REÏNTEGRATIE VAN BIJSTANDSGERECHTIGDEN EN PRIVACY. Verkennend onderzoek bij drie reïntegratiebedrijven. Onderzoeksrapport

REÏNTEGRATIE VAN BIJSTANDSGERECHTIGDEN EN PRIVACY Verkennend onderzoek bij drie reïntegratiebedrijven

Onderzoeksrapport

College bescherming persoonsgegevens - oktober 2005

Reïntegratie van bijstandsgerechtigden en privacy - oktober 2005

SAMENVATTING

In 2004 heeft het CBP een drietal reïntegratiebedrijven bezocht die reïntegratietrajecten verzorgen voor bijstandsgerechtigden. Met dit verkennende onderzoek werd beoogd een beter beeld te krijgen van de uitvoeringspraktijk bij reïntegratie. Het ging daarbij om twee hoofdvragen. Hoe verhoudt het juridische kader voor de verwerking van persoonsgegevens zich tot de alledaagse praktijk? En ten tweede om de vraag of reïntegratiebedrijven bij het uitvoeren van hun opdrachten specifieke problemen ondervinden als gevolg van de regels voor de verwerking van persoonsgegevens.

Het CBP komt tot de volgende conclusies. – De manier waarop reïntegratiebedrijven persoonsgegevens verwerken wordt voor een groot deel bepaald door de opdrachtgevers, de gemeenten. De onderzochte reïntegratiebedrijven opereren in een vechtmarkt waarin contracten jaarlijks vernieuwd worden. De onderhandelingspositie is zwak. – De machtspositie van de opdrachtgevers beperkt de mate waarin reïntegratiebedrijven verantwoordelijkheid kunnen nemen voor de verwerking van persoongegevens terwijl de WBP dit wel van hen verlangt. De opdrachtgevers bepalen voor een belangrijk deel de regels en de contracteisen. Reïntegratiebedrijven vragen zich af of bijvoorbeeld de uitgebreide verantwoording wel terecht wordt geëist. De indruk bestaat dat gemeenten vaak meer vragen dan noodzakelijk is. – De vraag of de verwerking van bepaalde gegevens noodzakelijk is, wordt niet of te weinig gesteld. In de uitvoeringspraktijk zijn de medewerkers van de bedrijven vooral pragmatisch. Opdrachtgevers lijken om uitvoerige terugrapportages te vragen. Het onderzoek is voor het CBP aanleiding de gemeenten te attenderen op het toepassen van het noodzakelijkheidscriterium wanneer zij aan reïntegratiebedrijven eisen stellen voor de terugrapportages. – Het privacybewustzijn bij de medewerkers is laag. Mede daarom ervaren de medewerkers van de reïntegratiebedrijven de privacyregels niet als een belemmering voor het uitvoeren van hun werk. Medewerkers komen eigenlijk niet toe aan de vraag of het huidige wettelijk kader voldoende houvast biedt. Zij zijn zich weinig bewust van de vaak open normen die een individuele afweging nodig maken. – Het CBP heeft geen aanwijzingen dat dit lage privacybewustzijn structureel leidt tot een onzorgvuldige omgang met persoonsgegevens. Alle drie de bedrijven beschikken over de wettelijk verplichte privacy- en klachtenreglementen. Medewerkers streven er naar om fatsoenlijk met cliënten om te gaan. Vanuit dit perspectief maken zij de afweging wat wel en wat niet acceptabel is. Veelal komt dit overeen met de geldende privacyregels. – Het CBP doet onder meer op grond van dit onderzoek de aanbeveling het privacybewustzijn bij de medewerkers te vergroten. Het zou goed zijn wanneer de eisen die de wet op dit punt stelt, praktisch worden uitgewerkt voor het dagelijkse werk. Een gedragscode die door de gehele branche onderschreven wordt, kan hieraan een grote bijdrage leveren. Het CBP is de drie betrokken bedrijven erkentelijk voor hun medewerking aan het onderzoek.

