
teg em oetkom ing en.

Artikel 24 Nadere voorwaarden financiële tegemoetkoming
Een financiële tegemoetkoming wordt betaald na ontvangst van'de nota of andere
bewijsstukken.

Hoofdstuk I I I .

De uitvoering

Paragraaf 8
De aanvraag en samenhang met andere
voorzieningen
Artikel 25 Onderzoek^ verstrekken van gegevens en advies
1. Samen met betrokkene wórden alle beschikbare voorliggende voorzieningen
beoordeeld op bruikbaarheid en toepasbaarheid. Indien voorzieningen op grond van
andere wetgeving nodig lijken, wordt betrokkene daarover geïnformeerd,
2. Huisbezoek wordt regulier toegepast dm een zo góéd mogelijk beeld te krijgen van de
woon- en leefsituatie'van betrokkene in relatie tot de benodigde voorzien in gen. Een
huisbezoek is vrijwillig en kan door'betrokkene worden geweigerd.
3. De aanvraag van een individuele voorziening wordt schriftelijk of elektronisch
ingediend op een dp'-ör hét college vastgesteld formulier.
4. Een betrokkene is verplicht die gegevens te vérschafreh die noodzakelijk zijn voor de
beoordeling van het recht op een voorziening,
5. Het college kan, om vastte stelien welke voorzieningen noodzakelijk zijn om de
beperkingen compenseren, de betrokkene oproepen om iri persoon te verschijnen op
een door het college te bepalen plaats en tijdstip:
a. om hem om inlichtingen te vragen of
b. om hem door een of meer daartoe aangewezen deskundigen te doen bevragen of
te laten onderzoeken.
6. Bij het onderzoek zoals genoemd in dit artikel kan gebruik gemaakt worden van de
classificatiesystematieken zoals neergelegd in de ICF, NAiNDA, NIC eri/of NOC.
Artikel 26 Aanwijzingsbesluit adviesorgaan
Onderzoeken, zoaIs bedoeld in Artikel 25, lid 5, onder b kunnen worden uitgevoerd door
een indicatieörgaan dat hiertoe door het college is aangewezen.

Paragraaf 9

Intrekking, wijziging en terugvordering

Artikel 27 Intrekking
1. Het college kan een beschikking, genomen op grond van deze verordening, geheel of
gedeeltelijk intrekken indien:
a. niet is voldaan aan de voorwaarden gesteld bij of krachtens deze verordening of
de nadere regelis;

12

b. gebleken is dat de gegevens zodanig onjuist waren dat, waren de juiste gegevens
bekend geweest, een andere beslissing zou zijn genomen.
2. Een besluit tot verlening'van een financiële tegemoetkoming of een
persQóhsgeoöhdërï budget'kan worden Ingetrokken indien Slrjlct dat de
tegemoetkoming of het budget binnen zes -maanden na üitbëtairïg niet is aangewend
voor de bekostiging van dé voorziening waarvoor de verlening hééft plaatsgevonden.
Artikel 28 Wijzigingen in de situatie
1. De betrokkene aan wie krachtens deze verordening een voorziening is verstrekt, is
verplicht.aan het college mededeling;té doen, van .feiten en omstandigheden^ waarvan
redelijkerwijs duidelijk moet zijn dat deze van invloed kunhen zijn op hei: recht op
een voorziening.
2. Het college kan de betrokkene, na toekenning van een voorziening op grond van deze
verordening, oproepen om vast te stellen' of de omstandigheden die hebben ge|eid tot
toekenning van de voorziening, gewijzigd zijn.

