Gemeenten moeten bij decentralisatie rekening houden met privacy

Vanaf 1 januari 2015 komen diverse taken op het gebied van jeugdzorg, werk en inkomen en zorg aan langdurig zieken en ouderen bij de gemeenten te liggen. Hierdoor zullen gemeenten meer persoonsgegevens van burgers gaan verwerken. Het gaat hier tevens om gevoelige gegevens zoals gegevens over gezondheid en strafrechtelijke gegevens. Voor het gebruik van deze gegevens gelden de eisen uit de Wet bescherming persoonsgegevens ("Wbp"). Gemeenten zullen daar rekening mee moeten houden.

Lerende praktijk

Het kabinet heeft ervoor gekozen om (nog) geen specifieke regels op te stellen voor het gebruik van persoonsgegevens door gemeenten in verband met de decentralisatie. In plaats daarvan kiest het kabinet voor een zogenaamde 'lerende praktijk'. Gemeenten zullen eerst de gelegenheid krijgen om de overgang van taken en de daarbij behorende werkprocessen nader in te richten. Dit zal deels in de praktijk gebeuren. Pas indien uit de praktijk blijkt dat nadere regels of richtlijnen nodig zijn, zullen die worden opgesteld.

Reactie van het CBP

In een op 1 juli 2014 gepubliceerde brief aan het kabinet reageerde het College Bescherming Persoonsgegevens (de Nederlandse toezichthouder op het gebied van privacy, "CBP") op deze visie. In de brief benadrukt het CBP dat gemeenten de naleving van de Wbp niet mogen opschorten als gevolg van een 'lerende praktijk'. Gemeenten moeten al bij het voorbereiden van de decentralisatie rekening houden met de eisen die de Wbp stelt aan het gebruik van persoonsgegevens. Dit geldt eens te meer nu het gaat om gevoelige gegevens.

Handhaving

Ook geeft het CBP aan dat zij de ontwikkelingen binnen gemeenten nauwlettend zal blijven volgen. Dit zowel gedurende het voorbereidende traject, als na de overheveling van de taken. Daarbij waarschuwt het CBP bovendien dat zij gebruik zal maken van haar toezichthoudende bevoegdheden indien gemeenten zich bij de uitvoering van taken in het sociaal domein niet houden aan de Wbp.

Wat betekent dit?

Dit betekent dat gemeenten (en andere bij de decentralisatie betrokken partijen) nu al, dat wil zeggen bij de voorbereiding van de nieuwe taken en processen waarvoor zij vanaf 1 januari 2015 verantwoordelijk zijn, in kaart moeten brengen welke eisen de Wbp meebrengt. Deze eisen moeten zij vervolgens meenemen bij het inrichten van hun processen. Gemeenten moeten er onder meer voor zorgen dat zij niet meer gegevens gebruiken dan strikt noodzakelijk is voor het uitvoeren van hun wettelijke taken en waarborgen dat die gegevens niet voor andere doeleinden worden gebruikt. Zogenaamde "privacy by design" maatregelen liggen hier erg voor de hand. Wellicht grijpt het kabinet de brief van het CBP aan om hier extra duidelijkheid over te scheppen. Zo niet, dan zullen de gemeenten het zelf moeten oplossen.

Voor meer informatie over de visie van het CBP, zie
http://www.cbpweb.nl/Pages/pb_20140701_gemeenten-decentralisatie-privacy.aspx