De impact van de AVG is groot

In de dagelijkse praktijk blijkt dat veel koepelorganisaties en hun leden, uit de zorg en het sociaal domein, ook na 25 mei 2018 nog worstelen met de impact en de implementatie van de Algemene Verordening Gegevensbescherming (AVG). Wat mag wel? Wat mag niet? Waar kan je terecht als je er niet uitkomt? We vroegen het een aantal mensen uit de praktijk, onder andere Sandra van Elten, jurist bij Sociaal Werk Nederland en Rob Stadt, Functionaris voor Gegevensbescherming bij het Koninklijk Genootschap voor Fysiotherapie (KNGF). Zij vertellen over hun ervaringen met de AVG én met de AVG-Helpdesk voor Zorg en Welzijn.

De AVG heeft behoorlijke gevolgen gehad voor veel leden van Sociaal Werk Nederland. “Eind 2017 startten we met voorlichtingsbijeenkomsten, een AVG-handboek en een bijbehorende toolkit. In onze branche wordt hard gewerkt aan de AVG”, vertelt Sandra van Elten. “Sommige leden zijn jaren geleden al begonnen met de voorbereidingen, maar er waren er ook die zich afgelopen mei wild schrokken.” Zo kwamen enkele organisaties erachter dat zij over veel meer gegevens beschikten dan nodig was voor de uitvoering van hun werkzaamheden. “Inmiddels hebben onze leden hun processen onder de loep genomen. Zij willen er zeker van zijn geen onnodige gegevens op te vragen en dat de gegevens die wel nodig zijn op een juiste manier worden verwerkt. Daarnaast troffen organisaties maatregelen zoals bijvoorbeeld het beveiligen van het e-mailverkeer.” Een goede voorbereiding… Rob Stadt was lang voor de komst van de AVG al bezig mensen bewust te maken van de privacywetgeving. “Met de plicht om het BSN te gebruiken (2009) diende ook de norm voor informatiebeveiliging voor de zorg (NEN 7510) te worden geïmplementeerd. Lang niet alle zorgorganisaties zijn daar meteen mee aan de slag gegaan, met als gevolg dat de impact van de AVG nu zorgbreed groot is. Implementatie van de AVG kost tijd, capaciteit en geld. Processen moeten worden aangepast en vaak is er nieuwe software nodig. De bijbehorende kosten kunnen niet worden doorberekend in de tarieven. Dat maakte de drempel om tijdig met de AVG te starten een stuk hoger.” Verandering kost tijd Dat de implementatie van de AVG uitdagingen met zich mee brengt, blijkt ook uit een rondvraag onder de leden van Sociaal Werk Nederland. Het kost veel tijd om de processen aan te passen en mensen zijn soms huiverig voor het digitaal verwerken van gegevens. Van Elten: “De implementatie van de AVG is helemaal aan de markt overgelaten. Het gevolg is dat er verschillende interpretaties ontstaan zijn over de invulling van de AVG. Die verschillen zie je terug in de praktijk.” Over het AVG-proof maken van de organisaties in het sociaal domein zegt ze: “Het ligt vaak nèt aan die ene kartrekker die er voortvarend mee aan de slag gaat. Je kunt niet zeggen dat in grotere organisaties met wat meer financiële ruimte, de implementatie automatisch ook soepeler verloopt dan in kleinere.” Vragen uit de praktijk “Je ziet dat organisaties nog zoeken hoe ze de wetgeving kunnen aansluiten op hun dagelijkse praktijk”, zegt Stadt. “Zo vragen zorgverleners zich bijvoorbeeld af welke gegevens van patiënten zij mogen verstrekken aan zorgverzekeraars. Enerzijds vraagt de zorgverzekeraar namelijk via een contractuele verplichting om gegevens van patiënten, anderzijds is de zorgverlener zelf verwerkingsverantwoordelijk voor die gegevens. Dat is een lastige afweging.” Belangrijk doel van de AVG is het borgen van het vertrouwen. Stadt