Artikel 29 Terugvordering
1. Indien het college de beschikking, waarbij een voorziening op grond van deze
verordening is verleend, intrekt, kan zij de voorziening van betrokkene
terugvorderen.
2. De terugvordering van roerende voorzieningen in natura of die met een
persoonsgebonden budget in natura zijn omgezet, vindt plaats door de voorziening
onverwijld aan het college ter beschikking te stellen.
3. Indien de terugvordering niet meer feitelijk kan worden overgedragen aan het
college, kan de omvang van de terugvordering worden bepaald,op de hoogte van:de
oorspronkelijke ïnvesterings/aanschafwaarde indien de voorziening onrechtmatig is
verkregen.
4. Het college kan, naast het opeisen van de voorziening, ook een bedrag! in rekening
brengen voorde afschrijvingskosten gebaseerd op de economische levensduur van de
verstrekte voorziening'. De omvang daarvan is gebaseerd op de duur van het
onrechtmatig gebiuik van de voorziening,

Hoofdstuk IV- Slotbepalingen
Paragraaf 10

Nadere regels

Artikel 30 Nadere regels
Het college kan nadere regels stellen ten aanzien van de uitvoering van deze
verordening.
Artikel 31

Hardheidsclausule

Het college kan in bijzondere gevallen ten gunste van de aanvrager afwijken van de
bepalingen van deze verordening, indien toepassing van de verordening tot
onbillijkheden van overwegende aard leidt.
Artikel 32 Beslissing college in gevallen waarin de verordening niet
voorziet
In gevallen, de uitvoering van deze verordening betreffende, waarin deze verordening
niet voorziet, beslist het college.

13

Artikel 33 Indexering
1. Het college verhoogt of verlaagt jaarlijks per 1 januari de in het kader van deze
verordening geldende bedragen van bij leveranciers in te kopen voorzieningen
conform de cqntractafspraken met leveranciers.
2. Het college verhoogt of verlaagt jaarlijks per 1 januari de in het kader van deze
verordening verstrekte persoonsgebonden budgetten voor hulpmiddelen
overeenkomstig de daarvoor gehanteerde tarieven genoemd onder lid 1.
3. Het persoonsgebonden budget voor de voorziening huishoudelijke ondersteuning
wordt telkens per 1 januari aangepast aan de op dat moment geldende CAO zoals
genoemd in Artikel 2 1 , lid 1 .
4. Het college kan jaarlijks per 1 januari de in het kader van deze verordening en de
nadere regels geldende bedragen van de overige voorzieningen verhogen met de
consumentenprijsindex (CPI) van het CBS.
Artikel 34 Evaluatie
Het in het kader van deze verordening gevoerde beleid wordt minimaal eenmaal per vier
jaar geëvalueerd. Indien de evaluatie daartoe aanleiding geeft wordt deze verordening
aangepast. Het college zendt hiertoe telkens na vier jaar na de inwerkingtreding van de
verordening aan de gemeenteraad een verslag over de doeltreffendheid en de effectiviteit
van de verordening in de praktijk.

Paragraaf 11

Overgangsrecht, citeertitel en inwerkingtreding

Artikel 35 Overgangsrecht
1. Een betrokkene aan wie, op het moment dat de verordening in werking treedt, een
voorziening is verleend waarvoor geen eigen bijdrage gotd, wondt tot 1 januari 2012
geen eigen bijdrage in rekening gebracht.
2. Een betrokkene aan wie, op het moment dat de verordening in werking treedt, een
voorziening huishoudelijke ondersteuning kreeg die was geïndiceerd in kiassen, geldt
vanaf de in werking treding van de verordening de feitelijke' uren zoals die voor de
inwerkingtreding gebruikelijk werden geleverd.
Artikel 36 Citeertitel en inwerkingtreding
1. Deze verordening wordt aangehaald als: Verordening individuele voorzieningen Wmo
gemeente Woudenberg.
2. Deze verordening treedt in werking met ingang van 1 juli 2011 onder gelijktijdige
intrekking van de Verordening individuele voorzieningen maatschappelijke
ondersteuning gemeente Woudenberg.
Vastgesteld in de openbare raadsvergadering van: 26 mei 2011.

