Protocol Sociaal Domein - Omgang met persoonsgegevens 2026-2028

Protocol Sociaal Domein - Omgang met persoonsgegevens 2026-2028 Inleiding Het sociaal domein en integrale dienstverlening Het sociaal domein omvat de gemeentelijke verantwoordelijkheden op het gebied van werk, participatie, zorg, zelfredzaamheid en jeugdhulp. Voor de uitvoering hiervan zijn verschillende wetten van toepassing, waaronder de Wet maatschappelijke ondersteuning 2015 (Wmo 2015), de Participatiewet (Pw), de Jeugdwet (Jw) en de Wet gemeentelijke schuldhulpverlening (Wgs). Daarnaast voert de gemeente ook taken uit die voortkomen uit de Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte werkloze werknemers (IOAW) en de Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ). Sinds 2022 is daar de Wet inburgering 2021 (Wi 2021) bij gekomen, die de gemeente verantwoordelijk maakt voor de begeleiding en ondersteuning van inburgeringsplichtigen. Het sociaal domein reikt verder dan deze nationale kaders. Ook de uitvoering van internationale en nationale regelingen, zoals de Europese Richtlijn Tijdelijke Bescherming (RTB) en de daarop gebaseerde Regeling opvang ontheemden Oekraïne (RooO), vallen onder de taken die de gemeente uitvoert binnen dit domein. Deze taken richten zich op de opvang, huisvesting en begeleiding van ontheemden die tijdelijk in Nederland verblijven. Niet alle gemeentelijke taken vallen echter binnen de reikwijdte van dit protocol. Taken die voortkomen uit de Leerplichtwet (Lpw) en de Wet publieke gezondheid (Wpg), zoals leerplichttoezicht of de uitvoering van jeugdgezondheidszorg door de GGD, maken hier geen deel van uit. Dit protocol richt zich specifiek op die taken waarbij het ondersteunen en begeleiden van inwoners op sociaal-maatschappelijk terrein centraal staat. Sinds de decentralisatie verwerkt de gemeente meer persoonsgegevens en is samenwerking tussen domeinen en professionals noodzakelijk. Uitgangspunt is integrale dienstverlening: problemen van inwoners worden in samenhang bekeken en er wordt gewerkt volgens het principe één gezin, één plan, één aanpak. Het delen van gegevens is daarbij soms onmisbaar, maar altijd een middel en nooit een doel op zich. Medewerkers verwerken of delen gegevens alleen wanneer dit strikt noodzakelijk is voor de hulpvraag en binnen de wettelijke kaders. Inwoners van de gemeente Dronten moeten erop kunnen vertrouwen dat hun privacybelangen altijd zorgvuldig worden beschermd. 1. Inhoud 2.Doel en uitgangspunten van het protocol 3.Visie op privacy en gegevensbescherming 4.Reikwijdte 5.Juridische grondslagen 6.Wettelijk kader per domein Verwerkte persoonsgegevens: Van de inwoner (cliënt) Van mantelzorgers of vertegenwoordigers Van derden die een melding of signaal doen Van betrokken organisaties of partners 7.Binnengemeentelijke samenwerking 8.Uitwisseling van gegevens Waarborging en toezicht 9.Afwijken van de informatieplicht 10.Beroepsgeheim en integrale gegevensverwerking Uitzonderingen op het beroepsgeheim Zorgvuldigheid en vastlegging Samenwerkingen met andere partijen 11.Rechten van betrokkenen 12.Beveiliging en bewaartermijnen 13.Verantwoordelijkheden 14.Evaluatie 2. Doel en uitgangspunten van het protocol Dit protocol maakt duidelijk waarom en hoe persoonsgegevens binnen het sociaal domein worden verwerkt en welke waarborgen gelden om de privacy van betrokkenen te beschermen. Burgers die zich met een hulpvraag tot de gemeente Dronten wenden, bevinden zich vaak in een kwetsbare en afhankelijke positie. Het kan ingrijpend of zelfs beschamend zijn om persoonlijke problemen te