<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>gemeente

Lelystad

SP-fractie Lelystad
tav. de heer H. Teerds

DEMANDE

uw brief van uw kenmerk ons kenmerk datum

20 april 2016 U16-97675 9 5 MEI 2016
behandeld door doorkiesnummer bijlagen dossiernummer
Hans Witteveen 1

onderwerp pr-nummer

Antwoord art. 36 vragen over Verwerking persoonsgegevens in sociaal domein

Geachte heer Teerds,

Uw fractie heeft in een brief van 20 april 2016 vragen gesteld ex artikel 36 Reglement van orde voor
vergaderingen en andere werkzaamheden van de raad van Lelystad 2015. Uw vragen gaan over de
verwerking van persoonsgegevens in het sociaal domein. In deze brief beantwoorden wij uw vragen.

Vraag 1
Heeft het college kennis genomen van het onlangs verschenen rapport ‘De rol van toestemming in het

sociaal domein’ van de Autoriteit Persoonsgegevens?

Antwoord 1
Ja

Vraag 2
Aannemend dat op grond van deelname aan de G32 Lelystad één van de onderzochte gemeentes is,

kan het college aangeven welke tekortkomingen in het rapport van toepassing zijn op Lelystad?

Antwoord 2

Het College Bescherming Persoonsgegevens heeft de gemeente Lelystad inmiddels ruim een jaar
geleden (2 april 2015) verzocht deel te nemen aan het onderzoek. Wij hebben desgevraagd, op 24
april 2015, Lelystadse documentatie over privacy in het sociale domein beschikbaar gesteld.

De Autoriteit Persoonsgegevens benadrukt in haar rapport dat conclusies bewust niet per gemeente
zijn uitgewerkt. Wij hebben als gemeente dan ook geen specifieke terugkoppeling ontvangen. Het is
derhalve niet bekend welke conclusies de autoriteit baseert en toepast op de gemeente Lelystad.

Vraag 3
Onderschrijft het college de conclusies van het rapport? Zo nee, waarom

niet?

Gemeente Lelystad
Stadhuisplein 2
Postbus 91

8200 AB Lelystad
14 0320
www.lelystad.nl
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>ons kenmerk datum pagina
2

Antwoord 3
Hieronder eerst een beknopte weergave van de conclusies van het rapport.

“De Autoriteit Persoonsgegevens constateert dat gemeenten géén duidelijk beeld hebben van
welke gegevens zij in het sociaal domein mogen verwerken, voor welke doelen zij dit mogen en op
basis van welke grondslagen. Ook heeft geen van de onderzochte gemeenten duidelijk bepaald
wat de rol van toestemming daarbij kan of moet zijn.”

“Gemeenten hebben een overzicht nodig van de doelen, grondslagen en persoonsgegevens in het
sociaal domein. Dit overzicht is onder meer noodzakelijk om de taken in het sociaal domein te
onderkennen die niet wettelijk zijn geregeld.”

“Ook kunnen gemeenten zonder dit overzicht hun inwoners niet goed informeren, terwijl dat op
grond van de Wbp wel is vereist.”

“Tot slot hebben gemeenten dit overzicht nodig om professionals in de praktijk van handreikingen
te voorzien zodat zij op een verantwoorde manier omgaan met persoonsgegevens in het sociale
domein.”

De Autoriteit Persoonsgegevens onderschrijft de complexiteit van de taak van gemeenten en geeft als
voornaamste reden van de geconstateerde tekortkomingen:

“Dat komt doordat er verschillende domeinen en wetten zijn op grond waarvan gemeenten taken
uitvoeren en persoonsgegevens verwerken. Elke afzonderlijke wet bevat bepalingen over de
verwerking van persoonsgegevens in dat specifieke domein. Gemeenten moeten de verschillende
taken in het sociaal domein in samenhang met elkaar kunnen uitvoeren, maar deze wetten
voorzien onvoldoende in een regeling voor deze integrale taakuitvoering. Ook is hiervoor geen
overkoepelende wettelijke regeling aanwezig.”

De autoriteit zet vervolgens uiteen dat het kabinet besloot om gemeenten ruimte in de uitvoering te
bieden, in plaats van een overkoepelende regeling en overzicht.

Wij onderschrijven de conclusies van de autoriteit. Wij ervaren dat het complex is om de wet uit te
voeren, te meer doordat de wetten in het sociaal domein niet eenduidig zijn in hun eisen ten aanzien
van de bescherming van persoonsgegevens.

Vraag 4
Neemt het college de aanbevelingen van het rapport volledig over? Zo nee, op welke punten en

waarom niet?

Antwoord 4

Ons college hecht veel waarde aan het borgen van privacy. De ambtelijke organisatie van de
gemeente Lelystad hanteert de Baseline Informatiebeveiliging gemeenten. Dat dit geen dode letter is,
ziet U momenteel aan de borden die overal in het stadhuis zijn geplaatst. Aanvullend daarop geldt
voor het sociale domein dat de gemeente privacy- en gegevensovereenkomsten hanteert met
uitvoerende partijen zoals het Jeugd- en Gezinsteam en de Wijkteams. De medewerkers in die
organisaties werken met privacyprotocollen. Ter voorbereiding op de decentralisaties hebben wij een
Privacy Impact Assessment gehouden. Ook is er voor de Jeugdhulp recent (maart 2016) nog
gecontroleerd welke medewerkers zijn geautoriseerd, hoe de gemeente omgaat met
persoonsgegevens en of er verbeteringen mogelijk zijn.

Dit laat onverlet dat het zeer goed mogelijk is dat de aanbevelingen in dit rapport bruikbaar zijn voor
en toepasbaar zijn op ons beleid en de uitvoering daarvan. Nogmaals, de autoriteit heeft haar
conclusies helaas niet per gemeente gepresenteerd. Wij nemen daarom alle aanbevelingen ter harte
en zullen die gebruiken voor het verbeteren van privacywaarborgen daar waar nodig.
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>ons kenmerk datum pagina

25 MEI 2016

Vraag 5
Op welke wijze en op welke termijn verwacht het college aan de voor Lelystad geconstateerde

tekortkomingen tegemoet te komen? Meer specifiek:

5.1. Beschikt Lelystad over het in paragraaf 4.4 van het rapport bedoelde overzicht? Zo nee, op welke
termijn verwacht het college een dergelijke overzicht beschikbaar te hebben als basis van het
benodigde privacybeleid?

5.2. Beschikt Lelystad over een integraal en domeinoverstijgend privacybeleid zoals in dit rapport
bedoeld? Zo nee, op welke termijn en op welke wijze verwacht het college een dergelijk beleid
beschikbaar te hebben en in procedure te brengen als basis voor de correcte en risicobeperkende
verwerking van gegevens van burgers?

Antwoord 5

Ondanks dat Lelystad een bijdrage heeft geleverd aan het onderzoek, is het niet bekend welke
conclusies de autoriteit trekt over de uitvoering van ons privacybeleid. Zoals ook toegezegd in de
beantwoording van vraag 4, neemt het college de aanbevelingen van de autoriteit ter harte en past
deze toe waar nodig. Dit doen wij per direct en zo snel mogelijk.

5.1. Nee, de gemeente Lelystad beschikt niet over een dergelijk overzicht. De autoriteit constateert dat
(naar verwachting) geen enkele gemeenten een dergelijk overzicht heeft. Het college neemt de
aanbevelingen uit het rapport ter harte en zegt toe deze toe te passen waar nodig. Daaronder valt ook
het overzicht.

5.2. De gemeente Lelystad beschikt uiteraard over een privacybeleid, maar deze is niet integraal en
domeinoverstijgend zoals uitgewerkt in het voorliggende onderzoeksrapport. Het college neemt de
aanbevelingen uit het rapport ter harte en zegt toe deze toe te passen waar nodig. Daaronder valt ook
de mogelijkheid (indien nodig) om het privacybeleid bij te stellen.

Hoogachtend,

het college van de gemeente Lelystad,

de secretaris, de burge er,

M. Horselenberg
P.G. Klooster, locosecretaris
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>           Onderzoeksrapport
   Verwerking van
   persoonsgegevens in het
   sociaal domein:
   De rol van toestemming
   Onderzoeksrapport op basis
   van inlichtingen van 41
   gemeenten
Rapport| De rol van toestemming in het sociaal domein
april 2016
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre>   Samenvatting
   Gemeenten hebben er sinds 1 januari 2015 nieuwe taken bij gekregen op het gebied van jeugdzorg,
   maatschappelijke ondersteuning, arbeidsparticipatie en zorg voor chronisch zieken en gehandicapten (het
   sociaal domein genoemd). Hierdoor zijn gemeenten meer gegevens van meer mensen gaan verwerken. Dit
   brengt privacyrisico’s met zich mee.
   De Autoriteit Persoonsgegevens heeft eerder aandacht gevraagd voor deze risico’s. Ook heeft de
   toezichthouder erop gewezen dat er geen overkoepelende wettelijke regeling is voor de
   domeinoverstijgende verwerking van persoonsgegevens in het sociaal domein. De Autoriteit
   Persoonsgegevens benadrukte hierbij dat gemeenten dit probleem niet kunnen omzeilen door
   toestemming te vragen aan betrokkenen voor het verwerken van hun gegevens.
   Onderzoek
   De Autoriteit Persoonsgegevens heeft onderzoek gedaan bij 41 gemeenten naar hoe zij toestemming
   gebruiken bij de verwerking van persoonsgegevens in het sociaal domein. Ook heeft de toezichthouder
   onderzocht hoe de gemeenten hun inwoners informeren over deze verwerking van hun gegevens.
   De Autoriteit Persoonsgegevens constateert dat gemeenten géén duidelijk beeld hebben van welke
   gegevens zij in het sociaal domein mogen verwerken, voor welke doelen zij dit mogen en op basis van
   welke grondslagen. Ook heeft geen van de 41 gemeenten duidelijk bepaald wat de rol van toestemming
   daarbij kan of moet zijn.
   Grondslagen
   De bepaling van de grondslagen voor de verwerking van persoonsgegevens bij de uitvoering van taken in
   het sociaal domein is complex. Dat komt omdat er verschillende domeinen en wetten zijn (de Jeugdwet, de
   Wmo 2015, de Participatiewet, de Wet gemeentelijke schuldhulpverlening en de Wet passend onderwijs)
   op grond waarvan gemeenten in het sociaal domein taken uitvoeren en persoonsgegevens verwerken.
   Elke afzonderlijke wet bevat bepalingen over de verwerking van persoonsgegevens in dat specifieke
   domein. Gemeenten moeten de verschillende taken in het sociaal domein in samenhang met elkaar
   kunnen uitvoeren, maar deze wetten voorzien onvoldoende in een regeling voor deze integrale
   taakuitvoering. Ook is hiervoor geen overkoepelende wettelijke regeling aanwezig.
   Toestemming
   Gemeenten kunnen problemen bij het bepalen van de grondslagen voor de verwerking van
   persoonsgegevens in het sociaal domein niet vermijden door toestemming aan betrokkenen te vragen
   voor de verwerking van hun persoonsgegevens. Vooral niet als gemeenten die toestemming vragen in
   situaties waarin de betrokkenen afhankelijk zijn van de gemeente voor hulp, zoals de
   intake/toegangsverlening. Betrokkenen kunnen daarbij niet in vrijheid toestemming geven.
   Een ‘onvrije’ toestemming vormt geen grondslag. Gemeenten mogen dan alléén persoonsgegevens
   verwerken als zij zich kunnen baseren op een van de andere grondslagen uit artikel 8 van de Wet
   bescherming persoonsgegevens (Wbp).
Rapport| De rol van toestemming in het sociaal domein                                                    2
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>   Overzicht
   Gemeenten hebben een overzicht nodig van de doelen, grondslagen en persoonsgegevens in het sociaal
   domein. Dit overzicht is onder meer noodzakelijk om de taken in het sociaal domein te onderkennen die
   niet wettelijk zijn geregeld. Voor de verwerking van persoonsgegevens bij deze taken kan toestemming
   namelijk de énige mogelijke grondslag zijn, maar alleen als deze toestemming voldoet aan de
   randvoorwaarden die de Wbp daaraan stelt. Zo niet, dan is de betreffende verwerking van
   persoonsgegevens niet toegestaan.
   Zonder het hiervoor bedoelde overzicht kunnen gemeenten niet weten of de door of namens hen
   uitgevoerde gegevensverwerking rechtmatig is. Daarmee ontstaat het risico op overtreding van de Wbp.
   Ook kunnen gemeenten zonder dit overzicht hun inwoners niet goed informeren, terwijl dat op grond van
   de Wbp wel is vereist. Deze mensen kunnen dan hun rechten uit de Wbp (zoals het recht op inzage van hun
   gegevens) niet goed uitoefenen. Bovendien kan het gebrek aan informatie en transparantie een negatief
   effect hebben op het vertrouwen van de inwoners in hun gemeente. Dat klemt te meer omdat het in het
   sociaal domein veelal gaat om kwetsbare mensen die afhankelijk zijn van de gemeente.
   Tot slot hebben gemeenten dit overzicht nodig om professionals in de praktijk van handreikingen te
   voorzien zodat zij op een verantwoorde manier omgaan met persoonsgegevens in het sociaal domein.
   Onderzoeksrapport
   De Autoriteit Persoonsgegevens onderkent de complexiteit van de taak van gemeenten in het sociaal
   domein: zij moeten helderheid scheppen zonder verdere handreikingen van de wetgever en terwijl de
   praktijk zich nog aan het ontwikkelen is. De Autoriteit Persoonsgegevens heeft daarom besloten geen
   onderzoeksrapport per gemeente te publiceren, maar dit overkoepelende rapport op te stellen.
   De Autoriteit Persoonsgegevens gaat ervan uit dat gemeenten in 2016 alsnog het hierboven bedoelde
   gespecificeerde overzicht opstellen van de doelen, grondslagen en persoonsgegevens in het sociaal
   domein. De Autoriteit Persoonsgegevens verwacht bovendien dat gemeenten op basis van dit overzicht de
   professionals in het sociaal domein beter ondersteunen bij het conform de Wbp verwerken van
   persoonsgegevens én dat gemeenten hun inwoners beter informeren.
Rapport| De rol van toestemming in het sociaal domein                                                    3
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>====================================================================== Pagina 7 ======================================================================