Reïntegratie van zieke werknemers en privacy - oktober 2005

INLEIDING Voor uitkeringsinstellingen gelden op grond van de sociale zekerheidswetgeving allerlei strenge regels ten aanzien van de geheimhoudingsplicht, de beveiliging van de geautomatiseerde systemen en de voorwaarden waaronder zij gegevens mogen verwerken. Het gaat hier immers om zeer persoonlijke, vaak medische, gegevens die een uitkeringsgerechtigde verplicht is ter beschikking te stellen aan een uitkeringsinstantie om in aanmerking te komen voor een uitkering. De strenge regels zijn aanvullend op de WBP en hebben tot doel onzorgvuldig en verkeerd gebruik van deze gegevens te voorkomen. Uitkeringsgerechtigde burgers bevinden zich in een afhankelijke positie en een eventueel onzorgvuldige verwerking van hun gegevens kan verregaande consequenties voor hun (inkomens)positie hebben. Ook bij een verplichting tot medewerking moeten deze burgers er op kunnen vertrouwen dat hun persoonsgegevens zorgvuldig en rechtmatig verwerkt worden. Dat is niet alleen hun recht maar draagt tevens bij aan het welslagen van de reïntegratietrajecten. Een belangrijk onderdeel van de SUWI-operatie (Structuurorganisatie Werk en Inkomen) was de keuze van het tweede kabinet Kok om de reïntegratie van WAO-, WW- en bijstandsgerechtigden over te laten aan marktpartijen. Op grond van de SUWI-wetgeving werden uitkeringsinstellingen verplicht om reïntegratietrajecten in te kopen bij (private) reïntegratiebedrijven. De wet maakte het daarbij mogelijk om in het kader van deze trajecten ook persoonsgegevens uit te wisselen. Het ligt voor de hand dat de strenge regels waaraan de uitvoeringsinstellingen zich moeten houden ook voor reïntegratiebedrijven zouden gelden. Deze verwerken immers dezelfde gegevens. Het CBP heeft daarom in zijn adviezen over de wet SUWI, de Wet verbetering Poortwachter en ook de Wet werk en bijstand herhaaldelijk aangedrongen op specifieke regels ten aanzien van het gegevensverkeer bij reïntegratie. Dit advies is niet gevolgd. In de SUWI-wetgeving zijn slechts de basisbeginselen voor het verwerken van persoonsgegevens neergelegd, in de gedachte dat de marktpartijen zelf een nadere invulling hieraan zouden geven. Reïntegratiebedrijven hebben immers ook baat bij duidelijkheid over welke gegevens ze wel en welke ze niet mogen verwerken vanuit het oogpunt van aansprakelijkheid en een efficiënte bedrijfsvoering. Duidelijkheid voor de gehele branche voorkomt ook dat reïntegratiebedrijven ieder voor zich moeten uitzoeken wat wel en wat niet mag. De reïntegratiemarkt staat in principe open voor zelfregulering. De brancheorganisatie voor reïntegratiebedrijven, Borea, heeft een eerste aanzet gegeven om te komen tot een gedragscode. Het CBP staat hier positief tegenover en hoopt in de toekomst een gedragscode voor de reïntegratiebranche te kunnen goedkeuren. In de afgelopen jaren is echter ook gebleken dat het niet eenvoudig is om in de dagelijkse uitvoering aan de open normen uit de wet een juiste en ook werkbare invulling te geven. Het CBP heeft daarom een kleinschalig onderzoek gedaan naar de praktijk van de verwerking van persoonsgegevens door reïntegratiebedrijven. In dit rapport treft u hiervan de bevindingen aan. Naam persoon Functie

1 1.1 1.1.1 1.1.2 1.1.3

BEVINDINGEN EN BEOORDELING

De omgeving 7 Opdrachtgever 7 Reïntegratiebedrijven 7 Cliënt 8

In de gesprekken met medewerkers van de reïntegratiebedrijven is ook een informatief beeld ontstaan van het krachtenveld waarin de bedrijven werken. Van deze omgeving worden hier vooral belicht de rol van de opdrachtgevers, de plaats die reïntegratiebedrijven innemen bij de uitvoering van de WWB en de positie van de uitkeringsgerechtigde.