delen met de overheid. Daarom is het cruciaal dat inwoners erop kunnen vertrouwen dat hun gegevens veilig en zorgvuldig worden behandeld. Afspraken en uitgangspunten: •Verwerking vindt plaats conform de AVG, de UAVG en de relevante domeinwetten. •De hulpvraag van de inwoner is altijd leidend: gegevens worden uitsluitend verwerkt of gedeeld wanneer dit rechtstreeks verband houdt met die vraag. •Inwoners worden altijd geïnformeerd over wat er met hun gegevens gebeurt en waarom, in lijn met het transparantiebeginsel. •Vroegtijdige signalering en samenwerking met ketenpartners zijn belangrijk om inwoners goed te kunnen ondersteunen, maar dit gebeurt altijd met een zorgvuldige afweging van de privacybelangen. •Medewerkers sociaal domein maken per casus een afweging op basis van doelbinding, proportionaliteit en subsidiariteit. •Waar mogelijk worden gegevens voor vraagverheldering en een plan van aanpak samen met de inwoner vastgesteld; het heeft de voorkeur dat de inwoner aanwezig is bij overleg. •Alleen medewerkers die vanuit hun wettelijke taak direct betrokken zijn, hebben toegang tot het volledige dossier in de daartoe bestemde systemen. 3. Visie op privacy en gegevensbescherming De gemeente Dronten ziet privacy niet alleen als een wettelijke verplichting, maar vooral als een voorwaarde voor vertrouwen tussen inwoner en gemeente. Alleen wanneer inwoners erop kunnen rekenen dat zorgvuldig met hun gegevens wordt omgegaan, kunnen wij samen werken aan passende en integrale ondersteuning. Vanuit die overtuiging hanteren wij de volgende kernwaarden: • Vertrouwen Wij gaan respectvol en zorgvuldig om met de persoonlijke informatie die inwoners met ons delen. Gegevens worden alleen gebruikt voor het doel waarvoor ze zijn verstrekt, en nooit méér dan nodig. • Duidelijkheid Wij communiceren helder en begrijpelijk over wat wij doen met persoonsgegevens. Inwoners krijgen geen onnodige complexiteit of vakjargon, maar duidelijke uitleg en inzicht. • Nabijheid en toegankelijkheid Wij willen dat inwoners zich gehoord en gezien voelen. Vragen over het gebruik van hun gegevens kunnen altijd gesteld worden, en de gemeente is laagdrempelig bereikbaar voor toelichting. • Transparantie Wij leggen altijd uit waarom gegevens nodig zijn, met wie ze worden gedeeld en hoe de bescherming ervan is geborgd. Er wordt niets gedaan zonder dat de inwoner daar – binnen de wettelijke kaders – van op de hoogte is. 4. Reikwijdte De verwerking van persoonsgegevens binnen het sociaal domein raakt veel verschillende beleidsterreinen en medewerkers. Om misverstanden te voorkomen is het belangrijk dat helder is voor wie dit protocol geldt en in welke situaties. Afspraken: •Dit protocol geldt voor alle medewerkers die betrokken zijn bij taken binnen het sociaal domein, inclusief ingehuurde krachten, stagiairs en vrijwilligers.. •Het omvat onder andere de uitvoering van de Jeugdwet, de Wet maatschappelijke ondersteuning 2015 (Wmo 2015), de Participatiewet en de Wet gemeentelijke schuldhulpverlening (Wgs). De uitvoering van de Wgs is door de gemeente Dronten gemandateerd aan Maatschappelijke Dienstverlening Flevoland (MDF). Dit betekent dat MDF bij de verwerking van persoonsgegevens optreedt namens de gemeente en zich net als gemeentelijke medewerkers moet houden aan de uitgangspunten en bepalingen van dit privacyprotocol.Ook ketensamenwerkingen vallen binnen de reikwijdte, mits er sprake is van gegevensverwerking door of namens de gemeente Dronten. 