<pre>         1. Inleiding
   1.1        Achtergrond
   Het College bescherming persoonsgegevens (hierna de Autoriteit Persoonsgegevens)1 heeft in de
   voorbereidingsfase van de decentralisaties in het sociaal domein2 veelvuldig aandacht gevraagd voor de
   daarbij behorende waarborgen voor de verwerking van persoonsgegevens.3 Daartoe zijn verschillende
   (wetgevings)adviezen opgesteld, brieven geschreven en overleggen gevoerd met onder meer de Minister
   van Binnenlandse Zaken en Koninkrijksrelaties (BZK) en de Vereniging van Nederlandse Gemeenten
   (VNG).
   In een vroegtijdig stadium is door de Autoriteit Persoonsgegevens gewezen op risico’s van bovenmatige
   dan wel niet noodzakelijke verwerking van persoonsgegevens bij de uitvoering van taken in het sociaal
   domein. Ook heeft de Autoriteit persoonsgegevens gewezen op het ontbreken van een deugdelijke
   wettelijke regeling voor de domeinoverstijgende verwerking van persoonsgegevens in het sociaal domein.
   Daarbij is benadrukt dat de toestemming van betrokkene niet kan worden gebruikt als legitimering voor
   het ontbreken van noodzaak of grondslag voor de verwerking van persoonsgegevens.
   De wetgever heeft ervoor gekozen om hetgeen de materiewetten4 regelen over de verwerking van
   persoonsgegevens niet verder aan te vullen (bijvoorbeeld met een kaderwet of met bepalingen die zien op
   verwerking van persoonsgegevens bij een integrale werkwijze). In plaats daarvan is in eerste instantie
   gekozen voor een ‘lerende praktijk’ waarbij gemeenten5 de vrijheid hebben om zelf te bepalen hoe zij de
   uitvoering van taken in het sociaal domein gaan organiseren om vervolgens te bepalen hoe (en of) zij
   daarbij aan de Wet bescherming persoonsgegevens (Wbp) kunnen voldoen. Hiermee wordt gemeenten de
   ruimte gegeven om “een praktijk te ontwikkelen waarin de juiste balans wordt gevonden tussen ruimte voor de
   professionals om noodzakelijke informatie te delen met het oog op een optimale ondersteuning van de betrokken burgers,
   en de borging van privacy.”6 De Autoriteit Persoonsgegevens heeft naar aanleiding daarvan opgemerkt dat de
   verwerking van persoonsgegevens in deze lerende praktijk altijd zal zijn begrensd door de Wbp.7
   1
     Het College bescherming persoonsgegevens heet sinds 1 januari 2016 de Autoriteit Persoonsgegevens.
   2
     Met sociaal domein wordt bedoeld de uitvoering van taken op het gebied van de Jeugdwet, de Wmo 2015, de Participatiewet, de
   Wet gemeentelijke schuldhulpverlening en de Wet passend onderwijs.
   3
     Bijvoorbeeld het bovenmatig delen van persoonsgegevens, het gebruik van gegevens voor een doel dat niet verenigbaar is met het
   oorspronkelijke doel en de beveiliging van gegevens. Ook heeft de Autoriteit Persoonsgegevens gewezen op het risico op
   intransparantie voor zowel gemeenten zelf als de burger. Zie onder meer het advies van 5 maart 2013 over het conceptwetsvoorstel
   Jeugd (z2013-00048) en het advies van 29 juli 2013 over het conceptwetvoorstel Wmo 2015 (z2013-00534); De brieven aan de
   minister van BZK van 29 oktober 2013 en 3 juni 2014 ( z2014-00393); het advies over de privacytoets jeugdhulpdomein van 30
   oktober 2014 (z2014-00740) en de brieven en adviezen over een lacune in de Jeugdwet van 13 mei 2015 en16 juli 2015 (z2014-
   00976).
   4
     Met materiewetten worden bedoeld de wetten waarin de taken voor de verschillende domeinen zijn geregeld. Voor het sociaal
   domein zijn dat de Jeugdwet, de Wmo 2015, de Participatiewet, de Wet gemeentelijke schuldhulpverlening en de Wet passend
   onderwijs.
   5
     De Colleges van Burgemeester en Wethouders zijn de verantwoordelijken voor de gegevensverwerking in de zin van de Wbp.
   Omwille van de leesbaarheid wordt in dit rapport in plaats van Colleges van Burgemeester en Wethouders, gesproken van
   gemeenten.
   6
     Beleidsvisie “Zorgvuldig en bewust; Gegevensverwerking en Privacy in een gedecentraliseerd sociaal domein,” en begeleidende
   brief van de minister van BZK, Kamerstukken II, 2013/14, 32 761, nr. 62. De Minister van BZK heeft deze beleidsvisie mede in
   reactie op een brief van het College bescherming persoonsgegevens opgesteld. De Minister stelt zich hierin op het standpunt dat
   nadere wettelijke regeling van privacywaarborgen ertoe zou kunnen leiden dat “ze belemmerend werken voor de noodzakelijke
   vernieuwing en de gemeentelijke beleidsvrijheid.”
   7
     Brief van het College bescherming persoonsgegevens aan de minister van BZK van 3 juni 2014 (z2014-00393).
Rapport| De rol van toestemming in het sociaal domein                                                                              4
</pre>

====================================================================== Einde pagina 7 =================================================================

<br><br>====================================================================== Pagina 8 ======================================================================

<pre>   In vervolg op de adviezen en gesprekken uit 2013 en 2014 doet de Autoriteit Persoonsgegevens in 2015 en
   2016 onderzoek naar de wijze waarop de (lerende) praktijk vorm geeft aan de naleving van de Wbp bij de
   verwerking van persoonsgegevens in het sociaal domein.
   1.2       Onderzoek
   Daartoe heeft de Autoriteit Persoonsgegevens begin 2015 allereerst een quick scan uitgevoerd op de
   websites van 50 gemeenten. Op de websites van deze gemeenten bleek weinig informatie beschikbaar over
   de verwerking van persoonsgegevens in het sociaal domein. Wel werd op de website van 20 van deze
   gemeenten in algemene zin aangegeven dat aan betrokkene toestemming wordt gevraagd bij de
   verwerking van persoonsgegevens in het sociaal domein.
   De Autoriteit Persoonsgegevens heeft vervolgens besloten om aan 41 gemeenten8 inlichtingen te vragen
   over hoe zij toestemming gebruiken bij de verwerking van persoonsgegevens in het sociaal domein.
   Daarbij is ook een aantal vragen gesteld over de wijze waarop gemeenten voldoen aan hun
   informatieplicht jegens burgers als van hen persoonsgegevens worden verwerkt in het sociaal domein.
   Zowel in gevallen waarin daarvoor toestemming wordt gevraagd, als in gevallen waarin daarvoor geen
   toestemming wordt gevraagd.
   1.3       Rapport
   De Autoriteit Persoonsgegevens heeft besloten om thans in dit onderzoek geen, op handhaving gerichte,
   bevindingen per gemeente op te stellen. In plaats daarvan heeft de Autoriteit Persoonsgegevens een
   overkoepelend rapport opgesteld.
   De verwerking van persoonsgegevens in het sociaal domein is complex vanwege de verschillende
   domeinen en materiewetten. Daarnaast zijn er binnen de verschillende domeinen ook nog verschillende
   doelen waarvoor persoonsgegevens worden verwerkt, zoals vroegsignalering, intake/indicatiestelling,
   hulpverlening, financiële afwikkeling van declaraties en beleid. Verder zijn er naast de gemeente,
   verschillende partijen betrokken bij de verwerking van persoonsgegevens in het sociaal domein.
   Een van de beoogde doelen van de (decentralisatie)wetgeving voor het sociaal domein was dat gemeenten
   een zo integraal mogelijk beleid voeren en dat schotten tussen beleidsterreinen worden weggenomen. De
   wijze waarop gemeenten in de praktijk invulling geven aan de uitvoering van taken en verwerking van
   persoonsgegevens in het sociaal domein verschilt. Veel gemeenten werken met wijkteams waarvoor geldt
   dat er veel verschillen zijn in of, en zo ja in welke mate, er domeinoverstijgend (integraal) wordt gewerkt.
   Zo zijn er gemeenten die aparte wijkteams voor jeugd en maatschappelijke ondersteuning hebben en
   daarnaast aparte loketten voor werk en inkomen en gemeentelijke schuldhulpverlening. Andere
   gemeenten gebruiken wijkteams alleen bij de zogenaamde multiprobleem gevallen. Maar er zijn ook
   gemeenten die alle taken in het sociaal domein door generalistische wijkteams laten uitvoeren.
   Daarnaast is van belang dat er in het sociaal domein vaak gevoelige gegevens worden verwerkt, zoals
   gegevens betreffende de gezondheid en strafrechtelijke gegevens. Een andere complicerende factor is dat
   er in het sociaal domein sprake is van zowel publiekrechtelijke taken als hulpverleningstaken. Dat kan
   onder meer gevolgen hebben voor de grondslag uit de Wbp op basis waarvan gegevens mogen worden
   verwerkt. Bovendien worden de hulpverleningstaken veelal uitgevoerd door professionals die zijn
   gebonden aan een geheimhoudingsverplichting.
   8
     De G32 (bestaande uit 37 gemeenten) en de G4 gemeenten.
Rapport| De rol van toestemming in het sociaal domein                                                           5
</pre>

====================================================================== Einde pagina 8 =================================================================

<br><br>====================================================================== Pagina 9 ======================================================================

<pre>   Uit de van de 41 gemeenten verkregen inlichtingen blijkt dat géén van deze gemeenten een duidelijk beeld
   heeft van voor welke doelen en op basis van welke grondslagen, welke persoonsgegevens in het sociaal
   domein mogen worden verwerkt. Ook is door géén van de 41 gemeenten duidelijk bepaald wat de rol van
   toestemming daarbij kan c.q. moet zijn.
   De Autoriteit Persoonsgegevens verwacht dat gemeenten in het sociaal domein in overeenstemming met
   de Wbp werken. Dat betekent onder meer dat de toestemming die wordt gebruikt als grondslag voor de
   gegevensverwerking voldoet aan de randvoorwaarden die de Wbp daaraan stelt. Dat geldt ook voor de
   wijze waarop gemeenten burgers informeren over de persoonsgegevens die over hen in het sociaal domein
   worden verwerkt.
   Dit rapport bevat het juridisch kader, handreikingen en aanbevelingen aan de hand waarvan gemeenten
   dit kunnen doen.
   1.4      Hoofdstukindeling
   In hoofdstuk twee worden op hoofdlijnen de voor dit onderzoek relevante normen uit de Wbp beschreven.
   Tevens wordt in dit hoofdstuk nader ingegaan op de domeinoverstijgende verwerking van
   persoonsgegevens in het sociaal domein.
   Vervolgens worden in hoofdstuk drie de door de 41 gemeenten verstrekte inlichtingen weergegeven.
   Daarbij wordt beschreven welke rol gemeenten toekennen aan toestemming voor de verwerking van
   persoonsgegevens in het sociaal domein, op welke wijze toestemming van betrokkene wordt verkregen en
   op welke wijze de bevraagde gemeenten betrokkenen over de verwerking van hun persoonsgegevens in het
   sociaal domein informeren.
   In hoofdstuk vier bespreekt de Autoriteit Persoonsgegevens deze bevindingen tegen de achtergrond van
   het juridisch kader van hoofdstuk twee.
   Tot slot bevat hoofdstuk vijf aanbevelingen voor gemeenten.
   Het rapport bevat ook een aantal bijlagen. Bijlage I bevat het uitgebreide juridisch kader voor de
   verwerking van persoonsgegevens in het sociaal domein. Gemeenten hebben de normen uit dit juridische
   kader nodig om het vereiste overzicht te kunnen maken van de in het sociaal domein gebruikte gegevens,
   doelen en grondslagen. In bijlage II wordt het juridisch kader van bijlage I concreet toegepast op de
   verwerking van persoonsgegevens voor de meest voorkomende doelen in het sociaal domein. Gemeenten
   kunnen bijlage II gebruiken als model voor het eerder genoemde overzicht voor de eigen gemeente.
   Uiteraard zullen gemeenten dit model nader moeten concretiseren aan de hand van de in de eigen
   gemeente gebruikte werkwijze. Bijlage III bevat een voorbeeld toestemmingsformulier voor de – beperkte
   – gevallen waarin toestemming wel als grondslag voor de verwerking van persoonsgegevens kan worden
   gebruikt. In bijlage IV zijn tot slot de vragen opgenomen die de Autoriteit Persoonsgegevens de 41
   gemeenten in dit onderzoek heeft gesteld.
Rapport| De rol van toestemming in het sociaal domein                                                      6
</pre>

====================================================================== Einde pagina 9 =================================================================

<br><br>====================================================================== Pagina 10 ======================================================================

<pre>         2. Juridisch kader
   In deze paragraaf wordt het juridisch kader geschetst dat van belang is voor de bepaling van de rol van
   toestemming bij de verwerking van persoonsgegevens in het sociaal domein.9
   Uit dit juridisch kader volgt dat toestemming in het sociaal domein vaak geen grondslag voor de
   gegevensverwerking is, omdat er vanwege de afhankelijkheidsrelatie tussen betrokkene en de
   verantwoordelijke geen vrijheid is om toestemming te weigeren.
   Dat betekent overigens niet dat er in het sociaal domein nooit persoonsgegevens mogen worden
   verwerkt. Vaak zal namelijk een beroep op een andere grondslag uit artikel 8 van de Wbp mogelijk zijn.
   Bijvoorbeeld omdat de gegevensverwerking plaatsvindt ten behoeve van een in de materiewetgeving
   geregelde publiekrechtelijke taak van de gemeente of omdat er sprake is van een in de materiewetgeving
   opgenomen wettelijke verplichting.
   Voor de uitvoering van taken die niet in de materiewetgeving zijn geregeld, geldt dat toestemming de
   énige mogelijke grondslag voor de gegevensverwerking kan zijn. Uiteraard kan dat alleen indien deze
   toestemming voldoet aan de randvoorwaarden die de Wbp daaraan stelt. Als dat niet het geval is kan de
   gegevensverwerking voor de uitvoering van deze taken niet plaatsvinden omdat er geen grondslag voor de
   gegevensverwerking is.
   Om situaties - waarin vanwege het ontbreken van een andere grondslag - toestemming de énige
   mogelijke grondslag voor de gegevensverwerking is te kunnen onderkennen, is het nodig dat gemeenten
   in beeld hebben voor welke doelen en op basis van welke grondslagen in het sociaal domein welke
   gegevens mogen worden verwerkt.
   Naast toestemming als grondslag voor de gegevensverwerking wordt in het sociaal domein ook gebruik
   gemaakt van toestemming als grond voor het doorbreken van het medisch beroepsgeheim en
   toestemming in de zin van instemming met de hulpverlening. Het is van belang deze verschillende soorten
   toestemming goed van elkaar te onderscheiden omdat deze verschillende doelen dienen. Bovendien
   gelden voor deze verschillende soorten toestemming verschillende vereisten.
   In deze paragraaf wordt tot slot specifiek ingegaan op de domeinoverstijgende verwerking van
   persoonsgegevens in het sociaal domein en de verwerking van persoonsgegevens ten behoeve van
   vroegsignalering omdat de bepaling van de grondslag voor de verwerking van persoonsgegevens voor met
   name deze doelen voor gemeenten problematisch is.
   2.1        Grondslagen voor de verwerking van persoonsgegevens
   Voor de rechtmatigheid van de verwerking van persoonsgegevens is vereist dat een beroep kan worden
   gedaan op een van de grondslagen opgenomen in artikel 8 van de Wbp.
   De voor de verwerking van persoonsgegevens in het sociaal domein meest voorkomende grondslagen zijn
   de nakoming van een wettelijke verplichting (artikel 8, onder c, Wbp) en de uitvoering van een
   9
     In bijlage I is dit juridisch kader nader uitgewerkt. Daarin is een meer uitgebreid overzicht van de grondslagen uit
   artikel 8 van de Wbp opgenomen. Daarnaast bevat bijlage II een uitwerking van de grondslagen uit artikel 8
   uitgesplitst per doel in het sociaal domein. Gemeenten kunnen aan de hand van deze uitwerking een nadere
   vertaalslag maken van het juridisch kader naar de eigen gemeentelijke uitvoeringspraktijk.
Rapport| De rol van toestemming in het sociaal domein                                                                     7
</pre>

