Hoe bescherm je de privacy van je kind en jezelf?

Het recht op bescherming van je persoonlijke gegevens, heeft een lange juridische geschiedenis. Tegenwoordig is het recht op bescherming van de privacy vastgelegd in verschillende nationale en internationale wetgeving en/of verdragen. Zoals in de AVG (Algemene Verordening Gegevensbescherming. Maar óók uit het Universele verdrag Rechten voor de Mens (UVRM), het VN-verdrag Burgerrechten en Politieke Rechten (BuPo), het Internationale verdrag voor de rechten van het kind (IVRK), de Grondwet, het Europese verdrag voor de rechten van de mens (EVRM) en het Handboek Europese gegevensbeschermings-wetgeving.

                      Sinds de AVG mogen we niets meer…?

Vóór de AVG van kracht werd, op 25 mei 20218, was er de Wet bescherming persoonsgegevens (Wbp). Vaak wordt gezegd dat er vanwege de AVG ‘niets meer mag’.  Maar óók vanuit de Wbp waren er al strenge eisen voor het verwerken van persoonsgegevens. De AVG heeft de eerder geldende wetgeving nader ingekleurd en aangescherpt. Ook kent de AVG strengere regels en sancties bij het niet naleven van de regels. Het recht op privacy krijgt de laatste jaren, terecht, steeds meer aandacht, maar de strenge eisen aan het verwerken van persoonsgegevens, waren er dus altijd al.

Hoe gevoeliger de gegevens, hoe belangrijker het is om erop te letten dat hier zorgvuldig mee wordt omgegaan. Hoe minder persoonsgegevens worden verzameld, hoe minder risico er is op eventuele negatieve gevolgen. Let daarom goed op welke persoonsgegevens van je kind en van jou worden verwerkt en door wie. Het is makkelijker om te zorgen dat er zorgvuldig met jullie persoonsgegevens wordt omgegaan, dan te herstellen als informatie al is verspreid. Hiermee zeggen we niet dat je nooit gegevens moet delen. Wees je je er alleen wel van bewust dat het belangrijk is om de privacy van je kind en van jezelf te beschermen.

In de privacywet (AVG) staat dat een persoonsgegeven ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’ is. Dit betekent dat informatie direct over iemand gaat, of dat je met die informatie bij deze persoon terecht kan komen. Bijvoorbeeld je naam, adres, telefoonnummer en (pas)foto.

Ook al is er in de AVG geen onderscheid tussen ‘gewone’ persoonsgegevens of gevoelige persoonsgegevens, zijn sommige gegevens gevoeliger dan andere.

• persoonsgegevens waaruit iemands ras of etnische afkomst blijkt;
• persoonsgegevens waaruit iemands politieke opvattingen blijken;
• persoonsgegevens waaruit iemands religieuze of levensbeschouwelijke overtuigingen blijken;
• persoonsgegevens waaruit het lidmaatschap van een vakvereniging blijkt;
• gegevens over iemands gezondheid;
• gegevens over iemands seksueel gedrag of seksuele gerichtheid;
• genetische gegevens;
• biometrische gegevens

Vaak denken mensen bij privacyregels aan informatie die digitaal wordt verwerkt. Of aan beeldmateriaal. Maar het verwerken van persoonsgegevens is véél meer dan dat. Ook het delen van (bijzondere) persoonsgegevens tijdens een gesprek (zoals een overleg op school, of een gesprek met de gemeente over Jeugdzorg), valt onder het ‘verwerken van (bijzondere) persoonsgegevens’. Hierbij gelden dus de regels van de AVG. In sommige gevallen gelden ook bijvoorbeeld regels op grond van de Wet inzake de Geneeskundige Behandelingsovereenkomst (WGBO) of de Jeugdwet. Het verwerken van persoonsgegevens mag alléén als dat noodzakelijk is, en als er een grondslag voor is. Voor bijzondere gegevens komt daar dus nog bij dat er een wettelijke uitzondering is op het verbod op het verwerken hiervan (art. 9, lid 2 AVG).

Ook het bespreken van bijvoorbeeld het functioneren van jouw kind tijdens een overleg op school, valt onder het verwerken van persoonsgegevens. Ook dan moet de verwerking noodzakelijk zijn, én er moet een grondslag zijn. En bij bijzondere persoonsgegevens, een uitzondering op het verbod om deze gegevens te verwerken.