5. Juridische grondslagen Persoonsgegevens mogen alleen verwerkt worden als daar een wettelijke grondslag voor is. Het is belangrijk dat medewerkers weten op basis van welke wet of rechtsgrond gegevens mogen worden verwerkt. Dit voorkomt willekeur en borgt de rechtmatigheid van de verwerking. De volgende grondslagen kunnen van toepassing zijn op de verwerkingen binnen het sociaal domein: •een wettelijke verplichting; •de uitvoering van een taak van algemeen belang of openbaar gezag; •de uitvoering van een overeenkomst; •een vitale belangenafweging; •ondubbelzinnige toestemming van de betrokkene. Zonder een van deze grondslagen is verwerking niet toegestaan. •Voor bijzondere persoonsgegevens gelden strengere regels: deze mogen alleen verwerkt worden wanneer dit strikt noodzakelijk is voor de uitvoering van de Jeugdwet (Jw), de Wet maatschappelijke ondersteuning 2015 (Wmo 2015), de Participatiewet (Pw), de Wet gemeentelijke schuldhulpverlening (Wgs), de Wet inburgering 2021 (Wi 2021) of andere toepasselijke wettelijke regelingen die de gemeente uitvoert binnen het sociaal domein.Medewerkers verwerken nooit méér gegevens dan noodzakelijk voor de uitvoering van hun taak (dataminimalisatie). 6. Wettelijk kader per domein Elke domeinwet geeft de gemeente Dronten specifieke taken en verantwoordelijkheden. Dit vormt ook de juridische basis voor de verwerking van persoonsgegevens. Medewerkers moeten begrijpen waarom zij gegevens mogen gebruiken en welke wettelijke kaders daarbij horen. Wettelijk kader per domein: Domein Relevante artikelen Jeugdwet - Art. 2.3 → Toegang/toekenning jeugdhulp - Art. 7.3.11 → Geheimhouding & gegevensverwerking - Art. 7.1.2 → Verwijsindex risicojongeren (VIR) - Art. 7.4.0–7.4.1 → Gebruik voor onderzoek/beleid Wmo 2015 - Art. 2.1.1 → Verantwoordelijkheid gemeente - Art. 2.3.8 → Medisch advies - Art. 6.1 → Verwerking persoonsgegevens - Art. 6.2–6.3 → Toestemming & medische gegevens Participatiewet - Art. 7 → Zorgplicht ondersteuning/re-integratie - Art. 17 → Inlichtingenplicht inwoner - Art. 53a e.v. → Handhaving & fraudeonderzoek - Art. 64 → Gegevensuitwisseling met bestuursorganen Wet gemeentelijke schuldhulpverlening (Wgs) - Art. 2 → Vroegsignalering schulden - Art. 3 → Verantwoordelijkheid gemeente - Art. 8 → Verwerking persoonsgegevens Algemene kaders (AVG/UAVG) - AVG art. 6 → Verwerkingsgrondslagen (wettelijke plicht, taak algemeen belang, vitale belangen, toestemming) - AVG art. 9 → Bijzondere persoonsgegevens - UAVG art. 30 → Strafrechtelijke gegevens Verwerkte persoonsgegevens De volgende categorieën gegevens kunnen worden verwerkt op basis van benoemde grondslagen in de tabel van het wettelijk kader : Van de inwoner (cliënt): •Basisgegevens: naam, adres, woonplaats, geboortedatum, geslacht, contactgegevens, Burgerservicenummer. •Identificatiegegevens: kopie ID of ander document voor verificatie van identiteit (indien wettelijk vereist). •Gegevens met betrekking tot de hulpvraag, motivatie en beoogd resultaat. •Gegevens over voorzieningen of ondersteuning die eerder zijn ingezet of aangevraagd. •Financiële gegevens: inkomen, vermogen, schulden, uitkeringen (voor zover relevant voor Wmo, Participatiewet of schuldhulpverlening). •Gezondheidsgegevens: informatie over lichamelijke of psychische beperkingen, indicaties of medische adviezen (voor zover noodzakelijk voor de Jeugdwet en Wmo). •Gegevens over gezinssituatie en leefgebieden, zoals: wonen, dagbesteding, opleiding, werk, opvoeding en veiligheid. Van mantelzorgers of vertegenwoordigers: •Naam en contactgegevens. •Relatie tot de inwoner. •Voor zover noodzakelijk: informatie over inzetbaarheid en draagkracht. Van derden die een melding of signaal doen: •Naam, contactgegevens en functie (bij meldingen vanuit organisaties of professionals). •Inhoud en reden van de melding. •Eventueel of de inwoner al is geïnformeerd over de melding. Van betrokken organisaties of partners: •Naam van de organisatie en contactpersoon. •Relevante gegevens die nodig zijn voor afstemming en samenwerking, voor zover toegestaan door wetgeving. 