====================================================================== Einde pagina 10 =================================================================

<br><br>====================================================================== Pagina 11 ======================================================================

<pre>   publiekrechtelijke taak (artikel 8, onder e, Wbp).
   Als het gaat om verwerking van persoonsgegevens in het kader van de uitvoering van vrijwillige
   hulpverlening kan ook artikel 8, onderdeel b, Wbp (overeenkomst) van toepassing zijn. Bij onvrijwillige
   hulpverlening kan in een (zeer)beperkt aantal gevallen een beroep worden gedaan op vrijwaring van een
   vitaal belang van betrokkene (artikel 8, onder d, Wbp). Tot slot kan in het sociaal domein in beperkte
   gevallen een beroep worden gedaan op uitdrukkelijke toestemming van betrokkene (artikel 8, onder a,
   Wbp).
   2.1.1     Wettelijke verplichting als grondslag voor de verwerking van persoonsgegevens
   Artikel 8, onder c, Wbp regelt dat persoonsgegevens mogen worden verwerkt door een verantwoordelijke
   als dat noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke
   onderworpen is.
   Deze norm bevat twee toetsingscriteria. Allereerst dient de gegevensverwerking noodzakelijk zijn ter
   uitvoering van een wettelijke verplichting. Zonder het verwerken van de persoonsgegevens moet het
   uitvoeren van de wettelijke verplichting redelijkerwijs niet mogelijk zijn. Voorts dient de
   verantwoordelijke te zijn belast met de uitvoering van de wettelijke verplichting.
   De wettelijke verplichting hoeft geen expliciete opdracht tot gegevensverwerking te bevatten.
   In de praktijk zal de wettelijke verplichting veelal wel betrekking hebben op het (verplicht) vastleggen of
   bewaren van gegevens of het verstrekken daarvan aan derden. Uit jurisprudentie blijkt dat een dergelijke
   uitdrukkelijke en duidelijk in een wettelijk voorschrift tot uitdrukking komende verplichting tot
   verstrekking van informatie in ieder geval is vereist, als op de verantwoordelijke die de gegevens verstrekt
   een wettelijke geheimhoudingsplicht rust. In zo’n geval is het niet toelaatbaar dat een verplichting tot
   gegevensverstrekking uitsluitend wordt afgeleid uit de totstandkomingsgeschiedenis van of de samenhang
   tussen wettelijke bepalingen of wordt verondersteld omwille van de effectiviteit van een wettelijke
   regeling.10
   Een voorbeeld van een expliciete verplichting die ziet op de verwerking van persoonsgegevens is artikel
   7.3.8, eerste lid, van de Jeugdwet waarin de jeugdhulpverlener wordt verplicht een dossier over de jeugdige
   in te richten. Verder bevat artikel 8 van de Wet gemeentelijke schuldhulpverlening een wettelijke
   verplichting voor bestuursorganen om gegevens te verstrekken aan het College van Burgemeester en
   Wethouders. Een ander voorbeeld is de verplichting van artikel 5.2.2 van de Wmo 2015 voor aanbieders
   van een maatwerkvoorziening om persoonsgegevens van de cliënt, waaronder bijzondere
   persoonsgegevens, te verstrekken aan de in die bepaling genoemde instanties. Ook bevatten de
   materiewetten verplichtingen voor gemeenten om voor beleidsdoeleinden gegevens te verstrekken aan de
   betrokken ministers (bijvoorbeeld artikel 9 van de Wet gemeentelijke schuldhulpverlening, artikel 78 van
   de Participatiewet en artikel 7.4.2 van de Jeugdwet).
   2.1.2      Publiekrechtelijke taak als grondslag voor de verwerking van persoonsgegevens
   Op grond van artikel 8, onderdeel e, van de Wbp kan een verwerking plaatsvinden door (1) een
   bestuursorgaan (2) ter uitvoering van een publiekrechtelijke taak. Aan beide criteria dient te zijn voldaan.
   De gemeente is een rechtspersoon die krachtens publiekrecht is ingesteld en al haar organen, zoals de
   gemeenteraad, het college van B&W en de burgemeester zijn bestuursorganen. Voor de verwerking van
   persoonsgegevens in het sociaal domein kan het problematisch zijn dat niet alle wijkteams kunnen
   worden aangemerkt als bestuursorgaan. In dergelijke gevallen kunnen gegevens door het wijkteam niet
   10
      ABRvS, 3 februari 2016, ECLI:NL:RVS:2016:253.
Rapport| De rol van toestemming in het sociaal domein                                                           8
</pre>

====================================================================== Einde pagina 11 =================================================================

<br><br>====================================================================== Pagina 12 ======================================================================

<pre>   worden verwerkt op grond van artikel 8, onder e, van de Wbp.
   Een taak is publiekrechtelijk indien deze is gebaseerd op een speciaal voor het openbaar bestuur bij of
   krachtens de wet geschapen grondslag. 11 Er moet sprake zijn van activiteiten waarbij het bestuursorgaan
   zich wezenlijk onderscheidt van particulieren.12 Daarvan is bijvoorbeeld sprake als de gemeente
   persoonsgegevens verwerkt voor de beslissing op een aanvraag voor een maatwerkvoorziening op grond
   van artikel 2.3.5., eerste lid, van de Wmo 2015 of de vaststelling van de rechten en plichten van de jeugdige
   of zijn ouders in artikel 2.11, eerste lid, van de Jeugdwet. Andere voorbeelden zijn artikel 53a, eerste lid, van
   de Participatiewet waarin is opgenomen dat het college bepaalt welke (persoons)gegevens ten behoeve
   van de verlening dan wel voortzetting van de bijstand door de belanghebbende moeten worden verstrekt
   en de gegevens die de gemeente verwerkt ter uitvoering van schuldhulpverlening op grond van artikel 3,
   eerste lid, jo. artikel 8 van de Wet gemeentelijke schuldhulpverlening.
   Hulpverleningstaken zijn geen publiekrechtelijke taken. Ook niet als deze hulpverleningstaken door de
   gemeente worden uitgevoerd. De gemeente onderscheidt zich bij de uitvoering van deze taken namelijk
   niet wezenlijk van private hulpverleningsorganisaties. Voor de verwerking van persoonsgegevens bij de
   uitvoering van hulpverleningstaken door de gemeente, het wijkteam of anderen kan dus geen beroep
   worden gedaan op artikel 8, onderdeel e, Wbp.
   2.1.3     Uitvoeren van overeenkomst
   Artikel 8, onder b, Wbp bepaalt dat persoonsgegevens mogen worden verwerkt indien dat noodzakelijk is
   voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van
   precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn
   voor het sluiten van een overeenkomst.13
   Daarbij geldt als voorwaarde dat de betrokkene partij is bij de desbetreffende overeenkomst. Met het
   begrip ‘partij’ wordt gedoeld op bewuste deelneming van de betrokkene aan de overeenkomst.
   Achterliggende gedachte is dat de betrokkene zelf in principe kan overzien met welke verwerkingen hij
   heeft rekening te houden en de mogelijkheid heeft objectief vast te stellen welke verwerkingen in dit kader
   toelaatbaar zijn. Het gaat voorts om een situatie waarin de bedoelde overeenkomst niet is gericht op de
   verwerking van persoonsgegevens, maar waarbij deze een noodzakelijk uitvloeisel daarvan is. 14
   Een voorbeeld van een dergelijke overeenkomst is de overeenkomst inzake de geneeskundige behandeling
   (behandelingsovereenkomst) in de zin van artikel 7:446 van het Burgerlijk Wetboek (BW). Van zo’n
   overeenkomst kan onder meer sprake zijn bij de uitvoering van hulpverleningstaken op grond van de
   Jeugdwet. De verwerking van persoonsgegevens in het kader van zo’n behandelingsovereenkomst kan
   plaatsvinden op grond van artikel 8, onder b, Wbp jo. artikel 21, eerste lid, onder a, Wbp.
   2.1.4      Toestemming als grondslag voor de verwerking van persoonsgegevens
   Ondubbelzinnige toestemming van betrokkene (artikel 8, onder a, Wbp) komt in het sociaal domein maar
   in een beperkt aantal gevallen in aanmerking als grondslag voor de gegevensverwerking vanwege de
   randvoorwaarden die artikel 8 Wbp aan deze toestemming stelt.
   11
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 84.
   12
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 85. De MvT noemt als voorbeeld van activiteiten waarbij de gemeenten zich niet
   wezenlijk onderscheid van private partijen de verkoop van onroerend goed of het sluiten van een arbeidsovereenkomst.
   13
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 80-81.
   14
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 80-81.
Rapport| De rol van toestemming in het sociaal domein                                                                            9
</pre>

====================================================================== Einde pagina 12 =================================================================

<br><br>====================================================================== Pagina 13 ======================================================================

<pre>   Ondubbelzinnige toestemming in de zin van artikel 8, onder a, Wbp moet namelijk vrij zijn.
   Vrije toestemming houdt in dat de betrokkene zich niet verplicht voelt om toestemming te geven vanwege
   druk van de omstandigheden waarin hij verkeert of de relatie waarin hij tot de verantwoordelijke staat.
   Van een vrije toestemming zal in het sociaal domein vaak geen sprake kunnen zijn. Bij bepaling van de
   behoefte aan hulp of ondersteuning (één van de publiekrechtelijke taken in het sociaal domein) door of
   namens de gemeente is immers sprake van een afhankelijkheidsrelatie tussen betrokkene en de gemeente.
   Daarbij zal het weigeren van toestemming voor de gegevensverwerking veelal gevolgen hebben voor een
   door betrokkene gewenste voorziening. 15
   Naast vrij moet de toestemming overigens ook specifiek en op informatie berustend zijn. Dat betekent dat
   betrokkene moet kunnen overzien waarvoor hij toestemming geeft. Het moet duidelijk zijn voor welke
   specifieke of beperkte categorie van gegevensverwerkingen de toestemming geldt. En om rechtsgeldige
   toestemming te kunnen geven moet betrokkene door de gemeente zijn geïnformeerd over de verschillende
   aspecten van de gegevensverwerking die voor hem van belang zijn.16
   2.2        Toestemming voor het doorbreken van de geheimhoudingsplicht
   In het sociaal domein zijn professionals werkzaam die zijn gebonden aan een geheimhoudingsplicht. Dat
   kunnen hulpverleners zijn die zijn gebonden aan de geheimhoudingsplicht van artikel 88 van de Wet Big
   en artikel 7:457 van het BW. Ook kan er sprake zijn van een geheimhoudingsplicht uit specifieke wet- en
   regelgeving zoals artikel 7.3.11 van de Jeugdwet.
   Zowel bij de intake/toegangsprocedure als bij de verlening van hulp en ondersteuning (inclusief de
   financiële afwikkeling daarvan) kan het nodig zijn dat deze professionals persoonsgegevens verstrekken
   aan de gemeente of aan andere betrokken partijen.
   Uit artikel 9, vierde lid, Wbp vloeit voort dat bij de verdere verwerking van persoonsgegevens rekening
   moet worden gehouden met een daaraan - eventueel - in de weg staande geheimhoudingsplicht uit hoofde
   van ambt, beroep of wettelijk voorschrift. Met deze bepaling wordt buiten twijfel gesteld dat een ambts- of
   beroepsgeheim dan wel een wettelijke verplichting tot geheimhouding niet terzijde kan worden geschoven
   door het bepaalde in artikel 8 Wbp.17
   Er moet dus naast een grondslag voor verwerking van persoonsgegevens als bedoeld in artikel 8 Wbp óók
   een grond voor de doorbreking van de geheimhoudingsplicht zijn.
   Zo’n grond kan zijn gelegen in een wettelijk voorschrift dat tot verstrekking van persoonsgegevens
   verplicht (bijvoorbeeld voor de financiële afwikkeling van declaraties, de VIR, een melding aan een AMHK,
   bepaalde verstrekkingen aan de Belastingdienst en bij gedwongen jeugdhulp). Of omdat er sprake is van
   een - zeer uitzonderlijke - situatie van een ‘conflict van plichten.’
   Daarnaast kan ook toestemming van betrokkene een grond voor doorbreking van de
   geheimhoudingsplicht zijn. Dit geldt bijvoorbeeld voor de in artikel 88 Wet BIG neergelegde
   geheimhoudingsplicht voor beroepsbeoefenaren in de gezondheidszorg en de in artikel 7:457 BW
   neergelegde geheimhoudingsplicht voor hulpverleners (individuele beroepsbeoefenaren en/of
   rechtspersonen).
   15
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 65 en 66.
   16
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 65 en 66.
   17
      Kamerstukken II, 25 892, nr. 3, p. 94.
Rapport| De rol van toestemming in het sociaal domein                                                       10
</pre>

====================================================================== Einde pagina 13 =================================================================

<br><br>====================================================================== Pagina 14 ======================================================================

<pre>   Dit beroepsgeheim van de hulpverlener verhindert in beginsel dat inlichtingen worden verstrekt aan
   derden. De cliënt dient expliciete, gerichte toestemming te geven alvorens gegevens mogen worden
   verstrekt. Dit betekent dat de cliënt moet weten met welk doel de gegevens worden opgevraagd, wat de
   inhoud is van de informatie en wat mogelijke consequenties van de gegevensverstrekking zijn. In de wet is
   niet voorgeschreven dat de toestemming schriftelijk moet worden gegeven, maar dit verdient wel de
   voorkeur. Vaak maakt de opvrager van de gegevens gebruik van schriftelijke toestemmingsformulieren.
   Dergelijke formulieren moeten voldoende specifiek aangeven voor welke gegevensoverdracht de patiënt
   toestemming verleent en met welk doel. Schriftelijke toestemmingsformulieren met een te brede of
   algemene toestemming zijn doorgaans onvoldoende basis voor het verstrekken van specifieke,
   privacygevoelige gegevens.
   2.3          Toestemming in de zin van instemming met de hulpverlening of ondersteuning
   Bij de uitvoering van taken in het sociaal domein wordt veel gewerkt met toestemming teneinde de cliënt
   zoveel mogelijk bij de hulpverlening te betrekken. De wetgeving in het sociaal domein gaat immers zo veel
   mogelijk uit van de eigen verantwoordelijkheid en regie van betrokkene.
   Toestemming voor hulpverlening hoeft doorgaans aan minder strenge eisen te voldoen dan de
   toestemming (als grondslag) voor de gegevensverwerking. Het feit dat betrokkene instemt met
   bijvoorbeeld een plan van aanpak voor de hulpverlening of zijn handtekening zet onder een
   aanvraagformulier zegt dus niet dat dat ook de grondslag is voor de bijbehorende verwerking van
   persoonsgegevens. Daarvoor moet er immers sprake zijn van vrije, specifieke en op informatie berustende
   toestemming. En als dat niet mogelijk is moet er dus een andere grondslag uit artikel 8 van de Wbp zijn.
   Overigens zal toestemming als grondslag voor de verwerking van persoonsgegevens voor hulpverlening
   vaak ook niet nodig zijn omdat daarvoor een andere grondslag aanwezig is.
   2.4          Informatieplicht
   De in de artikelen 33 en 34 van de Wbp neergelegde informatieplicht vormt een uitwerking van het
   transparantiebeginsel en van het in artikel 6 Wbp neergelegde beginsel van ‘rechtmatige verwerking’. De
   informatieplicht is bedoeld om betrokkene in staat te stellen de verantwoordelijke (in rechte) aan te
   spreken op de verwerking van persoonsgegevens. Als niet wordt voldaan aan de informatieverplichtingen
   van artikel 33 en 34 Wbp is de verwerking onrechtmatig.18
   Gemeenten zijn op grond van deze bepalingen verplicht om betrokkene te informeren over het feit dat er
   gegevens over hem worden verwerkt, wie de verantwoordelijke voor deze verwerking is en met welk doel
   de verwerking plaatsvindt. Daarbij kan de gemeente niet volstaan met een verwijzing naar algemene
   doelen.
   Verder bepalen artikel 33, derde lid, en artikel 34, derde lid, Wbp dat de verantwoordelijke nadere
   informatie verstrekt voor zover dat, gelet op de aard van de gegevens, de omstandigheden waaronder zij
   worden verkregen of het gebruik dat daarvan wordt gemaakt, nodig is om tegenover de betrokkene een
   behoorlijke en zorgvuldige verwerking te waarborgen. Daar waar in het sociaal domein veelal ook
   18
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 149-150, “De omstandigheid dat de onderhavige regeling een uitwerking vormt van het beginsel
   dat in artikel 6 (van de Richtlijn) is neergelegd heeft tot gevolg, dat overtredingen van de informatieplicht zullen leiden tot onrechtmatige
   verwerkingen. Daarnaast kan het zijn, dat onder omstandigheden verdergaande informatie geboden is om “een eerlijke verwerking” te waarborgen.
Rapport| De rol van toestemming in het sociaal domein                                                                                            11
</pre>

