Na het idee van de automatische toestemming voor de verwerking van medische gegevens introduceerde minister De Jonge gisteravond een app in de strijd tegen corona/ Covid-19. Inmiddels heeft de Minister voor de bouw van de app. Nieuw is het idee niet: in Zuid-Korea wordt al met succes een app ingezet en Engeland en Duitsland zijn bezig met de ontwikkeling. De minister gaf verschillende keren aan dat bij de ontwikkeling privacy voorop staat. Over de automatische toestemming hoorde ik hem niet meer. De voorzitter van de Autoriteit Persoonsgegevens gaf vanochtend op Radio 1 journaal aan dat hij niet vooraf geraadpleegd is. Eerder vroegen werkgevers zich al af of ze bijvoorbeeld de temperatuur van medewerkers mochten meten (zie mijn vorige blog). Nu zoekt de minister de randen op.
Als ik het goed begrepen heb zijn de plannen voor de app in strijd tegen corona/ Covid-19 als volgt. De overheid wil meer in gaan zetten op testen. Om de verspreiding van corona te voorkomen moet er wel iets met de testresultaten gebeuren. Als iemand positief is getest startte in het begin van de uitbraak de GGD na de melding een contactonderzoek. De GGD ging na met wie de besmette persoon allemaal contact had gehad en bracht dit in kaart. Nadat de verspreiding een grote vlucht maakte, was dit voor de GGD niet meer te doen. In Friesland wordt hier overigens nog aan vast gehouden, in de andere delen van het land werd deze aanpak los gelaten.
Het idee van de app in strijd tegen corona/ Covid-19 is om dit werk van de GGD door een geautomatiseerd te laten doen, zo formuleerde De Jonge het. Een tweede app gaat de symptomen van de coronapatiënt monitoren.
Hoe is de verwerking nu georganiseerd?
Hoe is tot op heden de verwerking georganiseerd, hoe is de stroom van persoonsgegevens, wie verwerkt de gegevens over infecties en op welke grondslag?
De AVG verbiedt de verwerking van medische gegevens tenzij aan één van de voorwaarden uit lid 2 art. 9 is voldaan. De Wet publieke gezondheid is de wettelijke basis om deze gegevens toch te kunnen verwerken.
De eerste figuur in de reeks van verwerkingen is de arts. Deze is, als hij een besmetting constateert, op basis van de WPG verplicht melding hiervan te doen bij de GGD. De geheimhoudingsplicht van de arts op grond van de Wet op de geneeskundige behandelingsovereenkomst (WGBO) wordt doorbroken door de WPG.
De arts geeft de volgende gegevens aan de GGD door:
- NAW-gegevens, BSN, geslacht, geboortedatum en verblijfplaats van de geïnfecteerde
- De soort infectieziekte, eerste ziektedag, vaccinatietoestand en gebruik van preventieve geneesmiddelen
- De vermoedelijke infectiebron, datum van vermoeden of vaststelling van de infectie en hoe de infectie is vastgesteld
Als het nodig is wordt ook vastgelegd of de persoon of iemand in zijn directe omgeving betrokken is bij de bereiding van eet- of drinkwaren of bij de verzorging, verpleging of behandeling van andere personen.
De GGD is dus de tweede figuur in de schakel van informatiedoorgifte over infecties. Voor de gegevens die zij van de artsen ontvangt is de GGD in termen van de AVG verwerkersverantwoordelijke. De bevoegdheden die de GGD heeft staan ook weer beschreven in de WPG evenals de voorschriften hoe gehandeld moet worden. De meest relevante hier zijn:
- Voor alle medewerkers van de GGD is een geheimhoudingsplicht opgenomen
- 6 geeft de GGD de bevoegdheid om bron- en contactopsporing te doen
- De GGD heeft daarvoor toegang tot het de landelijke basisregistratie personen, daar kunnen ze achterhalen wie nog meer ingeschreven staan op het adres van de besmette persoon.
- De gegevens van ouders, partner en kinderen mogen worden verstrekt
Het RIVM, de derde schakel ontvangt de gegevens geanonimiseerd van de GGD. Naast de gegevens over de infectie ontvangt het RIVM de volgende gegevens:
- Het geslacht
- De geboortedatum en geboortejaar
- De eerste drie cijfers van de postcode van het adres van de besmette persoon
Met deze geanonimiseerde gegevens maakt het RIVM dagelijks haar besmettingsoverzicht op de website. Ook de rol van het RIVM, de voorzitter van de veiligheidsregio en de Burgemeester zijn in de WPG beschreven.
Het schrikbeeld van de app
Kortom in de informatieketen over een corona besmetting worden nogal wat bijzondere gegevens verwerkt. In de huidige werkwijze zijn die wettelijk goed geborgd en kennen ze een gelaagdheid.
Daarmee kom ik op het eerste risico: worden dezelfde waarborgen gehanteerd bij de verwerking via een app? Of wordt in paniekvoetbal maar over de privacy aspecten heen gewalst? Het proefballonnetje van automatische toestemming en het feit dat de Minister voor de lancering van het idee voor de app, de AP niet op de hoogte heeft gebracht, voorspelt weinig goeds.
Het tweede risico is dat de technische mogelijkheden maatgevend worden bij de ontwikkeling. Ten opzichte van de wijze waarop het verwerkingsproces nu georganiseerd is, is er technisch veel meer mogelijk. Om te voorkomen dat ongebreideld persoonsgegevens worden verzameld moet de stand van de techniek niet de maatstaf worden bij de ontwikkeling. De AVG kent niet voor niets het beginsel van privacy by design.
Het derde risico is dat de overheid te veel gaat leunen op het concept van “Informationele zelfbeschikking”. Hieronder wordt verstaan het vermogen van een persoons om in beginsel zelf te bepalen in hoeverre persoonsgegevens worden gebruikt en verder bekend gemaakt. In zijn proefschrift “Informationele zelfbeschikking in de zorg” concludeerde Theo Hooghiemstra dat voor personen informationele zelfbeschikking in absolute zin een illusie is. Personen hebben geen volledige keuzevrijheid , ze kunnen niet overzien waarvoor zij kiezen en toestemming geven. Daarmee is het risico aangegeven van een keuze om voor de verwerking de grondslag toestemming te gebruiken
Kortom, aan de ontwikkeling van een app zoals voorgesteld door De Jonge kleven flinke risico’s. Aleid Wolfson meldde vanochtend dat de AP “strak en alert” toezicht zal gaan houden op de ontwikkeling. Laten we hopen dat de AP deze belofte met verve in lost.
Geboeid door dit artikel? Lees dan verder in mijn boek Lean Privacy: efficiënt werken met de AVG“.
Wil je meer lezen?
In mijn nieuwe boek beschrijf ik hoe organisaties efficiënt kunnen voldoen aan de AVG en tegelijkertijd klantvertrouwen en – waarde kunnen creëren met persoonsgegevens en privacy.
Door de werkprocessen waarbij persoonsgegevens worden verwerkt als uitgangspunt te nemen en die te begrijpen en te analyseren wordt de implementatie van de AVG stukken eenvoudiger en effectiever.
Door zo te werken, draagt de privacy verantwoordelijke bij aan de innovatie van de processen in plaats van de ontwikkeling te remmen. Medewerkers worden actief betrokken waardoor minder weerstand ontstaat en een beter privacy bewustzijn wordt gecreëerd.
Met deze aanpak wordt vertrouwen bij en zelfs waarde voor de klant geleverd.
In mijn boek leg ik uit hoe je de principes van leanmanagement kunt toepassen in het privacy domein.
Comments are closed.