7. Binnengemeentelijke samenwerking Binnen de gemeente kan het sociaal domein samenwerken met andere domeinen, zoals veiligheid, belastingen of handhaving. Deze gegevensuitwisseling is alleen toegestaan als daar een geldige wettelijke grondslag voor is (bijvoorbeeld de Jeugdwet, Wmo 2015, Participatiewet, Wgs, Wet politiegegevens). Het veiligheidsdomein valt onder andere wetgeving dan het sociaal domein. Gegevensuitwisseling is dus alleen mogelijk: •als dit noodzakelijk is voor de taakuitvoering, én •als er een duidelijke wettelijke basis is, of •wanneer de inwoner hiervoor expliciet toestemming heeft gegeven. Uitwisseling van signalen richting het veiligheidsdomein (bijvoorbeeld bij huiselijk geweld of ernstige overlast) gebeurt uitsluitend waar de wet dit toestaat, zoals bij een melding bij Veilig Thuis of in het kader van een veiligheidshuis. De medewerkers leggen in het dossier altijd vast welke gegevens zijn gedeeld, met wie, en op welke grondslag. 8. Uitwisseling van gegevens Het sociaal domein kent daarnaast intensieve samenwerking met ketenpartners, zoals zorgaanbieders, scholen, woningcorporaties en justitiepartners. Voor een goede uitvoering van de Jeugdwet, de Wmo 2015, de Participatiewet en de Wet gemeentelijke schuldhulpverlening is het vaak noodzakelijk om persoonsgegevens uit te wisselen. Dit brengt risico’s met zich mee, waardoor zorgvuldige afwegingen en afspraken onmisbaar zijn. Uitgangspunten bij gegevensdeling: •Gegevens worden uitsluitend gedeeld wanneer dit noodzakelijk, proportioneel en doelgericht is. •Alleen de strikt noodzakelijke gegevens worden verstrekt, nooit méér dan nodig voor het beoogde doel. •Iedere verstrekking moet herleidbaar zijn naar een wettelijke grondslag (AVG of domeinwet). •Ontbreekt een grondslag? Dan is toestemming van de inwoner vereist, vooraf en aantoonbaar. Mogelijke ontvangers van gegevens zijn onder meer: •Gecontracteerde zorgaanbieders en jeugdhulpverleners; •Re-integratiebedrijven of jobcoaches; •Medisch adviseurs die de gemeente ondersteunen; •Woningcorporaties (bijv. schuldhulpverlening of woonbegeleiding); •Gecertificeerde instellingen voor jeugdbescherming en jeugdreclassering; •De Sociale Verzekeringsbank (SVB), bij o.a. PGB’s; •Veilig Thuis en andere organisaties voor veiligheid en kindbescherming; •Justitiepartners en het Veiligheidshuis, wanneer dit wettelijk is toegestaan; •Onderwijsinstellingen of de leerplichtambtenaar, indien relevant bij jeugdigen. Waarborging en toezicht •Bij samenwerking met externe partijen worden waar nodig afspraken vastgelegd in een samenwerkingsovereenkomst, convenant en/of verwerkersovereenkomst. •Bij twijfel of bij gevoelige casuïstiek kan de medewerker een beroep doen op de Privacy Officer of Functionaris Gegevensbescherming voor toetsing en advies. 