====================================================================== Einde pagina 14 =================================================================

<br><br>====================================================================== Pagina 15 ======================================================================

<pre>   bijzondere persoonsgegevens worden verwerkt en de kwetsbare en afhankelijke positie waarin betrokkene
   verkeert, zal dergelijke nadere informatie aan betrokkene doorgaans zijn vereist.
   Uitgangspunt is dat de informatie zodanig wordt verstrekt dat de betrokkene daarover daadwerkelijk
   beschikt.19 In de praktijk kan dit op velerlei wijze (mondeling of schriftelijk). Daarbij geldt wel dat
   betrokkene niet kan worden aangesproken als onderdeel van het algemeen publiek. Algemene informatie
   op bijvoorbeeld de website van de gemeente of het wijkteam is dus niet voldoende om te kunnen voldoen
   aan de informatieplicht.20 Bovendien kan niet worden volstaan met het verwijzen naar informatie elders.
   Betrokkene moet op het moment van verzamelen worden geïnformeerd, daarbij kan informatie op
   bijvoorbeeld de website overigens wel dienen als achtergrondinformatie.
   Deze informatieplicht staat los van de grondslag op basis waarvan de verwerking plaatsvindt. Er is dus én
   een grondslag voor de verwerking van persoonsgegevens uit artikel 8 van de Wbp nodig én betrokkene
   moet op grond van artikel 33 en 34 worden geïnformeerd.
   De informatieplicht geldt niet voor persoonsgegevens die zijn verkregen op een andere wijze dan bij de
   betrokkene en waarvan de vastlegging of de verstrekking bij of krachtens de wet is voorgeschreven. In dat
   geval dient de verantwoordelijke de betrokkene op diens verzoek te informeren over het wettelijk
   voorschrift dat tot de vastlegging of verstrekking van de hem betreffende gegevens heeft geleid (artikel 34,
   vijfde lid, Wbp). Bovendien kunnen de artikelen 33 en 34 Wbp buiten toepassing worden gelaten als dat
   noodzakelijk is voor onder meer de bescherming van de betrokkene of de rechten en vrijheden van anderen
   (artikel 43, onder e, Wbp).21
   2.5         Domein overstijgende verwerking van persoonsgegevens
   Het domeinoverstijgend (integraal) uitvoeren van taken gaat gepaard met domeinoverstijgend verwerken
   van persoonsgegevens. De Autoriteit Persoonsgegevens verstaat onder het domeinoverstijgend verwerken
   van persoonsgegevens, het verwerken van persoonsgegevens die zijn verzameld ten behoeve van taken in
   het ene domein (bijvoorbeeld de Jeugdwet) voor de uitvoering van taken in het andere domein
   (bijvoorbeeld de Wmo 2015). Ook is er sprake van domeinoverstijgend verwerken van persoonsgegevens
   als niet vooraf duidelijk is voor welk domein (doel) persoonsgegevens worden verwerkt. Bijvoorbeeld als
   er een “integrale intake” wordt gedaan zoals een keukentafelgesprek waarbij niet vooraf duidelijk is voor welk
   domein de persoonsgegevens worden verzameld.
   Er is geen overkoepelende regeling voor het domeinoverstijgend uitvoeren van taken in het sociale domein
   in bijvoorbeeld een kaderwet of door middel van spiegelbepalingen in de verschillende materiewetten.
   Wel bevat een deel van de materiewetten de opdracht voor gemeenten om zorg te dragen voor een “brede”
   (zorg)ondersteuning voor burgers, maar deze opdracht ziet dan op het daarvoor opstellen van beleid. Uit
   dergelijke beleidsopdrachten kunnen geen publiekrechtelijke domeinoverstijgende taken met de daarbij
   behorende legitimering van domeinoverstijgende verwerking van persoonsgegevens in het sociaal domein
   worden afgeleid.
   Ook zijn de bepalingen over de verwerking van persoonsgegevens in de materiewetgeving over het
   algemeen beperkter (domeingebonden) geformuleerd. Zo bepaalt artikel 7.4.4, derde lid, van de Jeugdwet
   19
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 152.
   20
      Kamerstukken II, 1997/98, 25 892, nr. 3, p. 153.
   21
      In het uitgebreide juridisch kader in bijlage I wordt verder ingegaan op de mogelijke (tijdelijke) uitzonderingen op de
   informatieplicht.
Rapport| De rol van toestemming in het sociaal domein                                                                         12
</pre>

====================================================================== Einde pagina 15 =================================================================

<br><br>====================================================================== Pagina 16 ======================================================================

<pre>   bijvoorbeeld wel dat de (ook uit andere domeinen afkomstige) persoonsgegevens mogen worden verwerkt
   bij de bepaling van de toegang van jeugdigen en hun ouders tot jeugdhulp, maar dat dit uitsluitend mag
   voor die doeleinden en de daarmee verenigbare doeleinden. De Jeugdwet voorziet dus wel in het gebruik
   van gegevens uit andere domeinen maar slechts voor de bepaling van de behoefte aan jeugdhulp. Deze
   bepaling biedt dus geen grondslag voor het gebruik van deze gegevens voor doelen die de Jeugdwet
   overstijgen. Daardoor is bijvoorbeeld een integrale intake niet mogelijk.
   Daar waar bredere verwerking van persoonsgegevens mogelijk is, gaat het overigens doorgaans om
   hulpverleningstaken (en dus niet publiekrechtelijke taken zoals de intake). Bovendien gaat het dan om
   domeinoverstijgende verwerking van persoonsgegevens ten behoeve van het specifieke doel uit de materie
   wetgeving (dus niet om domeinoverstijgende hulpverlening).
   In dit kader moeten ook artikel 5.1.1, vierde en vijfde lid, en artikel 5.2.1, eerste lid, onderdeel b, van de
   Wmo 2015 worden genoemd. Deze bepalingen zien op de verwerking van gegevens uit andere domeinen
   voor het domein van de Wmo 2015. Ook artikel 5.1.1, vierde en vijfde lid, van de Wmo zien alleen op het
   gebruik van gegevens ten behoeve van taken in het domein van de Wmo 2015. Deze bepalingen voorzien
   dus niet in gebruik van gegevens uit alle domeinen voor de bepaling van de aanspraak op integrale
   (domeinoverstijgende) hulp of ondersteuning.22
   Nu niet is voorzien in het helder benoemen van een domeinoverstijgende publiekrechtelijke taak in het
   sociaal domein voor gemeenten, kan voor de domeinoverstijgende verwerking van persoonsgegevens geen
   beroep worden gedaan op artikel 8 onder e, Wbp (publiekrechtelijke taak) of artikel 8 onder c, Wbp
   (wettelijke verplichting). Daar waar alleen toestemming overblijft als grondslag voor de
   gegevensverwerking, zal moeten worden bekeken of aan de randvoorwaarden uit de Wbp is voldaan. Gelet
   op hetgeen hierboven is opgemerkt zal ook toestemming echter vaak niet als grondslag voor de
   gegevensverwerking kunnen fungeren.
   Voor wat betreft de domein overstijgende hulpverlening en ondersteuning kan de grondslag voor de
   domeinoverstijgende verwerking van persoonsgegevens zijn gelegen in artikel 8 onder b, Wbp (uitvoering
   van een overeenkomst). Wel moet bij domeinoverstijgende hulpverlening waarbij meerdere, verschillende
   partijen betrokken zijn rekening worden gehouden met eventueel op die partijen rustende
   geheimhoudingsplichten. Ook kan er in incidentele gevallen sprake zijn van artikel 8, onder d (vitaal
   belang). Voor de uitwerking hiervan wordt verwezen naar Bijlage I.
   2.6       Vroegsignalering
   Bij vroegsignalering gaat het om de verwerking van persoonsgegevens over burgers of gezinnen in een
   stadium waarin betrokkenen zelf (nog) niet om hulp of ondersteuning vragen.
   Er zijn verschillende vormen van vroegsignalering.
   Wettelijke regelingen die zien op verwerking van persoonsgegevens ten behoeve van vroegsignalering zijn
   bijvoorbeeld de Verwijsindex risicojongeren (VIR) van paragraaf 7.1 van de Jeugdwet en artikel 4.1.1 van de
   Wmo 2015 (de advies- en meldpunten huiselijk geweld en kindermishandeling). Ook artikel 5 van de Wet
   publieke gezondheid jo. artikel 4 van het Besluit publieke gezondheid voorziet in een (publiekrechtelijke)
   taak voor de gemeente tot vroegsignalering op het terrein van de jeugdgezondheidszorg.
   Voor zover er sprake is van een in specifieke wetgeving geregelde ‘publiekrechtelijke taak’ of een ‘wettelijke
   22
      Overigens gaat artikel 5.1.1, vierde en vijfde lid, Wmo 2015 voor de verwerking van gegevens uit andere domeinen uit van
   ondubbelzinnige toestemming van betrokkene, zie hiervoor ook het juridisch kader in bijlage I.
Rapport| De rol van toestemming in het sociaal domein                                                                          13
</pre>

====================================================================== Einde pagina 16 =================================================================

<br><br>====================================================================== Pagina 17 ======================================================================

<pre>   verplichting’, kan op respectievelijk artikel 8 onder e en onder c, Wbp als grondslag een beroep worden
   gedaan.
   Daarnaast zijn er vormen van vroegsignalering die niet wettelijk zijn geregeld, zoals het registreren van
   signalen en meldingen van bezorgde professionele hulpverleners of anderen.
   Ook domeinoverstijgende vroegsignalering is niet wettelijk geregeld. De materiewetten voorzien namelijk
   niet in een publiekrechtelijke taak voor gemeenten om aan vroegsignalering te doen waarin alle domeinen
   worden betrokken (bijvoorbeeld voor multiprobleem gezinnen -en gevallen). Er wordt ook anderszins niet
   voorzien in een wettelijke regeling voor de verwerking van persoonsgegevens voor dat doel. Omdat een
   dergelijke wettelijke regeling ontbreekt komen artikel 8, onder e, en artikel 8, onder c, Wbp niet in
   aanmerking als grondslag voor de verwerking van persoonsgegevens ten behoeve van deze vorm van
   vroegsignalering.
   In incidentele gevallen zal wellicht wel een beroep op de ‘vrijwaring van een vitaal belang’ (artikel 8 onder
   d, Wbp) kunnen worden gedaan.
   Voor de verwerking van persoonsgegevens in het kader van vroegsignalering geldt in ieder geval dat geen
   beroep kan worden gedaan op toestemming als grondslag. Betrokkene weet immers (nog)niet dat er
   gegevens over hem zijn verwerkt. Het is overigens ook niet mogelijk om eerst gegevens over betrokkene te
   registeren en daarna toestemming van betrokkene te vragen.
Rapport| De rol van toestemming in het sociaal domein                                                          14
</pre>

====================================================================== Einde pagina 17 =================================================================

<br><br>====================================================================== Pagina 18 ======================================================================

<pre>        3. Bevindingen
   De Autoriteit Persoonsgegevens heeft de 41 gemeenten de volgende vragen gesteld:
        -   Of er toestemming wordt gevraagd voor de verwerking van persoonsgegevens in het sociaal
            domein. Hierbij diende onderscheid te worden gemaakt tussen de verschillende domeinen (jeugd,
            Wmo, werk en inkomen en schuldhulpverlening) en verschillende doelen (vroegsignalering,
            intake, ondersteuning en hulpverlening, financiële afwikkeling en controle van declaraties en
            beleid).
        -   Of betrokkene wordt geïnformeerd over eventuele consequenties van het onthouden of intrekken
            van zijn toestemming.
        -   Of betrokkene wordt geïnformeerd over de eventuele situaties en voorwaarden waarin
            persoonsgegevens zonder zijn toestemming worden verwerkt.
        -   Hoe burgers worden geïnformeerd over de verwerking van hun persoonsgegevens in het sociaal
            domein wanneer geen toestemming is gevraagd, eveneens uitgesplitst per domein en doel.
        -   Hoe en waar informatie voor burgers over de verwerking van hun persoonsgegevens in het sociaal
            domein toegankelijk is.
   De gemeenten zijn verzocht de beantwoording van deze vragen met specifieke verwijzing naar
   gemeentelijke beleidsstukken en andere documenten aan de Autoriteit Persoonsgegevens te doen
   toekomen.
   Achtergrondstukken
   De Autoriteit Persoonsgegevens heeft van 23 van de 41 gemeenten ook achtergrondstukken (beleids- of
   besluitvormingsnotities en/of privacyreglementen) ontvangen. 18 gemeenten hebben dergelijke stukken
   niet bijgevoegd. Zes gemeenten merken daarover op dat het privacybeleid nog in ontwikkeling is of dat
   men bezig is met een herijking van het privacybeleid.
   Daarnaast hebben 31 gemeenten ter achtergrondinformatie toestemmingsformulieren verstrekt. Hiervan
   hebben 24 gemeenten aanvraag-/ en toestemmingsformulieren bijgevoegd die worden gebruik bij de
   toegangsverlening voor de Wmo 2015 of de Jeugdwet. Ook hebben 20 gemeenten aanvraag c.q.
Rapport| De rol van toestemming in het sociaal domein                                                     15
</pre>

====================================================================== Einde pagina 18 =================================================================

<br><br>====================================================================== Pagina 19 ======================================================================

