Verbieden Whatsapp bij artsen klein bier voor in grote privacy-zaken stille Autoriteit Persoonsgegevens

Al enige tijd, maar vooral na de jaarwisseling, laat de Autoriteit Persoonsgegevens(AP), voorheen het College bescherming Persoonsgegevens(CBP), van zich horen door het doen van ferme uitspraken. Het gaat dan bijna altijd om privacy-gaan, die op de keper beschouwd als “klein bier” te beschouwen zijn. Zo ging het in januari 2016 ook over camera’s in sauna’s. en in vrachtwagencabines. Grote privacy-zaken worden mondjesmaat aangepakt. Privacy-zaken die de samenleving op dit moment sterk bezig houden, zoals de schendingen van privacy in de jeugdzorg en rond de Suwinet-problematiek krijgen nauwelijks aandacht. Doorzettingsmacht toont de AP daarin nauwelijks. Vaak wordt eerder aangestuurd op nieuwe wetgeving om privacy-gaten te dichten dan dat de AP er uitspraken over doet.

Whatsapp

De aanleiding voor het schrijven van dit artikel is de ruime aandacht in de media die het verbieden van het gebruik van WhatApp door artsen kreeg. De AP meldt op de website van Medisch Contact zelfs dat een individuele arts een bestuurlijke boete opgelegd kan krijgen als de privacy van een patiënt geschonden is. Krachtige taal, maar uit de AP zich altijd op diezelfde wijze bij andere zaken? Laat de AP de tanden wel echt zien bij grote schendingen van de privacy? Helaas moet aan de hand van enkele voorbeelden vastgesteld worden dat die fermheid toch heel beperkt is en vrijwel nooit getoond wordt als het gaat door privacy-overtredingen door de lokale of hogere overheden.

Undermanned/Understaffed

De privacy-waakhond is door de politiek met financiële middelen fors gemuilkorfd. In het afscheidsinterview in de NRC van de voormalige voorzitter van het CBP, Jacob Kohnstamm, gaf hij aan dat een vervijfvoudiging van het budget nodig was om het CBP, Nu AP, naar behoren de taken te laten verrichten. Er kwam geen budgetverruiming, waardoor de AP zelf aangeeft per jaar maar 15 tot 20 grote zaken te doen. Het is daarbij ook maar de vraag wat onder groot verstaan wordt.

Jeugdzorg-1

Bij de grote veranderingen in de zorg speelt ook de overheveling van de jeugdzorg richting gemeenten wat betreft het uitvoeren en de financiering. Inmiddels is het wijd en zijd bekend dat binnen de gemeenten teveel mensen, meestal zonder medische beroepsgeheim weet hebben van de meest gevoelige details van cliënten. Gegevens worden gecommuniceerd over onbeveiligde verbindingen. Het meest stuitende is dat de ouders van cliënten onder druk worden gezet bij de huisarts het volledige medische dossier uitgeprint op te vragen en te overhandigen aan niet aan enig beroepsgeheim gebonden gemeenteambtenaren. Bij bezwaren krijgt men te horen dat er anders niet over de casus beslist kan worden. Horen we hier de AP krachtig over oordelen en gemeenten openlijk dreigen met boetes? Neen.

Jeugdwet-2

Op dit moment is er een veegwet voor de jeugdzorg in de maak, wetsontwerp 34111. In de eerder van kracht geworden Jeugdwet staat in artikel 7.4 dat de Colleges van burgemeester en wethouders van gemeenten verplicht zijn om incidenteel dan wel systematisch informatie verkregen in het kader van de jeugdhulpverlening door te leveren aan de ministers van Volksgezondheid, Welzijn en Sport en aan die van Veiligheid en Justitie. Het is bedoeld voor het gebruik bij beleidsontwikkeling, maar kan onvoorzien toch een eigen leven gaan lijden. Over dat soort onderwerpen spreekt de AP bij het maken van de genoemde veegwet af en toe mee, maar er wordt naar buiten toe geen duidelijk signaal over afgegeven. Daardoor is alles niet bepaald transparant.

Suwinet

Dit is de koppeling van diverse grote overheidsbronbestanden waardoor veel data van een burger in één klap opgevraagd kunnen worden. Het is opgezet in het kader van de wet Syri, afkorting van Systeem Risico Indicatie. Jacob Kohnstamm noemde het als voorzitter van het CBP zelfs een regelrechte ramp. Recent bleek dat van een steekproef bij dertien gemeenten slechts bij twee de protocollen en hantering op orde waren. De AP schetste bij het publiceren van het onderzoek toch nog een rooskleurig beeld. Er viel niets te bespeuren van bestuurlijke dwang, geen dreigement met boetes. Eerst gaat men de betrokken gemeenten weer wat maanden volgen en daarna beslist men weer verder.

LSP

Ook bij het Landelijk SchakelPunt(LSP) is er niet sprake van spraakmakende acties. Bij de start werd een beoordeling van het doorstartmodel gegeven dat positief was, maar het toenmalige CBP stelde toen zelfs al dat zulks niets zei over het daadwerkelijke functioneren. Een beoordeling van de praktijk daarvan heeft tot heden niet plaatsgevonden. Een onderzoek over het geven van opt-in-toestemmingen leverde een flink aantal manco’s op. Het CBP koos niet voor het gelijk publiceren van die manco’s en krachtige taal uitslaan, maar liet de beheerder van het LSP, VZVZ eerst weerwoord EN correctie van gemaakt fouten toe, alvorens een gematigd oordeel publiek te maken.

Brede borst

De Autoriteit Persoonsgegevens wekt de indruk vooral een ferme indruk te wekken in kleinere privacy-zaken die niet direct overheden betreffen. Waar het overheden betreft is er dan geen ferme standpuntbepaling, maar vaak een sturende beweging naar een in de ogen van de AP redelijke oplossing. Daarbij wordt ook nog weleens een signaal richting politiek afgegeven om het gemelde probleem door weer nieuwe wetgeving op te lossen.

W.J. Jongejan