Er zijn 6 grondslagen op basis waarvan persoonsgegevens mogen worden verwerkt.

• toestemming
• uitvoering overeenkomst
• wettelijke verplichting
• bescherming vitale belangen
• noodzakelijk voor vervulling taak algemeen belang
• gerechtvaardigd belang

Bij de grondslag ‘toestemming’’ is belangrijk dat de toestemming vrijelijk en ondubbelzinnig kan worden gegeven. Dit betekent dat je niet onder druk gezet mag worden (of je onder druk gezet voelt) om toestemming te geven. Ook moet duidelijk zijn voor het delen van welke gegevens je toestemming geeft, waaróm deze precies nodig zijn en wie de gegevens kan bekijken. Ook moet je weten dat toestemming altijd weer kan worden ingetrokken.

Zoals we al eerder in dit artikel aangeven; vraag gerust aan de school of de gemeente waarom de gevraagde informatie noodzakelijk is, welke grondslag er is voor de verwerking en, bij bijzondere gegevens, naar de uitzondering op het verbod op het verwerken hiervan. De school of de gemeente hoort jou hier uit zichzelf over te informeren. Het recht op privacy is (niet voor niets) een grondrecht. Het geven van informatie over waarom bepaalde gegevens nodig zijn, is geen gunst die zij jou verlenen, maar een wettelijke plicht.

Formulieren

Veel toestemmings- of aanmeldformulieren voldoen niet aan de eisen van de Algemene verordening gegevensbescherming (AVG). Zéker niet als het gaat om bijzondere persoonsgegevens. Let daarom altijd goed op als jou gevraagd wordt om toestemming voor het verwerken van (gevoelige of bijzondere) persoonsgegevens. Dit gebeurt bijvoorbeeld bij (het aanmelden bij) een school of bij een verzoek om Jeugdhulp. Wees kritisch op de gegevens die je (zou moeten) geven. En vraag als je twijfelt, of de school of de gemeente de gevraagde gegevens écht nodig heeft. En zo ja, waarom.

Een organisatie (zoals een school of een gemeente) moet een grondslag hebben om persoonsgegevens te mogen verwerken. Dus óók om gegevens te mogen delen. Er staan 6 grondslagen in de AVG. Één van daarvan is toestemming*. Als er niet een ándere grondslag is waarop een organisatie persoonsgegevens mag verwerken, moet zij om toestemming vragen. Deze toestemming moet ‘vrijelijk en ondubbelzinnig’ worden gegeven. Je moet dus niet onder druk gezet worden (of je onder druk gezet voelen) om toestemming te geven. Ook moet duidelijk zijn om welke gegevens het precies gaat, waaróm deze precies nodig zijn en wie de gegevens kan bekijken.

*Tip: Gegeven toestemming kan altijd weer kan worden ingetrokken.

Lees meer over de grondslagen van de AVG op de website van de Autoriteit Persoonsgegevens.

Organisaties die persoonsgegevens verwerken, moeten aantonen dat zij zich houden aan de 6 basisprincipes (beginselen) van de AVG.

De 6 AVG-beginselen zijn:

• rechtmatigheid, behoorlijkheid en transparantie;
• doelbinding;
• dataminimalisatie;
• juistheid;
• opslagbeperking;
• vertrouwelijkheid en integriteit.

Rechtmatigheid, behoorlijkheid en transparantie

Een organisatie moet voor iedere verwerking van persoonsgegevens een (rechtmatige) grondslag  hebben. Dat is dus een (juridisch) geldige reden om de gegevens te verwerken. Zonder zo’n reden mag de organisatie je persoonsgegevens niet verwerken. De organisatie moet jou laten weten dat je persoonsgegevens worden verwerkt en waarom.

Doelbinding

Organisaties mogen persoonsgegevens alleen verzamelen met een gerechtvaardigd doel. Dat doel moet duidelijk en specifiek zijn (niet algemeen). Een organisatie mag gegevens die voor een specifiek doel is verzameld, niet gebruiken voor een ánder doel.

Dataminimalisatie

Organisaties moeten zo weinig mogelijk persoonsgegevens verwerken. Dus alleen gegevens voor een specifiek doel (zie doelbinding) en niet méér dan strikt noodzakelijk is om het doel te bereiken. ‘Need to know’ versus ‘Nice to know’.