K. Wiesenekkér
raadsgriffiër

J.G.P. van Bergen
voorzitter

14

HOOFDSTUK},
PARAGRAAF 1

Artikel 1
Artikel 2
Artikel 3
Artikel 4
ArtikelS
PARAGRAAF 2

Artikel 6
Artikel 7
ArtikelS
Artikel 9
PARAGRAAF 3

Artikel 10
Artikel 11
Artikel 12
Artikel 13
PARAGRAAF 4

Artikel 14
Artikel 13
Artikel 16
HOOFDSTUK IL
PARAGRAAF 5

Artikel 17
Artikel 18
PARAGRAAF 6

Artikel 19
Artikel 20
Artikel 21
Artikel 22
PARAGRAAF 7

Artikel 23
Artikel 24
HOOFDSTUK UI.
PARAGRAAF 8

Artikel 25
Artikel 26
PARAGRAAF 9

ALGEMEEN.

„„„.«..

BEGRIPSBEPALINGEN

Artikel35
Artikel 36

:

„

•

^

_

.._..

_

Samenwerking met andere partijen

„

g
„7
3

...„

s

VOORWAARDENfflDivaouïLEVOORZIENINGEN......

8

Aanspraak op individuele voorzieningen
Weigeringsgronden .....-;
_
_
;
Het bepalen van de compensatie.........;.
....„^
..„.
Voorwaarden die leiden tot beperking of beëindiging voorziening

8
.....8
9
9

:..

RRANCitLÈvöoRWAAiiDEN

9

Eigen bijdrage.._
_
Voorzieningen zonder eigen bijdrage
Eigen aóndeel...„
.„..;

'.
_

9
9
5

.«„.„.„...........

10

_

WUZE VAN VERSTREKKING EN VOORWAARDEN ™ . „
KEUZEMOGELIJKHEDEN

10

Injnatura
Persoonsgebonden budget....

_..
„

_
_

j
_

_.

VOORWAARDEN PERHXMSeEBONDEN BUDGET...,..—._....._

VOORWAARDEN RNAKK3ËU: TEGEMOETKOMING

10
11
„... i l
11

,.

. . 1 1

Finandëte tegemoetkoming
Nadere vóórwaarden financiële tegemoetkoming

„

DE UITVOERING

„„«„„„,.

„......„

......«.„«™.

DE -AAKVRAAG EN SAMEKIHAKG MET.MIDERE \1poB2iEraKGEN

.,

il
_... 12
12

.•

Onderzoek, verstrekken van gegevens en advies....
Aanwijzingsbesluit adviesorgaan...

12

_.

12
12

INTREKKING/WUBGIKG EN TERUGVORDERING

12

22
ijj

..„

„..
«™,.„«.

is

.„„.„....

„.„•„ ;.„....,.......

NAQEBE REGEIS

13
13

Nadere regels
Hardheidsclausule
Beslissing college in gevallen waarin de verordening niet voorziet
Indexering
_
Evaluatie.-.

_

_..

13
13
13
±4
14

„
_

OVERGANGSRECHT, CfrEERTTTEL EN INWERKINGTREDING

Overgangsrecht
Citeertitel en inwerkingtreding

±Q
10
10

Algemene voorwaarden verstrekking persoonsgebonden budget
Nadere voorwaarden persoonsgebondenbudget huishoudelijkeondersteuning
Hoogte persoonsgebonden budget huishoudelijke ondersteuning.
Weigering van een persoonsgebonden budget

SLOTBEPALINGEN

5
J
g
g
g
e

Terugvordering

PARAGRAAF 1 1

_.

:

_

Opdracht college
Individuele wettelijke voorzieningen
Buitenwettelijk begunstigend beleid

Artikel29

Artikel 30
Artikel 31
Artikel 32
Artikel 33
Artikel 34

5

_

OPDRACHT COLLEGE

intrekking.....
Wijzigingen in de situatie

PARAGRAAF 10

„„.„„,„,..................;, 5

.

Wet-en regelgeving en organen ._... .
Algemene begripsbepalingen..
.
,.
Voorzieningen
...
Financiële begrippen
„
:.
Nietnader'adngedüidebegrippen..

Artikel 27
Artikel 23
HOOFDSTUK IV.

«.„.„«

_

,

14

...„

2.4
14

15