9. Afwijken van de informatieplicht De informatieplicht is een belangrijk beginsel uit de AVG (artikelen 13 en 14). Inwoners moeten in principe altijd geïnformeerd worden wanneer hun persoonsgegevens worden verzameld of ontvangen van derden. Dit waarborgt transparantie en vertrouwen. In het sociaal domein zijn er echter situaties waarin het niet wenselijk of zelfs schadelijk kan zijn om betrokkene direct te informeren. Bijvoorbeeld bij meldingen van huiselijk geweld, kindermishandeling, fraude of andere situaties waarin de veiligheid van de inwoner of diens omgeving in gevaar kan komen, of het informeren het doel van het onderzoek zou ondermijnen. De AVG (art. 14 lid 5) en de uitvoeringspraktijk voorzien in een aantal gerechtvaardigde argumenten om (tijdelijk) van de informatieplicht af te wijken: •ter voorkoming of opsporing van strafbare feiten; •ter bescherming van betrokkene zelf; •in het belang van de rechten en vrijheden van anderen. Afwijken van de informatieplicht mag dus alleen in uitzonderlijke gevallen en moet altijd zorgvuldig worden afgewogen. De beslissing om (tijdelijk) niet te informeren wordt gemotiveerd en schriftelijk vastgelegd in het dossier, inclusief de juridische of feitelijke gronden. Zodra de omstandigheden het toelaten, wordt betrokkene alsnog geïnformeerd over de verwerking van zijn of haar gegevens. 10. Beroepsgeheim en integrale gegevensverwerking Veel professionals die betrokken zijn bij het sociaal domein – zoals artsen, jeugdartsen, maatschappelijk werkers, psychologen en GGZ-behandelaars – hebben een beroepsgeheim op grond van de wet (o.a. de WGBO, de Wet BIG en de Jeugdwet). Dit beroepsgeheim verplicht hen om vertrouwelijke informatie van cliënten geheim te houden. Bij integrale gegevensverwerking moet daarom altijd de volgende hoofdregel gelden: het beroepsgeheim staat voorop. Gegevens die onder het beroepsgeheim vallen, mogen in principe alleen worden gedeeld met toestemming van de cliënt. Uitzonderingen op het beroepsgeheim Er zijn situaties waarin het beroepsgeheim doorbroken mag of zelfs moet worden: •Toestemming: wanneer de cliënt (of bij jeugdigen: ouders/gezaghebbenden) ondubbelzinnige en geïnformeerde toestemming heeft gegeven voor het delen van gegevens.\ •Wettelijke plicht: wanneer een wet de professional verplicht bepaalde gegevens te delen (bijvoorbeeld de Jeugdwet of de Wmo). •Conflict van plichten: wanneer zwijgen leidt tot ernstig nadeel of gevaar voor de cliënt of anderen, kan de professional besluiten zijn beroepsgeheim te doorbreken (bijvoorbeeld bij kindermishandeling of huiselijk geweld). •Vitaal belang: in noodsituaties waarin de gezondheid of veiligheid van een persoon ernstig in gevaar is en toestemming niet gevraagd kan worden, mag informatie worden gedeeld. Zorgvuldigheid en vastlegging Wanneer een professional besluit af te wijken van het beroepsgeheim, gelden strikte voorwaarden: •De afweging om gegevens te delen wordt zorgvuldig onderbouwd. •Er wordt altijd gekeken of minder ingrijpende alternatieven mogelijk zijn. •De beslissing en de motivering worden schriftelijk vastgelegd in het dossier. •Indien mogelijk wordt de cliënt achteraf alsnog geïnformeerd over het delen van de gegevens. Samenwerkingen met andere partijen Bij integrale gegevensverwerking betekent dit dat de gemeente Dronten: •respecteert dat netwerkpartners gebonden zijn aan hun beroepsgeheim, •in samenwerkingsovereenkomsten of convenanten vastlegt onder welke voorwaarden gegevens gedeeld mogen worden, •en medewerkers erop wijst dat zij bij twijfel altijd in overleg treden met de betreffende Privacy Officer en/of de Functionaris Gegevensbescherming. 