<pre>   toestemmingsformulieren verstrekt, die worden gebruikt bij de toegang tot de schuldhulpverlening en/of
   de Participatiewet.23
   De Autoriteit Persoonsgegevens heeft van tien gemeenten geen enkele toestemmingsverklaring
   ontvangen. Negen van deze gemeenten hebben aangeven dat de professionals mondeling om
   toestemming van betrokkene vragen.
   Aandachtspunten bij verwerking van verkregen inlichtingen
   De Autoriteit Persoonsgegevens heeft de verkregen inlichtingen doorgenomen tegen de achtergrond van
   het juridisch kader zoals opgenomen in hoofdstuk 2 en bijlage I. Daarbij is met name gelet op de volgende
   punten:
         -    Welke rol kennen gemeenten toe aan toestemming voor de verwerking van persoonsgegevens in
              het sociaal domein (3.1);
         -    Op welke wijze wordt toestemming verkregen (3.2);
         -    Op welke wijze worden burgers geïnformeerd over de verwerking van hun persoonsgegevens in
              het sociaal domein (3.3);
   3.1        Welke rol kennen gemeenten toe aan toestemming
   De Autoriteit Persoonsgegevens heeft de van de 41 gemeenten verkregen antwoorden en
   achtergrondinformatie onder andere gebruikt om te bepalen welke rol gemeenten toekennen aan
   toestemming voor de verwerking van persoonsgegevens in het sociaal domein.
   Met de vraag “welke rol kennen gemeenten toe aan toestemming bij de verwerking van persoonsgegevens
   in het sociaal domein”, wordt bedoeld: hoe gebruiken gemeenten toestemming in het sociaal domein?
   Wordt er onderscheid gemaakt tussen toestemming als grondslag voor de gegevensverwerking,
   toestemming als grond voor de doorbreking van een geheimhoudingsplicht en toestemming in de zin van
   instemming met de hulpverlening? En zo ja hoe? Wordt toestemming in alle gevallen gebruikt als
   grondslag voor de gegevensverwerking of alleen in bepaalde gevallen? En waarom is dat zo?
   23
      Vier gemeenten hebben alleen toestemmingsformulieren bijgevoegd die worden gebruik bij de toegangsverlening verstrekt die
   worden gebruikt bij de toegang tot de schuldhulpverlening en/of de Participatiewet.
Rapport| De rol van toestemming in het sociaal domein                                                                        16
</pre>

====================================================================== Einde pagina 19 =================================================================

<br><br>====================================================================== Pagina 20 ======================================================================

<pre>   Voor wat betreft de rol van toestemming bij de verwerking van persoonsgegevens in het sociaal domein
   zijn grofweg twee groepen van gemeenten te onderscheiden. Enerzijds gemeenten die toestemming als
   belangrijkste voorwaarde voor de verwerking van persoonsgegevens beschouwen(“toestemming als
   uitgangpunt”). Anderzijds gemeenten die in het sociaal domein alleen om toestemming vragen als dat
   noodzakelijk is (“toestemming waar nodig”). Daarvan gebruiken drie gemeenten de term ‘transitie van
   toestemming naar transparantie’.
   Gemeenten maken verder in hun beleids-/besluitvormingsdocumenten weinig onderscheid in de
   verschillende functies die toestemming van betrokkene in het sociaal domein kan hebben: hetzij als
   grondslag voor de gegevensverwerking, als grond voor de doorbreking van de geheimhoudingsplicht of als
   toestemming voor de uitvoering van het hulpverleningsplan.
   Toestemming als uitgangspunt
   29 van de 41 gemeenten geven aan vrijwel altijd toestemming van de burger te vragen voor de verwerking
   van diens persoonsgegevens in het sociaal domein. Zestien van deze gemeenten hebben
   achtergrondstukken toegevoegd waarin de achterliggende reden daarvoor wordt geschetst.
   Deze gemeenten vragen om toestemming, óók als er een beroep mogelijk is op een andere grondslag voor
   de verwerking van persoonsgegevens. Zij maken daarbij niet duidelijk of er dan wel in alle gevallen kan
   worden gesproken van vrije (specifieke en op informatie berustende) toestemming. Uit de beantwoording
   van deze gemeenten kwam ook niet naar voren wat zij doen als betrokkene geen toestemming voor de
   verwerking van persoonsgegevens geeft en de gemeente wel een (andere) grondslag daarvoor heeft. De
   meeste van deze gemeenten gingen ten aanzien van de vraag wanneer er gegevens zonder toestemming
   van betrokkene worden verwerkt alleen in op situaties van “gevaar voor de veiligheid of gezondheid van
   anderen en/of betrokkene.” Daarmee lijken zij te zeggen dat er alleen zonder toestemming van betrokkene
   wordt gewerkt als dat noodzakelijk is in verband met een “vitaal belang” van betrokkene of anderen (en
   niet op basis van een andere grondslag).
   Toestemming waar nodig
   12 van de 41 gemeenten gebruikt toestemming slechts bij uitzondering als grondslag voor de
   gegevensverwerking in het sociaal domein en/of uitsluitend in gevallen waarin uitwisseling van
   persoonsgegevens met andere partijen aan de orde is.
   Zo gaf een aantal van deze gemeenten bijvoorbeeld aan dat voor de verwerking van persoonsgegevens
   gedurende het ondersteuningstraject van betrokkene geen toestemming wordt gevraagd, omdat voor de
   verwerking van persoonsgegevens een andere grondslag aanwezig is. Deze gemeenten gebruiken
   toestemming dus uitsluitend als grondslag voor de verwerking van persoonsgegevens als een beroep op
   een andere grondslag niet mogelijk is. Dergelijke gemeenten hebben veelal echter niet uitgewerkt welke
   grondslagen in bepaalde situaties dan wel van toepassing zijn. En zij geven ook niet aan of in situaties
   waarin toestemming wel als grondslag wordt gebruikt, er dan wel sprake kan zijn van vrije toestemming.
   Drie van deze gemeenten geven aan dat zij een transitie in gang hebben gezet van “toestemming naar
   transparantie”. Deze gemeenten merken op dat aan toestemming als grondslag voor de verwerking van
   persoonsgegevens in het sociaal domein problemen kleven. Maar ook hier wordt geen heldere beschrijving
   gegeven van in welke situaties, voor welke doeleinden voor de verwerking van persoonsgegevens in het
   sociaal domein een beroep kan worden gedaan op welke grondslag en in welke situaties zo’n grondslag
Rapport| De rol van toestemming in het sociaal domein                                                       17
</pre>

====================================================================== Einde pagina 20 =================================================================

<br><br>====================================================================== Pagina 21 ======================================================================

<pre>   ontbreekt. In plaats van benoeming daarvan wordt gerefereerd aan notities en beginselen zoals
   “noodzakelijk” en “proportioneel”.
   Vijf van de gemeenten die bij uitzondering met toestemming voor de gegevensverwerking werken, hebben
   beleidsdocumenten bijgevoegd waarin wordt ingegaan op het juridisch kader voor de verwerking van
   persoonsgegevens in het sociaal domein. De passages over de verwerking van persoonsgegevens in deze
   beleidsdocumenten zijn vaak beperkt tot algemene noties als “we werken binnen de kaders van de Wbp.” Soms
   worden wel alle Wbp-grondslagen genoemd en in een aantal gevallen vindt ook inperking plaats tot de
   meest voorkomende grondslagen. In sommige beleidsdocumenten wordt daarnaast ook alle mogelijke
   andere toepasselijke wet- en regelgeving genoemd. Andere beleidsdocumenten wijzen in aanvulling
   daarop ook nog op allerlei toepasselijke codes en andere zelfregulering (waaronder convenanten). Ook
   zijn er beleidsdocumenten waarin teksten uit de beleidsvisie van de Minister van Bzk zijn overgenomen.
   In vrijwel geen van de beleidsstukken zijn deze meer algemene noties, wettelijke bepalingen en codes
   echter concreet toegespitst op de specifieke situatie van uitvoering van taken in het sociaal domein in de
   eigen gemeente.
   Ook bevatten werkinstructies (zoals door acht gemeenten zijn bijgevoegd) voor de professional in de
   gemeente veelal geen nadere vertaling van het algemene juridisch kader naar de specifieke kenmerken van
   de eigen gemeentelijke praktijk, de verwerking van persoonsgegevens daarbij en naar de rol die
   professionals daarin geacht worden te vervullen.
   Toestemming wegens het ontbreken van een andere grondslag
   Gemeenten besteden vaak geen aparte aandacht aan mogelijke problemen vanwege het ontbreken van een
   duidelijke grondslag voor de verwerking van persoonsgegevens bij de domeinoverstijgende, integrale
   taakuitvoering en bij de vroegsignalering. Wel signaleert een enkele gemeente dat er op het punt van de
   verwerking van persoonsgegevens bij een integrale werkwijze mogelijk sprake is van ‘ontoereikende
   wetgeving’, maar hierbij wordt niet ingegaan op de consequenties die daaraan worden verbonden.
   De gemeenten die “toestemming als uitgangspunt” hanteren besteden geen – aparte - aandacht aan de
   vraag of toestemming bij zo’n integrale werkwijze wel als grondslag voor de gegevensverwerking kan
   fungeren en zo niet, of er dan wel een andere grondslag is. Ook de gemeenten die ‘toestemming alleen
   gebruiken waar nodig’ besteden geen aparte aandacht aan de mogelijke grondslag voor verwerking van
   persoonsgegeven bij een integrale werkwijze en de eventuele rol van toestemming daarin. Of en hoe bij
   zo’n integrale werkwijze kan worden voldaan aan de randvoorwaarden voor rechtsgeldige toestemming
   wordt niet verder geanalyseerd door die gemeenten.
   Overigens schenkt slechts een zeer beperkt aantal gemeenten expliciet aandacht aan die
   gegevensverwerking bij de domein overstijgende, integrale taakuitvoering.
   Ook mogelijke lacunes in de grondslagen voor de verwerking van persoonsgegevens bij vroegsignalering
   zijn door gemeenten niet in beeld gebracht. Enerzijds omdat vrij veel gemeenten aangeven nog niet aan
   ‘vroegsignalering’ te doen. Anderzijds doordat gemeenten onterecht menen dat daarvoor een grondslag
   bestaat als daarvoor achteraf toestemming van betrokkene wordt verkregen.
   3.2      Wijze waarop toestemming wordt verkregen
   Toestemmingsformulieren bij toegang tot hulp en ondersteuning Wmo 2015 of Jeugdwet
   Door 24 gemeenten zijn toestemmingsformulieren bijgevoegd die worden gebruikt in de domeinen Wmo
Rapport| De rol van toestemming in het sociaal domein                                                         18
</pre>

====================================================================== Einde pagina 21 =================================================================

<br><br>====================================================================== Pagina 22 ======================================================================

<pre>   2015 of Jeugdwet. Dit zijn formulieren die worden gebruikt voor het verzamelen van persoonsgegevens ter
   beoordeling of betrokkene voor gemeentelijke ondersteuning in een van deze domeinen in aanmerking
   komt.
   In veertien van deze formulieren wordt daarbij zowel om toestemming gevraagd voor het vastleggen van
   persoonsgegevens door de gemeente c.q. het wijkteam als voor de uitwisseling van persoonsgegevens met
   andere partijen. Daarbij zijn vier gemeenten die toestemming waar nodig hanteren en tien gemeenten die
   toestemming als uitgangspunt hanteren.
   Bij negen van deze formulieren ziet de toestemmingsverklaring uitsluitend op de uitwisseling van
   persoonsgegevens met externe partijen. In vijf van deze formulieren is apart benoemd dat de
   toestemmingsverklaring ook ziet op de uitwisseling van persoonsgegevens met zorgaanbieders en dat
   daarbij sprake kan zijn van gegevens betreffende de gezondheid.
   In één formulier ziet de toestemmingsverklaring uitsluitend op het mogen uitwisselen van
   persoonsgegevens binnen het sociale wijkteam. Het betreft hier een gemeente waarin de sociale
   wijkteams (zowel voor jeugd als voor het sociale domein) samengesteld zijn uit meerdere ketenpartners.
   In de voetnoot bij deze toestemmingsverklaring worden die ketenpartners opgesomd. Overigens is in nog
   vier andere formulieren het “intern” mogen bespreken van persoonsgegevens van betrokkene in het
   wijkteam onderdeel van de toestemmingsverklaring.
   Specificiteit in toestemmingsverklaringen Wmo en jeugd
   In tien gemeenten is voorzien in enige nadere specificatie van de externe partijen waarmee gegevens
   kunnen worden uitgewisseld. In twee gemeenten is daarbij sprake van het ofwel in een voetnoot
   benoemen van die partijen ofwel het opnemen van een opsomming “bij wijze van voorbeeld”, terwijl een
   aantal andere gemeenten de mogelijkheid tot aanvinken biedt van categorieën van externe partijen
   waarmee persoonsgegevens mogen worden uitgewisseld. Een nadere specificatie van aard en omvang van
   de met elk van die partijen te delen persoonsgegevens ontbreekt echter ook in die gevallen.
   Verder worden de aard en omvang van de betreffende persoonsgegevens doorgaans niet nader
   gespecificeerd. Veelal wordt volstaan met de aanduiding dat het gaat om “noodzakelijke” of “relevante”
   persoonsgegevens.
   Voor wat betreft de specificatie van de doelen van de verwerking van persoonsgegevens waarvoor
   toestemming wordt gevraagd bevatten alle toestemmingsverklaringen algemene formuleringen als “ten
   behoeve van uw zorgvraag en zorgaanbod”, “van belang voor het bereiken van het doel van het plan van aanpak”. Eén
Rapport| De rol van toestemming in het sociaal domein                                                                19
</pre>

====================================================================== Einde pagina 22 =================================================================

<br><br>====================================================================== Pagina 23 ======================================================================

<pre>   gemeente volstaat in dat verband met de opmerking “ook begrijpt u waarom”(waarschijnlijk omdat die
   informatie mondeling zou moeten worden verstrekt), terwijl één gemeente als uitleg geeft “om ons werk goed
   te kunnen doen”.
   De Autoriteit Persoonsgegevens heeft geen toestemmingsformulieren ontvangen die zien op het ten
   behoeve van de Wmo 2015 verwerken van persoonsgegevens die voor andere doelen/domeinen door de
   gemeente zijn verkregen. Evenmin zijn er formulieren ontvangen die zien op het ten behoeve van integrale,
   domeinoverstijgende ondersteuning verwerken van persoonsgegevens die door de gemeente zijn
   verkregen ter uitvoering van taken in verschillende domeinen. Slechts één gemeente merkt in de
   toestemmingsverklaring op dat de uitwisseling van persoonsgegevens plaatsvindt “voor zover noodzakelijk
   voor de uitvoering van de Wmo 2015, Jeugdwet of Participatiewet”.
   Aanvraag-/ en toestemmingsformulieren schuldhulpverlening en participatiewet
   De door twintig gemeenten bijgevoegde aanvraag-/ en toestemmingsformulieren voor
   schuldhulpverlening en/of uitvoering van de Participatiewet zien op toestemming voor de uitwisseling van
   persoonsgegevens met andere partijen. Daarbij worden de partijen met wie die persoonsgegevens zullen
   worden uitgewisseld niet specifiek benoemd en wordt ook niet verder gespecificeerd om welke gegevens
   het daarbij zal gaan. Er wordt volstaan met de formulering “voor zover van belang voor de afhandeling van de
   aanvraag”.
   Mondelinge toestemmingsprocedure
   De Autoriteit Persoonsgegevens heeft van tien gemeenten geen enkele toestemmingsverklaring
   ontvangen. Negen van deze gemeenten hebben wel aangeven dat de professional mondeling om
   toestemming van betrokkene vraagt. Deze mondeling verkregen toestemming wordt vervolgens door de
   professional in het dossier van de burger vastgelegd. Het gaat om vijf gemeenten die toestemming waar
   nodig hanteren en vijf gemeenten die toestemming als uitgangspunt hanteren.
   Door veel gemeenten die toestemming als uitgangspunt hanteren wordt mondeling om toestemming
   gevraagd voor de vastlegging van persoonsgegevens door de gemeente c.q. het wijkteam. Door veel van die
   gemeenten wordt aangegeven dat dit gebeurt bij de afronding van het proces waarin met een professional
   van het wijkteam een plan van aanpak is opgesteld.
   Daarnaast zijn er ook gemeenten die aangeven dat de toestemming van betrokkene voor verwerking van
   persoonsgegevens en uitwisseling van persoonsgegevens met andere partijen wordt ‘afgeleid’ uit de
   medewerking van de burger met het traject van beoordeling van de noodzaak tot ondersteuning en het
   daarop volgende ondersteuningstraject.
   Deze “afgeleide” toestemming heeft dan veelal betrekking op zowel de verwerking van persoonsgegevens
   in het kader van de beoordeling, als op de verwerking van persoonsgegevens in het daaropvolgende
   ondersteuningstraject. Deze toestemming ziet vaak ook op de uitwisseling van persoonsgegevens met
   daarbij betrokken, andere partijen. Veelal is niet verder gespecificeerd om welke andere partijen het daarbij
   gaat, of daarbij ook hulpverleners met een (medisch) beroepsgeheim zijn en wat de aard en omvang van de
   te verwerken/verstrekken persoonsgegevens zal zijn.
   Informatie over consequenties weigering toestemming
   In de bijgevoegde toestemmingsverklaringen en/of beschrijvingen van toestemmingsprocedures wordt
   nauwelijks tot geen aandacht besteedt aan de consequenties van het niet verlenen van toestemming door
   betrokkene. Een deel van de gemeenten geeft aan dat dit niet van toepassing is en dat in voorkomende
   gevallen alles in het werk zal worden gesteld om de burger (alsnog) te overtuigen dat die toestemming
Rapport| De rol van toestemming in het sociaal domein                                                           20
</pre>