Iedere instantie die (gevoelige/bijzondere) persoonsgegevens verwerkt, moet zich houden aan het ‘noodzakelijkheidsbeginsel’. Dit betekent (onder andere) dat er níet méér persoonsgegevens mogen worden verwerkt dan voor het doel noodzakelijk is. En dat er zo min mogelijk gegevens worden uitgewisseld. 

Zo mag een gemeente vragen om informatie om een verzoek om jeugdzorg te beoordelen. Maar de gegevens waar de gemeente om vraagt, moeten wel écht nodig zijn. Ook moet er een grondslag zijn. En, als het gaat om  bijzondere persoonsgegevens, een wettelijke uitzondering op het verbod om deze te verwerken.

Dit geldt ook voor een school. Een school heeft gegevens nodig om te kijken wat een kind aan ondersteuning nodig heeft. En of ze kunnen voldoen aan de onderwijs- en ondersteuningsbehoeften. Maar ook hier geldt, de gegevens waar de school om vraagt, moeten daar noodzakelijk voor zijn. Ook moet er een grondslag zijn. En, als het gaat om  bijzondere persoonsgegevens, een wettelijke uitzondering op het verbod om deze te verwerken.

Juistheid

De verwerkingsverantwoordelijke (degene die de privacygevoelige informatie van jou krijgt en bewaart) moet ervoor zorgen dat de gegevens juist en up to date zijn. Je kan een organisatie altijd vragen je persoonsgegevens aan te passen als die niet kloppen. Dat is het recht op rectificatie.

Opslagbeperking

Organisaties moeten persoonsgegevens verwijderen zodra die niet langer nodig zijn voor het oorspronkelijke doel waarvoor ze zijn verzameld. Organisaties mogen gegevens dus maar een bepaalde tijd bewaren.

Vertrouwelijkheid en integriteit

De gegevensverwerking moet op een passende manier worden beveiligd. Voor bijzondere persoonsgegevens, zoals over iemands (geestelijke) gezondheid, gelden extra strenge regels zie het kopje hierboven: ‘strengere regels bijzondere persoonsgegevens’.

Ook moet een organisatie ervoor zorgen dat de gegevens alléén toegankelijk zijn voor wie dit noodzakelijk is voor de uitvoering van hun taak. 

Lees meer over de beginselen van de AVG op de website van de Autoriteit Persoonsgegevens.

In de privacywet, de Algemene verordening gegevensbescherming (AVG), staat welke rechten jij hebt als organisaties jouw persoonsgegevens verwerken. We noemen dit privacyrechten. Deze rechten zijn bedoeld om controle te kunnen houden over je persoonsgegevens. Je hebt bijvoorbeeld het recht om te weten wat een organisatie met jouw gegevens doet. Je kan bijvoorbeeld vragen welke gegevens een organisatie over jou verwerkt. En je gegevens laten corrigeren of weghalen.

De ‘privacyrechten’ zijn:

• Informatie
• Inzage
• Rectificatie (wijziging)
• Vergetelheid (wissen)
• Dataportabiliteit
• Recht van bezwaar
• Recht op menselijke blik bij besluiten

Recht op informatie

Een organisatie moet jou laten weten dat zij jouw persoonsgegevens gebruiken. En ook wat zij met die gegevens doen en waarom. Lees meer over het recht op informatie op de website van de Autoriteit Persoonsgegevens.

Recht op inzage

Je hebt recht op inzage in de persoonsgegevens die organisaties van jou en jouw kind verwerken. Daarom heb je ook recht op een kopie van het volledige dossier als je daarom vraagt. Dit moet je binnen vier weken krijgen. Lees meer over je recht op inzage op de website van de autoriteit persoonsgegevens.

Recht op wijziging

Je hebt het recht om te vragen jouw gegevens te veranderen (rectificeren) als die niet kloppen. Bijvoorbeeld als je het (leerling)dossier van je kind hebt opgevraagd. En je ziet dat de gegevens niet kloppen, of niet compleet zijn. Je kunt de organisatie dan vragen je gegevens aan te passen of aan te vullen. Lees meer over het recht op rectificatie (wijziging) op de website van de Autoriteit Persoonsgegevens.