1.2 Bevindingen in de praktijk in relatie tot het juridische kader 8 1.2.1 Behoorlijk en zorgvuldig 8 1.3 Doelbinding en geheimhouding 9 1.3.1 Doelbinding 9 1.3.2 Geheimhouding 9 1.4 Noodzakelijkheid 9 1.4.1 Noodzaak van het verwerken van medische gegevens 10 1.5 Grondslag voor het verwerken: verzamelen, verwerken en verstrekken 11 1.5.1 Verstrekking door cliënt 11 1.5.2 Overdracht van sociale dienst aan reïntegratiebedrijf 11 1.5.3 Teruglevering aan sociale dienst door reïntegratiebedrijf 12 1.6 Informatieplicht en rechten van de betrokkene 12 1.6.1 Informatieplicht 12 1.6.2 Rechten van de betrokkene 12 1.6.3 Contracteisen 12 1.6.4 Reglementplicht 12 1.6.5 Klachten- en geschillenregeling 13 1.6.6 Accountantsverklaring 13

Reïntegratie van zieke werknemers en privacy - oktober 2005

1.1 De omgeving

1.1.1 Opdrachtgever Uitvoeringsinstituut werknemersverzekeringen (UWV) en gemeenten zijn sinds de invoering van de wet SUWI verplicht om reïntegratietrajecten in te kopen bij (private) reïntegratiebedrijven. De ratio hierachter is dat marktwerking zorgt voor een snellere, betere en efficiëntere toeleiding naar werk voor uitkeringsgerechtigden. De marktwerking die het ministerie van SZW voorstaat, lijkt een sterk concurrerende markt (vechtmarkt) tot gevolg te hebben waarin met name de opdrachtgevers (in dit geval de gemeenten) de spelregels bepalen. Reïntegratiebedrijven gaan akkoord met de voorwaarden die gemeenten stellen, omdat ze anders riskeren een contract mis te lopen. In de hectische reïntegratiemarkt kan een gemeente het zich veroorloven te zeggen ‘voor jou 10 anderen’. Naast hevige concurrentie leidt ook het stelsel van jaarlijkse gunningen tot een zwakke onderhandelingspositie omdat reïntegratiebedrijven elk jaar opnieuw de onderhandelingen met de opdrachtgever moeten aangaan over de te gunnen trajecten. Veel nadruk ligt op de verantwoordingsplicht die reïntegratiebedrijven hebben ten opzichte van hun opdrachtgevers. Voor alle drie de onderzochte bedrijven geldt dat de opdrachtgever in de afgesloten contracten gedetailleerd voorschrijft welke gegevens door de reïntegratiebedrijven teruggeleverd moeten worden. Ook bepaalt de opdrachtgever welke software hiervoor moet worden gebruikt. De medewerkers van één reïntegratiebedrijf geven aan dat ze vanwege de zwakke onderhandelingspositie geen serieus gesprek met de opdrachtgever durven aan te gaan over het uitwisselen van persoonsgegevens. Als de opdrachtgever naar hun idee te veel gegevens wil hebben, heeft het reïntegratiebedrijf dat maar te accepteren. Het is zogezegd ‘slikken of stikken’. De uitdrukking ‘wie betaalt bepaalt’ lijkt van toepassing op de reïntegratiemarkt. Twee bedrijven zijn ronduit kritisch over de opdrachtgevers. Een geeft aan het contract met de opdrachtgever te zullen beëindigen, omdat er toch geen geld mee is te verdienen. Een ander bedrijf spreekt van een ‘wurgcontract’. Het feit dat de bedrijven geen ruimte ervaren om met de opdrachtgever te onderhandelen, heeft ook consequenties voor de gegevensuitwisseling. Eén bedrijf merkte op dat de gemeente de verplichting oplegt de gehele rapportage (inclusief medische gegevens) aan de financiële afdeling van de gemeente te sturen ten behoeve van de afrekening. Zelf is het bedrijf van mening dat het voor de financiële verantwoording niet noodzakelijk is om het gehele dossier op te sturen. Hierover wordt met de gemeente echter geen discussie aangegaan.