hierover: “Dat sluit aan bij een maatschappij waarin ‘impliciet vertrouwen’ migreert naar een behoefte aan ‘expliciete zekerheid’. Een goede zaak, want het vertrouwen van patiënten is het hoogste goed, maar is ook heel kwetsbaar.” De AVG richt zich op de bescherming van, en zeggenschap over persoonsgegevens van betrokkenen en dat is naar de overtuiging van Stadt noodzakelijk. “We hebben allemaal in het nieuws gezien hoe terecht verontwaardigd mensen zijn als zij de zeggenschap over hun eigen gegevens kwijt zijn.” Stadt refereert hiermee aan de problemen waarin Facebook verzeild raakte nadat bekend werd dat Cambridge Analytica ongeoorloofd persoonsgegevens van miljoenen Facebookgebruikers had verzameld. Nieuwe initiatieven Ook Van Elten ziet een positieve ontwikkeling binnen het sociaal domein in Nederland. “Organisaties worden zich steeds meer bewust van het risico dat gegevens op straat kunnen komen te liggen. Met de komst van de AVG is er sowieso meer aandacht voor veilig omgaan met persoonsgegevens en uit die aandacht ontstaan mooie ideeën.” Ervaringen met de AVG-Helpdesk In mei 2018 startte het ministerie van VWS, in samenwerking met twaalf koepelorganisaties uit de zorg en het sociaal domein, met de AVG-Helpdesk voor Zorg en Welzijn. Ook het KNGF en Sociaal Werk Nederland behoren tot de founding partners van dit initiatief en hun achterban maakt regelmatig gebruik van deze helpdesk. Wat zijn hun ervaringen? Van Elten: “In eerste instantie heb ik de AVG-Helpdesk vooral zelf gebruikt om vragen van onze leden te beantwoorden. Ik wilde even afwachten hoe het ging lopen. Inmiddels weet ik dat de medewerkers achter de helpdesk kundig zijn en snel reageren. Ook de website begint zich steeds meer te vullen. Nu breng ik de AVG-Helpdesk voor Zorg en Welzijn dan ook graag en regelmatig onder de aandacht bij onze achterban.” Ook Stadt verwijst leden van de KNGF graag naar de AVG-Helpdesk. “Organisaties zijn zich meer bewust van privacyregelgeving en de dreiging van een scherper toezicht zorgt voor onrust. Die onrust neemt toe bij tegenstrijdige informatie of adviezen en wil je voorkomen.” Vanuit dat idee is dit geslaagde, unieke en domeinoverstijgende samenwerkingsinitiatief ontstaan. “De AVG-Helpdesk biedt betrouwbare en met de toezichthouder afgestemde informatie. Uniek, door het aantal betrokken partijen”, vindt Stadt. “En omdat het gaat over de bedóeling achter de AVG en de noodzaak dat met zijn allen waar te maken.” Verbeterpunten Natuurlijk zijn er ook nog punten waarop de AVG-Helpdesk voor Zorg en Welzijn zich kan verbeteren. Zo meent Stadt dat de Helpdesk verschillende ‘secties’ zou kunnen hebben om beter op verschillende behoeftes in te kunnen spelen. “En ik zou een RSS-feed erg waarderen. Als er nieuwe content wordt geplaatst of als bestaande vragen en antwoorden worden aangepast, zou ik daar graag een melding van krijgen. Een geactualiseerd antwoord kan nogal wat consequenties hebben.” De AVG-Helpdesk is nog volop in ontwikkeling. Zo is het aantal deelnemende koepelorganisaties inmiddels gegroeid naar ruim 20 en is het AVG-team continu op zoek naar actuele vragen en antwoorden binnen de zorg en het sociaal domein. Eén van die onderwerpen is de praktische uitvoering van het recht op vergetelheid. Dat blijkt in de praktijk namelijk helemaal niet zo eenvoudig. Medische dossiers mogen vaak wettelijk gezien niet vernietigd worden, ook niet als de patiënt of cliënt daarom vraagt. Door te overleggen met organisaties als de Autoriteit