11. Rechten van betrokkenen Burgers hebben rechten onder de AVG om grip te houden op hun gegevens. Deze rechten versterken het vertrouwen en vergroten de transparantie. Het is belangrijk dat medewerkers weten welke rechten er zijn, en een dergelijk verzoek herkennen. Afspraken: •Betrokkenen hebben recht op inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit. •Verzoeken worden binnen 1 maand afgehandeld, tenzij de complexiteit een verlenging rechtvaardigt. Dit wordt altijd in afstemming en samenwerking met de Privacy Officer gedaan. •Afwijzingen worden altijd gemotiveerd en schriftelijk vastgelegd. Voor jeugdigen gelden in aanvulling op de AVG specifieke regels uit de Jeugdwet en het Burgerlijk Wetboek met betrekking tot het uitoefenen van privacyrechten: •Kinderen tot 12 jaar: ouders of gezaghebbenden oefenen de rechten namens het kind uit. •Jeugdigen van 12 tot 16 jaar: zowel de jeugdige zelf als de ouders/gezaghebbenden oefenen de rechten gezamenlijk uit. Dit betekent dat beide partijen inzage kunnen vragen of correcties kunnen doorvoeren. •Jeugdigen vanaf 16 jaar: de jeugdige oefent zijn of haar rechten zelfstandig uit, tenzij er sprake is van onder curatele stelling of een andere wettelijke beperking. De gemeente Dronten beoordeelt bij verzoeken altijd of het belang van de jeugdige voldoende wordt beschermd. Wanneer het verstrekken van informatie aan ouders of gezaghebbenden in strijd komt met het belang van het kind, kan de gemeente Dronten besluiten bepaalde gegevens niet te verstrekken. Dit gebeurt ook altijd in afstemming met de Privacy Officer. 12. Beveiliging en bewaartermijnen De gemeente Dronten heeft een wettelijke plicht om persoonsgegevens te beveiligen. Beveiliging gaat niet alleen over IT-systemen, maar ook over gedrag van medewerkers. Daarnaast mogen gegevens niet langer bewaard worden dan nodig. De volgende passende technische en organisatorische maatregelen worden getroffen (art. 32 AVG): •Toegang tot systemen alleen met persoonlijke accounts en sterke wachtwoorden (geen gedeelde accounts). •Gebruik van twee-factorauthenticatie (2FA). •Logging en monitoring van toegang tot dossiers. •Encryptie (versleuteling) van gegevens tijdens opslag en verzending. •Regelmatige beveiligingsupdates. •Gebruik van beveiligde verbindingen. •Functiescheiding: alleen medewerkers die het echt nodig hebben, krijgen toegang tot persoonsgegevens. •Privacy- en securitytrainingen voor medewerkers, zodat zij weten hoe zorgvuldig met gegevens om te gaan. •Procedure voor datalekken, zodat iedereen weet hoe en waar een incident gemeld moet worden. •Afspraken met leveranciers en ketenpartners in de vorm van verwerkersovereenkomsten. •Gegevens worden bewaard conform de wettelijke bewaartermijnen (archiefwet, sectorwetgeving). •Na afloop van de bewaartermijn worden gegevens vernietigd of geanonimiseerd. 13. Verantwoordelijkheden Privacybescherming is een gezamenlijke verantwoordelijkheid. Toch zijn er specifieke rollen die formeel benoemd moeten worden, zodat duidelijk is wie waarvoor verantwoordelijk is. Afspraken: •Het College van B&W is eindverantwoordelijk voor de rechtmatige verwerking. •De Teammanagers Sociaal Domein zien toe op de uitvoering in de praktijk. •Medewerkers zijn verplicht zorgvuldig te handelen en dit protocol na te leven. •De Functionaris Gegevensbescherming houdt onafhankelijk toezicht en adviseert over naleving en risico’s. •De Privacy Officer ondersteunt en adviseert op vraagstukken of rechten van betrokkenen. 14. Evaluatie Wetgeving en praktijk veranderen voortdurend. Daarom moet dit protocol regelmatig getoetst en geactualiseerd worden. Dit garandeert dat het beleid actueel blijft en medewerkers houvast houden. Afspraken: •Dit protocol wordt ten minste eens per drie jaar geëvalueerd, of eerder wanneer daar aanleiding toe is. Medewerkers worden geïnformeerd over updates en krijgen zo nodig training.