====================================================================== Einde pagina 23 =================================================================

<br><br>====================================================================== Pagina 24 ======================================================================

<pre>   verleend moet worden. Die taak berust dan bij de professional (hier ontbreekt het bijna altijd aan
   instructies voor die professionals). Er is in dat verband ook geen sprake van het – standaard – verstrekken
   van informatie aan burgers over de eventuele consequenties van het niet verlenen van de gevraagde
   toestemming. Een aantal gemeenten geeft aan dat die informatie desgevraagd door de professional wordt
   verstrekt.
   Eén gemeente heeft in een privacyreglement vastgelegd dat als geen toestemming wordt verkregen voor
   uitwisseling van persoonsgegevens, de gegevensverwerking ook niet zal plaatsvinden. De meeste andere
   gemeenten geven in de beantwoording aan dat weigering (of intrekking) van toestemming als
   consequentie heeft dat een aanvraag van betrokkene niet verder kan worden behandeld en/of dat de hulp
   of ondersteuning niet (langer) kan worden geboden. Een tweetal gemeenten geeft aan dat bij het
   ontbreken van toestemming een afweging moet worden gemaakt of de dienstverlening moet worden
   gestopt of beperkt dan wel dat er toch moet worden overgegaan tot uitwisseling van persoonsgegevens.
   Slechts een beperkt aantal gemeenten geeft in informatiemateriaal en/of toestemmingsformulieren aan
   wat de eventuele consequenties van het niet verlenen van toestemming voor verwerking van
   persoonsgegevens kan zijn. Dit is met name het geval in de aanvraagformulieren voor de domeinen werk
   en inkomen en gemeentelijke schuldhulpverlening, waar het niet verlenen van toestemming voor het
   opvragen van persoonsgegevens ter controle kan leiden tot een weigering van de ondersteuning.
   Werkinstructies bij toestemmingsprocedure betrokken professionals
   De Autoriteit Persoonsgegevens heeft geen afschriften ontvangen van heldere instructies voor de
   professionals die zijn belast met het verkrijgen van toestemming van de burger.
   3.3      Wijze van informeren over verwerking persoonsgegevens
   De door de Autoriteit Persoonsgegevens verkregen inlichtingen zijn ook gebruikt om te bepalen in
   hoeverre in door gemeenten gehanteerde procedures en materialen is voorzien in naleving van de
   wettelijke vereisten voor de informatieplicht van artikel 33/34 Wbp.
   Door 19 gemeenten is hierover achtergrondinformatie bijgevoegd. Het betreft folders en/of prints van de
   website van de gemeente of betrokken hulpverleningsinstanties zoals die worden gebruikt om betrokkene
   te informeren over de verwerking van persoonsgegevens in het sociaal domein. Het verstrekte materiaal
   heeft in tien van die gemeenten betrekking op sociale wijkteams. In de overige gevallen gaat het om folders
   of teksten op websites die specifiek zien op de jeugdhulp of de uitvoering van de Wmo 2015 in die
   gemeente.
Rapport| De rol van toestemming in het sociaal domein                                                        21
</pre>

====================================================================== Einde pagina 24 =================================================================

<br><br>====================================================================== Pagina 25 ======================================================================

<pre>   Twaalf andere gemeenten hebben aangegeven dat het materiaal waarmee beoogd wordt burgers te
   informeren over de verwerking van persoonsgegevens in het sociaal domein nog in ontwikkeling of onder
   revisie is. Daarnaast is er nog een aantal gemeenten die aangeven dat betrokkenen uitsluitend mondeling
   worden geïnformeerd.
   In de van tien gemeenten ontvangen folders waarin betrokkenen worden geïnformeerd over de verwerking
   van persoonsgegevens door sociale wijkteams worden de doeleinden voor de verwerking van
   persoonsgegevens en ook de aard en omvang van de persoonsgegevens die worden verwerkt in zeer
   globale zin omschreven. Dat geldt ook voor de door een deel van die gemeenten op de eveneens
   aangeboden informatie over privacybescherming bij verwerking van persoonsgegevens op de website.
   In twee gemeenten wordt in de klantfolder volstaan met een mededeling in de trant van “Wij delen
   informatie (…). Zo hoeft u niet steeds hetzelfde te vertellen en kunt u snel geholpen worden”.
   Andere gemeenten geven algemene aanduidingen van het doel van de verwerking van persoonsgegevens
   in de trant van “hulp op elkaar afstemmen”, ”voor het oplossen van uw vraag of probleem”, “alleen dan kunnen we u goed
   helpen”, “om u zo goed mogelijk te helpen en te ondersteunen” en “gegevens worden alleen gebruikt als dat nodig is om
   (wettelijke) taken uit te voeren”.
   In vijf van deze gemeenten bevat de klantfolder ook een vermelding dat de gemeente zich bij de verwerking
   van persoonsgegevens houdt aan de Wet bescherming persoonsgegevens, zonder dat dit verder wordt
   uitgelegd.
   Ook geven twee gemeenten in de klantfolder aan dat “het vanzelf spreekt dat de gemeente uiterst zorgvuldig en
   vertrouwelijk omgaat met de persoonsgegevens’, zonder dat dit verder wordt uitgelegd.
   Slechts één gemeente geeft meer uitleg over hoe privacybescherming wordt opgevat maar ook hier blijft de
   uitleg tamelijk globaal. Ook dit betreft uitleg in globale zin (“Het is belangrijk dat u de gemeente moet kunnen
   vertrouwen als verantwoordelijke voor uw gegevens. Dat betekent vooral dat wij niet zomaar uw gegevens voor een ander
   doel gebruiken dan met u is besproken. Of voor een doel dat niet duidelijk was op het moment dat u aan ons uw gegevens
   verstrekte (…). De gemeente heeft hiervoor aanvullende regels vastgelegd in beleidsregels”).
   De Autoriteit Persoonsgegevens constateert dat ook in het door de negen andere gemeenten verstrekte
   informatiemateriaal, dat specifiek gericht is op de uitvoering van ofwel de Jeugdwet ofwel de Wmo 2015, is
   volstaan met dergelijke algemene omschrijvingen van doelen en aard en omvang van de
   gegevensverwerking. Dat geldt voor de informatie die door vijf van die gemeenten uitsluitend via de
   website wordt aangeboden, maar ook voor de combinatie van de klantfolder en de op de website
   aangeboden informatie in vier andere gemeenten.
   De Autoriteit Persoonsgegevens heeft van gemeenten die aangeven uitsluitend mondeling informatie te
   verstrekken over de verwerking van persoonsgegevens in het sociaal domein geen inlichtingen ontvangen
   waarop een oordeel over de naleving van de informatieplicht ex artikel 33/34 Wbp kan worden gebaseerd.
   Overigens laat de toegankelijkheid van informatie over de verwerking van persoonsgegevens in het sociaal
   domein in veel gemeenten te wensen over. Eén gemeente verwijst naar aanleiding van de vraag hoe
   informatie over de verwerking van persoonsgegevens in het sociaal domein voor burgers toegankelijk is
   gemaakt, bijvoorbeeld naar de beantwoording van vragen uit de gemeenteraad van september 2014. Ook
   was er een gemeente die zei dat maken van een folder over privacy geen prioriteit heeft omdat burgers “er
   toch niet om vragen”.
Rapport| De rol van toestemming in het sociaal domein                                                                     22
</pre>

====================================================================== Einde pagina 25 =================================================================

<br><br>====================================================================== Pagina 26 ======================================================================

<pre>   4. Conclusie en bespreking van bevindingen
   Bij de decentralisatie van taken in het sociaal domein is gemeenten de ruimte gelaten om keuzes te maken
   in de manier waarop de uitvoering van de verschillende taken in het sociaal domein wordt georganiseerd.
   Daaruit vloeit voort dat gemeenten het algemene juridisch kader voor de verwerking van
   persoonsgegevens zullen moeten concretisering en toespitsen op de wijze waarop zij de uitvoering van
   taken in het sociaal domein organiseren. In de onderzochte gemeenten ontbreekt het veelal aan zowel een
   goede analyse van dit algemene juridisch kader als aan de verdere concretisering daarvan voor de
   specifieke gemeentelijke praktijk.
   De Autoriteit Persoonsgegevens constateert ten aanzien van de specifieke punten in dit onderzoek dat in
   de onderzochte gemeenten:
        -   Het ontbreekt aan een heldere bepaling van wanneer en waarom toestemming wordt gevraagd bij
            de verwerking van persoonsgegevens in het sociaal domein;
        -   Er gebreken kleven aan de manier waarop de toestemmingsprocedures zijn vormgegeven
        -   Er gebreken kleven aan de manier waarop de informatieplicht over de verwerking van
            persoonsgegevens in het sociaal domein wordt nagekomen
        -   Geen van de 41 gemeenten heeft duidelijk onderscheiden wanneer toestemming nodig is,
            waarvoor toestemming nodig is en aan welke voorwaarden deze toestemming dan moet voldoen.
   De Autoriteit Persoonsgegevens schrijft dergelijke gebreken hoofdzakelijk toe aan het ontbreken van een
   goede analyse en nadere concretisering door de onderzochte gemeenten van het juridisch kader voor de
   verwerking van persoonsgegevens in het sociaal domein.
   4.1      Toekennen rol toestemming
   Gemeenten hebben geen heldere en op een juiste juridische analyse gebaseerde beleidskeuzes gemaakt
   over wanneer en waarvoor toestemming wordt gevraagd bij de verwerking van persoonsgegevens in het
   sociaal domein.
   Gemeenten lijken vaak géén onderscheid te maken tussen situaties waarin toestemming wordt gevraagd
   als grondslag voor de verwerking van persoonsgegevens, toestemming moet worden gevraagd als grond
   voor de doorbreking van het (medisch) beroepsgeheim van de betrokken professional en wanneer
   toestemming wordt gevraagd voor de uitvoering van de hulpverlening.
   De Autoriteit Persoonsgegevens constateert dat aan de onduidelijkheid over het vragen van toestemming
   als grondslag voor de verwerking van persoonsgegevens in het sociaal domein belangrijke risico’s zijn
   verbonden. Zo ontstaan er problemen in de gevallen waar er géén andere grondslag voor de
   gegevensverwerking is en de vrijheid om toestemming te geven voor de verwerking van persoonsgegevens
   (ook) niet aanwezig is. De verwerking van persoonsgegevens is dan vanwege het ontbreken van een
Rapport| De rol van toestemming in het sociaal domein                                                     23
</pre>

====================================================================== Einde pagina 26 =================================================================

<br><br>====================================================================== Pagina 27 ======================================================================

<pre>   grondslag immers niet toegestaan.
   Er zijn gevallen waarin er naast toestemming ook een andere grondslag is. Zo kan bijvoorbeeld voor de
   intake/toegangsprocedures in de Wmo 2015 en de Jeugdwet een beroep worden gedaan op artikel 8, onder
   e, Wbp, terwijl in een deel van de gemeenten voor die verwerking van persoonsgegevens ook toestemming
   van betrokkenen wordt gevraagd. In dat geval kan de verwerking van persoonsgegevens rechtmatig zijn –
   er is immers een grondslag in artikel 8, onder e, Wbp – ook al voldoet de gevraagde toestemming niet aan
   de randvoorwaarden van artikel 8, onderdeel a, Wbp.
   Voor zover gemeenten er voor kiezen om in deze situaties (ook) toestemming van betrokkene te vragen is
   het in elk geval van belang dat de consequenties bij het niet verkrijgen van die toestemming helder in beeld
   zijn. Worden dan alsnog – met een beroep op een andere grondslag – persoonsgegevens verwerkt of wordt
   daarvan afgezien en zijn de consequenties daarvan (voor betrokkene, anderen) aanvaardbaar?
   De Autoriteit Persoonsgegevens wijst erop dat moet worden voorkomen dat burgers het idee krijgen dat er
   alleen gegevens over hen mogen worden verwerkt als zij daarvoor toestemming geven, terwijl dat in
   werkelijkheid niet zo is. Daarmee worden burgers niet goed geïnformeerd over hoe de Wbp werkt.
   Bovendien kan het vragen van (dergelijke als grondslag niet mogelijke) toestemming in situaties waarin
   betrokkene geen vrijheid ervaart om die toestemming te weigeren, een negatieve weerslag hebben op het
   vertrouwen van betrokkene in de gemeente. Burgers worden zo immers op het verkeerde been gezet over
   de betekenis van hun toestemming. Dat klemt temeer aangezien het in het sociaal domein veelal gaat om
   kwetsbare burgers die bovendien in een afhankelijkheidspositie ten opzichte van de gemeente verkeren.
   Tenslotte merkt de Autoriteit Persoonsgegevens op dat gemeenten die een transitie in gang hebben gezet
   van “toestemming naar transparantie” zich er van bewust moeten zijn dat er ook bij de
   gegevensverwerking die noodzakelijk en proportioneel is, altijd een grondslag in de Wbp moet zijn.
   Transparantie alleen volstaat niet. Gemeenten hebben immers én een grondslag voor de
   gegevensverwerking nodig én zijn gehouden aan de informatieplicht.
   4.2.     Randvoorwaarden toestemming (vrij, specifiek en geïnformeerd)
   Veel gemeenten slagen er niet in om de toestemmingsprocedures zodanig vorm te geven dat deze voldoen
   aan de randvoorwaarden voor het verkrijgen van rechtsgeldige toestemming als grondslag voor de
   verwerking van persoonsgegevens of ter doorbreking van de geheimhoudingsplicht.
   Met name gemeenten die toestemming als uitgangspunt hanteren, stellen over het algemeen lage eisen
   aan het verkrijgen van toestemming. De kwaliteit van de toestemmingsformulieren die de Autoriteit
   Persoonsgegevens van deze groep gemeenten heeft ontvangen is dan ook niet toereikend om te voldoen
   aan de wettelijke vereisten voor toestemming als grondslag en toestemming voor de doorbreking van de
   geheimhoudingsplicht.
   Maar ook voor gemeenten die toestemming waar nodig hanteren geldt, dat lang niet altijd is geborgd dat
   de toestemming voldoet aan de randvoorwaarden vrij, specifiek en geïnformeerd. Zo blijkt uit de
   achtergrondinformatie die deze gemeenten hebben verstrekt niet dat zij per doelstelling nader hebben
   uitgewerkt welke grondslag van toepassing is. De Autoriteit Persoonsgegevens merkt op dat het daardoor
   ook bij deze gemeenten doorgaans dus onduidelijk is, in welke situaties er vanwege het ontbreken van een
Rapport| De rol van toestemming in het sociaal domein                                                       24
</pre>