Recht op vergetelheid

In een aantal situaties zijn organisaties verplicht je persoonsgegevens te verwijderen (wissen) als je hierom vraagt. Volgens de privacywet AVG hebben mensen namelijk ‘recht op vergetelheid’ (wissen van gegevens). AIs er geen goede reden (meer) is voor een organisatie om je gegevens te verwerken, is het belangrijk dat deze worden gewist. Maar let op: het is niet altijd mogelijk om alle gegevens te wissen. Lees meer over het recht op vergetelheid op de website van de Autoriteit Persoonsgegevens.

Recht op dataportabiliteit

Recht op dataportabiliteit is het ‘recht om gegevens over te laten dragen’. Bijvoorbeeld bij een overstap naar een andere energieleverancier. Een organisatie die een verzoek krijgt om gegevens over te dragen, moet alle persoonsgegevens beschikbaar stellen die deze persoon aan de organisatie heeft verstrekt.  Lees meer over het recht op dataportabiliteit op de website van de Autoriteit Persoonsgegevens.

Recht van bezwaar

Er zijn 2 situaties waarin je het recht hebt om aan een organisatie te vragen je persoonsgegevens niet meer te gebruiken. Dit heet het recht van bezwaar. Je kunt bezwaar maken tegen het gebruik van je persoonsgegevens vanwege jouw specifieke situatie. Bijvoorbeeld als je hebt meegedaan aan een medisch onderzoek en je er later acht komt dat een bekende van jou als onderzoeker bij dat centrum werkt. Of omdat je geen direct marketing wil ontvangen. Lees meer over het recht van bezwaar op de website van de Autoriteit Persoonsgegevens.

Recht op menselijke blik bij besluiten

Sommige organisaties nemen besluiten over mensen op basis van automatisch verwerkte gegevens. Het is dan niet een persoon die het besluit neemt, maar de computer. Bijvoorbeeld de automatische beoordeling van een online ingediende kredietaanvraag. De privacywet AVG geeft mensen recht op een menselijke blik bij automatische besluiten die over hen gaan en die gevolgen voor hen hebben.

Lees meer over het recht op menselijke blik bij besluiten op de website van de Autoriteit Persoonsgegevens.

Het kan zijn dat je erachter komt dat er gegevens van je kind, of van jezelf worden verwerkt, terwijl daar geen grondslag en/of noodzaak voor is. Of je krijgt het dossier niet als je dat opvraagt. Wat kun je dan doen? 

Je kunt bijvoorbeeld de gegevens van de functionaris gegevensbescherming (FG) van de school of de gemeente opzoeken. En je verzoek om wijziging of om inzage of een kopie van het dossier daar (nog eens) doen. Als je dan nog steeds geen reactie krijgt, kun je bijvoorbeeld een melding doen bij de Autoriteit Persoonsgegevens, een klacht indienen bij het schoolbestuur, of contact opnemen met het juridisch loket, je rechtsbijstandsadviseur of  een advocaat, gespecialiseerd in privacy. 

Er zijn verschillen in de gevoeligheid van persoonsgegevens. Hoe gevoeliger de gegevens, hoe belangrijker het is om erop te letten dat hier zorgvuldig mee wordt omgegaan. Dit is zéker belangrijk als het gaat om bijzondere persoonsgegevens. Voorkomen is hierbij belangrijker dan ‘genezen’. Hoe minder gegevens worden verzameld, hoe minder risico er is op eventuele negatieve gevolgen.

Om de gevoelige en/of bijzondere persoonsgegevens van jezelf én je kind te beschermen, raden wij aan vooral te letten op:

• Toestemming voor het delen van gegevens, bijvoorbeeld op een aanmeldformulier, voor/tijdens gesprekken, bij een onderzoek naar onderwijs- en ondersteuningsbehoeften of een aanvraag voor jeugdhulp/jeugdzorg. Check of de gegevens noodzakelijk zijn, of er een grondslag is en, bij bijzondere persoonsgegevens, wat de wettelijke uitzondering is op het verbod op het verwerken hiervan.
• Het principe dat een organisatie (school of gemeente) moet streven naar het verwerken van zo min mogelijk gegevens (dataminimalisatie)
• Inzage in de gegevens. Weet welke gegevens er van jou en je kind bekend zijn bij een organisatie (school of gemeente). Zorg dat die informatie klopt, en er niet méér gegevens worden verwerkt dan noodzakelijk.