====================================================================== Einde pagina 27 =================================================================

<br><br>====================================================================== Pagina 28 ======================================================================

<pre>   andere grondslag wel wordt gevraagd om toestemming. En of deze toestemming voldoet aan de
   randvoorwaarden uit de Wbp.
   Verder zijn er gemeenten die aangeven dat toestemming van betrokkene voor de verwerking van
   persoonsgegevens en uitwisseling van persoonsgegevens met andere partijen wordt “afgeleid” uit de
   medewerking van de burger met het traject van beoordeling van de noodzaak tot ondersteuning en het
   daarop volgende ondersteuningstraject. Een dergelijke “indirecte” toestemming voldoet niet aan de
   randvoorwaarden vrij, geïnformeerd en specifiek van de Wbp en ook niet aan de eisen die gelden voor de
   doorbreking van de geheimhoudingsplicht op grond van de Wgbo en de Jeugdwet.
   Voorts valt op dat in de door gemeenten gehanteerde toestemmingsformulieren de aard en omvang van de
   persoonsgegevens die de gemeente c.q. het wijkteam verwerkt niet nader worden gespecificeerd. Er wordt
   dan volstaan met de aanduiding dat het gaat om “noodzakelijke” of “relevante” persoonsgegevens. Ook
   wordt lang niet altijd nader gespecificeerd bij welke andere partijen welke persoonsgegevens worden
   opgevraagd en/of aan wie welke persoonsgegevens worden verstrekt. De Autoriteit Persoonsgegevens
   merkt op dat daarmee niet is voldaan aan de randvoorwaarde specifiek en geïnformeerd.
   Verder trof de Autoriteit Persoonsgegevens met name in aanvraagformulieren voor schuldhulpverlening
   en werk en inkomen passages aan als “ik ben ermee bekend dat de persoonsgegevens worden gebruikt” en “Als u het
   aanvraagformulier ondertekent, verleent u ondubbelzinnige toestemming voor het verwerken van persoonsgegevens”.
   Deze (aanvraag)formulieren worden gebruikt ter beoordeling of betrokkene voor gemeentelijke
   ondersteuning in een van deze domeinen in aanmerking komt. In dat kader zal doorgaans dus geen vrije
   toestemming kunnen worden gegeven, terwijl er wel een andere grondslag voor de verwerking van
   persoonsgegevens aanwezig is.
   In dergelijke formulieren wordt overigens ook vaak toestemming gevraagd voor het opvragen van
   gegevens bij andere partijen ter controle van de door betrokkene verstrekte gegevens. Ook deze
   toestemming zal veelal niet vrij zijn. Daarnaast is er doorgaans ook hier geen sprake van een nadere
   specificatie van de partijen bij wie deze gegevens zullen worden opgevraagd en/of van de aard en de
   omvang van de op te vragen persoonsgegevens. In dat geval is de toestemming dus ook niet voldoende
   specifiek.
   Tot slot merkt de Autoriteit Persoonsgegevens over de randvoorwaarden voor rechtsgeldige toestemming
   op, dat gemeenten het verkrijgen van toestemming veelal hebben toevertrouwd aan de professionals die
   contact hebben met de desbetreffende burgers. Het ontbreekt daarbij echter aan een vertaling in de
   werkinstructies voor deze professionals van de wettelijke vereisten naar de praktijk. Het is dan niet te
   controleren (noch door de gemeente en/of de toezichthouder noch door de burger) hoe een en ander in de
   praktijk vorm krijgt.
   4.3      Informatievoorziening
   Gemeenten voldoen niet aan de informatieplicht van de artikelen 33 en 34 van de Wbp omdat de
   informatie die zij aan burgers verstrekken onvoldoende specifiek is.
   Gemeenten hebben voorts onvoldoende aandacht voor de informatieverstrekking in situaties waarin de
   verwerking van persoonsgegevens plaatsvindt zonder dat daarvoor toestemming is gevraagd.
   Hiermee worden burgers niet voldoende toegerust om de hen toekomende rechten bij de verwerking van
Rapport| De rol van toestemming in het sociaal domein                                                              25
</pre>

====================================================================== Einde pagina 28 =================================================================

<br><br>====================================================================== Pagina 29 ======================================================================

<pre>   persoonsgegevens te kunnen uitoefenen.
   Het door de bevraagde gemeenten verstrekte informatiemateriaal (klantfolders en/of teksten op websites)
   is onvoldoende specifiek om te kunnen voldoen aan de informatieplicht van artikel 33/34 Wbp.
   Noch de doeleinden waarvoor in het sociaal domein persoonsgegevens kunnen worden verwerkt, noch de
   aard en de omvang van de gegevensverwerking voor die verschillende doeleinden worden nader
   uitgesplitst. Evenmin wordt gespecificeerd met welke derden persoonsgegevens worden uitgewisseld.
   Gemeenten vertrouwen verder de mondelinge informatieverstrekking toe aan de professionals die in het
   sociaal domein contact hebben met de betreffende burgers. Deze professionals zijn echter niet voorzien
   van werkinstructies waarin de wettelijke vereisten voor het informeren van betrokkenen bij de verwerking
   van hun persoonsgegevens in het sociaal domein, op consistente en heldere wijze zijn vertaald naar de
   praktijk. Dergelijke of andere maatregelen om te waarborgen dat in de mondelinge informatieverstrekking
   door professionals wordt voldaan aan de vereiste specificiteit uit de artikelen 33 en 34 van de Wbp
   ontbreken.
   Verder lijken veel gemeenten de burger uitsluitend te informeren over de verwerking van
   persoonsgegevens in situaties waarin daarvoor toestemming wordt gevraagd. Er lijkt niet te zijn voorzien
   in een procedure om te voldoen aan de informatieplicht in situaties waarin er geen toestemming wordt
   gevraagd voor de verwerking van persoonsgegevens. Ook het verstrekte informatiemateriaal gaat daar niet
   op in. Dat is opvallend omdat de meeste verwerkingen van persoonsgegevens in het sociaal domein zullen
   plaatsvinden op grond van artikel 8 onderdeel b (behandelings)overeenkomst), artikel 8, onderdeel c
   (wettelijke verplichting) of artikel 8, onderdeel e, (publiekrechtelijke taak) van de Wbp.
   Op de vraag van de Autoriteit Persoonsgegevens over de wijze waarop is voorzien in het informeren van
   betrokkene indien geen toestemming is gevraagd voor de verwerking van persoonsgegeven gingen vrijwel
   alle gemeenten alleen in op de situatie van gevaar voor de gezondheid of veiligheid van betrokkene of
   anderen. Vaak lijkt ook te worden verondersteld dat als er een uitzonderingsgrond is voor het vragen van
   toestemming (met name vanwege de veiligheid van betrokkene en/of anderen) dat er dan ook een
   uitzonderingsgrond op de informatieplicht is. Dat is onjuist.
   4.4      Ontbreken overzicht gegevens, doelen en grondslagen
   Het ontbreekt aan concretisering van het algemeen juridisch kader voor de verwerking van
   persoonsgegevens naar de specifieke inrichting van de uitvoering van taken in het sociaal domein in de
   eigen gemeente en de daarbij behorende doelen, grondslagen en noodzakelijke verwerking van
   persoonsgegevens.
   Gemeenten beschikken daarmee niet over één duidelijk overzicht van welke persoonsgegevens in het
   sociaal domein mogen worden verwerkt voor welke doelen en op basis van welke grondslagen.
   De Autoriteit Persoonsgegevens heeft niet specifiek gevraagd welke persoonsgegevens, voor welke doelen
   en op basis van welke grondslagen door de bevraagde gemeenten in het sociaal domein worden verwerkt.
   Uit de verkregen inlichtingen kan echter wel worden opgemaakt dat deze gemeenten daar geen goed beeld
   van hebben.
Rapport| De rol van toestemming in het sociaal domein                                                      26
</pre>

====================================================================== Einde pagina 29 =================================================================

<br><br>====================================================================== Pagina 30 ======================================================================

<pre>   Zo maakten bijvoorbeeld lang niet alle gemeenten in hun beantwoording van de door de Autoriteit
   Persoonsgegevens gestelde vragen onderscheid tussen de verschillende domeinen en doelen, terwijl dat
   wel expliciet was gevraagd. Verder voegde slechts een beperkt aantal gemeenten een overzicht van de
   grondslagen uit de Wbp als achtergrondinformatie toe, terwijl in vrijwel geen van deze
   achtergrondstukken deze grondslagen concreet in verband worden gebracht met de verschillende
   verwerkingen van persoonsgegevens in het sociaal domein in die specifieke gemeente.
   Ook valt gezien de ambitie om in het sociaal domein domeinoverstijgend te werken op dat maar zeer
   weinig gemeenten hier expliciet op in gaan. Ook zijn er geen toestemmingsformulieren bijgevoegd die op
   dergelijke domeinoverstijgende gegevensverwerkingen zien. Wel gaf één van de bevraagde gemeenten aan
   dat de multidisciplinair samengestelde wijkteams standaard bij de eerste vraag om ondersteuning
   toestemming vragen zodat altijd alle disciplines bij de hulpvraag kunnen worden betrokken. Hiermee
   wordt overigens voorbij gegaan aan het feit dat deze toestemming waarschijnlijk niet vrij is. En dat het
   nooit in alle gevallen noodzakelijk kan zijn om multidisciplinair gegevens te verwerken.
   4.5      Overige opmerkingen
   De Autoriteit Persoonsgegevens heeft zich bij het beoordelen van de verkregen inlichtingen gericht op de
   in hoofdstuk 3 genoemde aandachtspunten (welke rol kennen gemeenten toe aan toestemming voor de
   verwerking van persoonsgegevens in het sociaal domein (3.1), op welke wijze wordt toestemming
   verkregen (3.2) en op welke wijze worden burgers geïnformeerd over de verwerking van hun
   persoonsgegevens in het sociaal domein (3.3). Aan de hand daarvan zijn de in 4.1 t/m 4.4 genoemde
   conclusies opgesteld.
   Uit de inlichtingen komt naar voren dat er bij gemeenten ook op ándere (uiteenlopen) punten
   onduidelijkheden leven over de wijze waarop de Wbp in het sociaal domein moet worden toegepast. Een
   aantal van deze onduidelijkheden wordt hieronder weergegeven. De Autoriteit Persoonsgegevens voorziet
   overigens dat veel van deze onduidelijkheden kunnen worden opgehelderd wanneer gemeenten
   beschikken over het in 4.4 bedoelde overzicht van welke persoonsgegevens in het sociaal domein mogen
   worden verwerkt voor welke doelen en op basis van welke grondslagen.
   Voor wat betreft toestemming als grondslag voor de gegevensverwerking zijn er bijvoorbeeld gemeenten
   die uit de Wbp afleiden dat toestemming primair als grondslag voor de verwerking van persoonsgegevens
   moet worden gebruikt. Anderzijds zijn er ook weer gemeenten die stellen dat toestemming niet nodig is
   omdat er alleen gegevens worden verwerkt die noodzakelijk zijn.
   Verder waren er op verschillende punten tegenstrijdigheden in de beantwoording van gemeenten.
   Bijvoorbeeld bij gemeenten die zeggen dat zij in verband met de afhankelijkheidsrelatie met betrokkene
   alleen persoonsgegevens verwerken op basis van artikel 8, onderdeel c en onderdeel e, van de Wbp terwijl
   ze tegelijkertijd stellen dat gegevens alleen worden verwerkt op grond van toestemming.
   Ook viel op dat veel gemeenten zeggen alleen persoonsgegevens zonder toestemming te verwerken in
   verband met een vitaal belang van betrokkene of anderen (terwijl er toch ook persoonsgegevens zullen
   worden verwerkt in verband de publiekrechtelijke taak van de gemeente of in verband met een wettelijke
   verplichting).
Rapport| De rol van toestemming in het sociaal domein                                                       27
</pre>

====================================================================== Einde pagina 30 =================================================================

<br><br>====================================================================== Pagina 31 ======================================================================

<pre>   Een ander punt is dat sommige gemeenten lijken te menen dat er alleen sprake is van verwerking van
   persoonsgegevens als persoonsgegevens met andere partijen worden uitgewisseld. Ook is er een
   gemeente die stelt géén persoonsgegevens betreffende de gezondheid te verwerken. In elk geval voor de
   uitvoering van de Wmo 2015 is niet duidelijk hoe dat mogelijk is. Maar ook andere antwoorden vielen op,
   zoals het feit dat een groot aantal gemeenten zegt geen persoonsgegevens te verwerken voor
   beleidsdoeleinden terwijl in elk geval voor de Jeugdwet vaststaat dat persoonsgegevens voor
   beleidsdoeleinden aan het CBS worden verstrekt. Of dat maar een beperkt aantal gemeenten op de hoogte
   leek te zijn van het feit dat er ten tijde van het inlichtingenverzoek voor de declaraties in de Jeugdwet een
   probleem was met de regeling voor de doorbreking van de geheimhoudingsplicht van behandelaars. Er is
   overigens is vaak weinig aandacht voor het uitwisselen van gegevens met professionals met een
   beroepsgeheim.
   Voorts zijn er gemeenten die zeggen aan vroegsignalering te doen maar daarbij geen persoonsgegevens te
   verwerken. Het is de vraag hoe dat mogelijk is.
   Opvallend is tot slot, de discrepantie bij een aantal gemeenten tussen hetgeen over – mogelijke – andere,
   grondslagen is opgenomen in beleids-en besluitvormingsdocumenten en hetgeen in het
   informatiemateriaal voor de burger staat over het vragen van toestemming voor verwerking van
   persoonsgegevens. Tevens zijn er gemeenten die in de informatieverstrekking voor de burger zeggen dat
   toestemming voor de gegevensverwerking nodig is voor de uitvoering van een wettelijke verplichting door
   de gemeente.
Rapport| De rol van toestemming in het sociaal domein                                                           28
</pre>

====================================================================== Einde pagina 31 =================================================================

<br><br>====================================================================== Pagina 32 ======================================================================

<pre>         5. Aanbevelingen
   In dit rapport komt verschillende keren naar voren dat toestemming in bepaalde gevallen de énige
   mogelijke grondslag is voor de verwerking van persoonsgegevens in het sociaal domein. Tegelijkertijd zal
   er in het sociaal domein echter vaak geen sprake kunnen zijn van vrije toestemming. In die situaties is de
   verwerking van persoonsgegevens niet toegestaan.
   Gemeenten zullen, ieder voor zich, voor hun eigen uitvoeringspraktijk moeten bezien in welke situaties in
   het sociaal domein toestemming de enige grondslag is voor de verwerking en of is gewaarborgd dat deze
   toestemming voldoet aan de randvoorwaarden vrij, specifiek en geïnformeerd. Het is mogelijk dat deze
   exercitie ertoe leidt dat bepaalde taken niet of anders moeten worden uitgevoerd.
   De Autoriteit Persoonsgegevens sluit overigens niet uit dat de Wbp thans in de weg staat aan de
   verwerking van persoonsgegevens bij de uitvoering van op zichzelf noodzakelijke en gerechtvaardigde
   taken in het sociaal domein, omdat daarvoor geen grondslag aanwezig is. Dergelijke problemen kunnen
   uiteindelijk alleen worden opgelost door de wetgever. De Autoriteit Persoonsgegevens heeft hier reeds in
   een eerder stadium aandacht voor gevraagd. Zie in dit verband de brieven en adviezen van de Autoriteit
   Persoonsgegevens uit de voorbereidingsfase van de decentralisaties in het sociaal domein.24
   De Autoriteit Persoonsgegevens doet de volgende aanbevelingen:
         -    Specificeer en concretiseer op basis van welke grondslagen voor welke specifieke doelen, welke
              gegevens concreet noodzakelijk zijn voor de taken in het sociaal domein. Leg dit (transparant)
              vast in beleid en vertaal dit (consistent) in beleid naar de werkvloer (5.1).25
         -    Onderscheid wanneer toestemming wordt gebruikt als grondslag voor de (verdere) verwerking
              van persoonsgegevens, ziet op toestemming voor de doorbreking van een geheimhoudingsplicht
              of ziet op instemming met de hulpverlening. Breng tot uitdrukking dat er verschillende eisen voor
              gelden en werk uit op welke wijze daaraan kan worden voldaan (5.2).
         -    Bepaal of ook bij aanwezigheid van een andere grondslag van betrokkene toestemming voor de
              verwerking van persoonsgegevens wordt gevraagd. Leg dit (transparant) vast in beleid en vertaal
              dit (consistent) in beleid naar de werkvloer. Leg daarbij met name ook vast wat de consequenties
              zijn als burgers de gevraagde toestemming niet verlenen, vooral als er een andere grondslag is:
              gaat men dan wel of niet over tot verwerking van persoonsgegevens (5.3).
         -    Onderbouw dat de toestemming die wordt gebruikt als (enige) grondslag voor de
              gegevensverwerking vrij, specifiek en geïnformeerd is (5.4). 26
         -    Voorzie in instructies voor de professional zodat deze in de praktijk (1) weet op basis van welke
              grondslag persoonsgegevens (mogen) worden verwerkt en (2) hoe hij burgers goed kan
              informeren over de hem betreffende gegevensverwerkingen (5.5).
         -    Informeer de burger over de gegevens die over hem worden verwerkt en wanneer en waarom
              daarvoor in de gemeente om toestemming zal worden gevraagd. Duidelijk moet zijn waarom de
              verwerking van welke specifieke gegevens voor welke specifieke doelen noodzakelijk is. Alleen zo
              kan de burger immers in staat worden gesteld om de hem toekomende rechten bij de verwerking
   24
      Zie onder meer de brief aan de minister van BZK van 29 oktober 2013 en het advies over de privacytoets jeugdhulpdomein van
   30 oktober 2014 (z2014-00740).
   25
      Hiervoor kunnen het schema in bijlage II en het juridisch kader in bijlage I als uitgangspunt worden gebruikt. Uiteraard is het
   wel nodig deze meer algemene handreikingen concreet te vertalen naar de eigen gemeentelijke praktijk.
   26
      Zie ook het voorbeeld toestemmingsformulier in bijlage III en het juridisch kader in bijlage I.
Rapport| De rol van toestemming in het sociaal domein                                                                                 29
</pre>

====================================================================== Einde pagina 32 =================================================================

<br><br>====================================================================== Pagina 33 ======================================================================

<pre>           van persoonsgegevens daadwerkelijk uit te oefenen (5.6).
   5.1     Specificeer en concretiseer noodzakelijke gegevens, grondslagen en doelen
           Hoe is de uitvoering van taken in het sociaal domein vormgegeven? Daarbij komen (deel)vragen
           aan de orde als:
                 o   Is er een onderscheid tussen enkelvoudige en multiprobleemgevallen?
                 o   Worden de enkelvoudige gevallen multidisciplinair behandeld?
                 o   Wordt er onderscheid gemaakt tussen gegevens die worden verwerkt door de gemeente
                     en gegevens die worden verwerkt door hulpverleners (al dan niet in dienst van de
                     gemeente)?
                 o   Welke taken kunnen er per domein grofweg worden onderscheiden voor de gemeente,
                     het wijkteam en eventuele andere hulpverleners. (Zijn er domein overstijgende taken of
                     taken op het gebied van vroegsignalering?)
                 o   Waar zijn deze taken geregeld in de domeinwetten?
                 o   Welke gegevensstromen horen bij de uitvoering van deze taken?
                 o   Welke grondslagen uit artikel 8 van de Wbp horen bij welke gegevensstromen?
                 o   Voor de taken die niet wettelijk zijn geregeld – zoals domeinoverstijgende taken of
                     bepaalde vormen van vroegsignalering– kan alleen toestemming - eventueel – een
                     grondslag zijn. Daarbij zal dus goed moeten worden bekeken of aan de randvoorwaarden
                     voor rechtsgeldige toestemming is voldaan (vrij, specifiek en geïnformeerd).
   5.2     Onderscheid de verschillende varianten van toestemming
                 o   Wordt er instemming gevraagd met de hulpverlening, is toestemming nodig voor de
                     doorbreking van de geheimhoudingplicht van de hulpverlener of is toestemming nodig
                     als grondslag voor de verwerking van persoonsgegevens? Haal deze drie varianten van
                     toestemming niet door elkaar.
                 o   Voor gegevensverstrekkingen waarbij een professional met een geheimhoudingsplicht is
                     betrokken kan toestemming nodig zijn om deze geheimhoudingsplicht te mogen
                     doorbreken. Deze toestemming is nodig naast een grondslag voor de gegevensverwerking
                     uit artikel 8 Wbp.
                 o    Maak voor de doorbreking van de geheimhoudingsplicht inzichtelijk wanneer
                     toestemming nodig is door te inventariseren welke wettelijke voorschriften voor de
                     doorbreking van de geheimhoudingsplicht er zijn en wanneer er sprake kan zijn van een
                     conflict van plichten.
   5.3     Bepaal of ook bij aanwezigheid van een andere grondslag van betrokkene
           toestemming voor de verwerking van persoonsgegevens wordt gevraagd
                 o   Leg dit (transparant) vast in beleid en vertaal dit (consistent) in beleid naar de werkvloer.
                 o   Leg daarbij met name ook vast wat de consequenties zijn als burgers de gevraagde
                     toestemming niet verlenen, met name als er een andere grondslag is: gaat men dan wel of
                     niet over tot verwerking van persoonsgegevens
   5.4     Onderbouw dat de toestemming vrij, specifiek en geïnformeerd is
Rapport| De rol van toestemming in het sociaal domein                                                          30
</pre>

====================================================================== Einde pagina 33 =================================================================

<br><br>====================================================================== Pagina 34 ======================================================================

<pre>              Wees in het sociaal domein terughoudend met het gebruik van toestemming als grondslag voor de
              verwerking van persoonsgegevens. Vanwege de afhankelijkheidsrelatie tussen gemeente en
              burger is er immers vrijwel nooit voldoende vrijheid voor het verlenen van een dergelijke
              toestemming. Dat zal zeker zo zijn als de gegevensverwerking noodzakelijk is voor het toekennen
              van een voorziening.
              Er zijn wijkteams die zowel de intake als de hulpverlening in het sociaal domein doen. Deze
              vermenging van taken maakt dat er ook hier maar een beperkte rol voor toestemming als
              grondslag is.
                    o   Kan betrokkene zich vrij voelen om nee te zeggen?
                    o   Wat zijn de consequenties als betrokkene nee zegt?
                    o   Weet betrokkene met welke specifieke verwerkingen hij akkoord gaat? (Weet hij met wie
                        welke gegevens zullen worden gewisseld? En om welke reden?)
              Toestemmingsformulieren kunnen een goed middel zijn om vrije, specifieke en geïnformeerde
              toestemming te vragen.27 Bijvoorbeeld door in deze formulieren:
                    o   de partijen waarop de toestemming voor het opvragen bij en/of delen van
                        persoonsgegevens ziet te onderscheiden;
                        Worden er bijvoorbeeld alleen gegevens uitgewisseld tussen hulpverleners (en zo ja
                        welke) of worden er ook gegevens uitgewisseld met bijvoorbeeld de school of de
                        gemeente. Wordt de huisarts op de hoogte gesteld van een hulpverleningstraject of
                        worden er gegevens verstrekt aan de huisarts?
                    o   de aard en/of omvang van de persoonsgegevens die kunnen worden opgevraagd en/of
                        uitgewisseld te specificeren.
                        Om welke gegevens gaat het? Gaat het om “wat” of om “dat informatie”? Kunnen andere
                        hulpverleners het gehele dossier inzien of worden er alleen bepaalde gegevens verstrekt?
                        Worden er ook bijzondere persoonsgegevens (zoals gezondheidsgegevens of
                        strafrechtelijke gegevens) uitgewisseld?
                    o   Aan te geven voor welk specifiek doel / doelen de gegevens worden gebruikt (dus niet
                        volstaan met “ten behoeve van de hulpverlening”).
                    o   In het formulier vast te leggen dat betrokkene wordt geïnformeerd.
                    o   In het formulier op te nemen dat betrokkene voor bepaalde verwerkingen wel en voor
                        bepaalde verwerkingen geen toestemming kan geven.
   5.5        Voorzie in instructies voor de professional
                    o   Koppel de taken van de professional aan de benodigde gegevensverwerkingen en de
                        grondslagen die daarvoor gelden. Neem dit op in de werkinstructies.
                    o   Specifieer in welke gevallen toestemming voor de verwerking van persoonsgegevens de
                        enige mogelijke grondslag voor de gegevensverwerking is en zorg ervoor dat de
                        professional borgt dat deze vrij, specifiek en geïnformeerd is.
                    o   Specificeer daarnaast in welke gevallen toestemming nodig is als grond voor de
                        doorbreking van de geheimhoudingsplicht. Zorg ervoor dat de professional weet dat hij
                        én een grondslag voor de gegevensverwerking én een grond voor de doorbreking van de
                        geheimhoudingsplicht heeft.
   27
      Zie ook het voorbeeld toestemmingsformulier in de bijlage.
Rapport| De rol van toestemming in het sociaal domein                                                          31
</pre>

====================================================================== Einde pagina 34 =================================================================

<br><br>====================================================================== Pagina 35 ======================================================================

<pre>                 o   Ondersteun de professional door ook het informeren van de burger deel uit te laten
                     maken van de werkprocessen en zorg ervoor dat hij over begrijpelijk informatiemateriaal
                     voor de burger beschikt.
                     Als het voor de professional zelf duidelijk is op basis van welke gegevens hij mag
                     verwerken voor welke doelen en op basis van welke grondslagen welke doelen dan is hij
                     ook beter in staat dit uit te leggen aan de burger.
   5.6     Informeer de burger
                 o   Voor de burger moet duidelijk zijn waarom welke specifieke gegevens voor welke
                     specifieke doelen worden verwerkt. Alleen zo kan de burger immers in staat worden
                     gesteld om de hem toekomende rechten bij de verwerking van persoonsgegevens
                     daadwerkelijk uit te oefenen.
                 o   Informatiebrochures met de strekking “wij verwerken persoonsgegevens in
                     overeenstemming met de Wbp en u heeft recht op inzage en correctie” zijn onvoldoende.
                     Maak inzichtelijk wat er gebeurt in het sociaal domein. Leg uit wat bijvoorbeeld een
                     generalistisch wijkteam doet en welke gegevens dit wijkteam daarbij verwerkt. Welke
                     gegevens delen hulpverleners met wie, waarom doen ze dat en wat betekent dat voor
                     betrokkene? Waarom verwerkt de gemeente soms zelf ook gezondheidsgegevens? Leg uit
                     waarom dat nodig is en dat de wet dat (onder omstandigheden) toestaat.
                 o   Maak daarbij ook duidelijk dat bijvoorbeeld het feit dat de gemeente noodzakelijke
                     gezondheidsgegevens mag verwerken, niet betekent dat de gemeente over het volledige
                     medische dossier van betrokkene beschikt of dat gevoelige gegevens over betrokkene bij
                     de koffieautomaat op het stadhuis worden besproken.
                     De Autoriteit Persoonsgegevens heeft bijvoorbeeld veel signalen gekregen van ongeruste
                     burgers die niet begrepen waarom hun gemeenten gezondheidsgegevens van hen
                     verwerkte terwijl daartoe een noodzaak was in verband met het aflopen van indicaties
                     jeugdzorg. Hier ontbrak dus een goed informatievoorziening. Niet alleen heeft de burger
                     recht op dit soort informatie, ook kan hiermee veel onbegrip en wantrouwen worden
                     voorkomen.
Rapport| De rol van toestemming in het sociaal domein                                                      32
</pre>

====================================================================== Einde pagina 35 =================================================================

<br><br>====================================================================== Pagina 36 ======================================================================

<pre>    Contactgegevens
    Bezoekadres
    (alleen volgens afspraak)
    Prins Clauslaan 60
    2595 AJ DEN HAAG
    Let op: bij bezoek aan de Autoriteit Persoonsgegevens moet u een geldig identiteitsbewijs laten zien.
    Postadres
    Postbus 93374
    2509 AJ DEN HAAG
    Telefonisch spreekuur
    Op onze website autoriteitpersoonsgegevens.nl vindt u informatie en antwoorden op vragen over de
    bescherming van persoonsgegevens. Heeft u op deze website geen antwoord op uw vraag gevonden?
    Dan kunt u contact opnemen met de publieksvoorlichters van de Autoriteit Persoonsgegevens tijdens
    het telefonisch spreekuur via telefoonnummer 0900-2001 201. De publieksvoorlichters zijn bereikbaar
    op werkdagen van 09.30 tot 12.30 uur. (5 cent per minuut, plus de kosten voor het gebruik van uw mobiele
    of vaste telefoon).
    Persvoorlichting
    Journalisten en redacteuren kunnen met vragen terecht bij de woordvoerders van de Autoriteit
    Persoonsgegevens via telefoonnummer 070-8888 555.
    Zakelijke relaties
    Bent u een zakelijke relatie van de Autoriteit Persoonsgegevens, zoals een leverancier, dan kunt u ons
    telefonisch bereiken via telefoonnummer 070-8888 500.
Over de Autoriteit Persoonsgegevens
Iedereen heeft recht op een zorgvuldige omgang met zijn persoonsgegevens. De Autoriteit Persoonsgegevens houdt toezicht op de
naleving van de wettelijke regels voor bescherming van persoonsgegevens en adviseert over nieuwe regelgeving.
</pre>

====================================================================== Einde pagina 36 =================================================================

<br><br>