1.1.2 Reïntegratiebedrijven In de afgelopen jaren is het aantal bedrijven dat reïntegratietrajecten aanbiedt, sterk toegenomen. In het type traject dat wordt aangeboden zitten grote verschillen. Sommige bedrijven zijn gespecialiseerd in het aanbieden van scholingstrajecten of werktoeleidingstrajecten, andere richten zich meer op het wegnemen van de beperkingen of de oorzaken van de arbeidsongeschiktheid. Ook de bezochte bedrijven gaan heel verschillend te werk. Bij één bedrijf is er sprake van een zeer intensieve begeleiding van de cliënten. Er wordt uitgebreid gekeken naar de achtergrond van cliënten, de woon- en leefomstandigheden en de mogelijke belemmeringen om weer aan het werk te gaan. Deze werkwijze is ook zichtbaar in de dossiers: er is veel (achtergrond)informatie over de cliënt in opgenomen. Een ander bedrijf geeft aan zo efficiënt mogelijk te werken. Dit komt voort uit het feit dat de contracten met de opdrachtgever op basis van ‘no cure, less pay’ zijn afgesloten. Dat wil zeggen dat wanneer een cliënt niet aan het werk is na afloop van

het traject, het reïntegratiebedrijf voor zijn inspanningen minder betaald krijgt. De resultaatgerichte werkwijze van het reïntegratiebedrijf betekent, zoals de medewerkers zeggen, dat er weinig tot geen aandacht is voor de beperkingen van cliënten. Alles is gericht op de mogelijkheden die cliënten nog wel hebben. De reïntegratietrajecten die dit bedrijf aanbiedt, zijn volledig gericht op het vinden van werk. Een veelzeggende uitspraak, gedaan door de manager van dit bedrijf, is dat er gewerkt wordt onder het motto ‘Niet lullen maar poetsen’. Deze aanpak vertaalt zich in de wijze waarop de dossiers worden bijgehouden. In de dossiers bevinden zich alleen de hoogst noodzakelijke gegevens om een traject in te zetten en te kunnen volgen. Het CBP heeft geen goed beeld gekregen van de reïntegratieactiviteiten van het derde bedrijf. Dit ondanks het feit dat het meer dan 20 dossiers heeft bekeken en gesprekken met medewerkers heeft gevoerd. Onduidelijk is gebleven welke diensten en producten het bedrijf precies levert in het kader van reïntegratietrajecten van bijstandsgerechtigden. Geconstateerd kan worden dat de meeste dossiers vrij leeg zijn. Bijna alle informatie die in de dossiers zit, lijkt afkomstig te zijn van de opdrachtgever. Tot slot valt op dat bij alle drie de organisaties het onderwerp privacy niet echt de aandacht heeft van de medewerkers. Er wordt pragmatisch en doelgericht gewerkt; medewerkers zijn in de dagelijkse praktijk weinig met privacy bezig.

1.1.3 Cliënt Cliënten verkeren in een afhankelijke positie. Zij zijn op grond van de WWB verplicht om mee te werken aan hun reïntegratie. Deze verplichting houdt in dat ze, indien nodig, ook gegevens moeten verstrekken aan het reïntegratiebedrijf. Deze verplichting lijkt in de praktijk tot weinig problemen te leiden. Verschillende consulenten geven aan dat de meeste cliënten zelfs graag hun verhaal kwijt willen. Vaak vertellen ze uitgebreid over hun medisch-psychische verleden, de familieomstandigheden, eventuele verslavingen, enz. Eén bedrijf geeft aan hiervan slechts aantekeningen te maken. Eventueel wordt een aantekening gemaakt in het eigen notitieboekje van de consulent. Deze informatie is echter niet bedoeld voor het dossier, het dient slechts als geheugensteuntje voor de consulent. Een ander bedrijf zegt niet geïnteresseerd te zijn in de achtergronden van de cliënten en daar dus ook geen aantekeningen van te maken. Het derde bedrijf neemt de door de cliënt verstrekte informatie wel in het dossier op.

1.2 Bevindingen in de praktijk in relatie tot het juridische kader

1.2.1 Behoorlijk en zorgvuldig Een van de algemene uitgangspunten van de WBP is dat verantwoordelijken persoonsgegevens in overeenstemming met de wet en op een behoorlijke en zorgvuldige manier verwerken. Het beeld dat het CBP van twee van de drie bedrijven heeft gekregen is dat deze in zijn algemeenheid op een behoorlijke en zorgvuldige manier omgaan met de gegevens die ze van de opdrachtgevers (sociale diensten) en de uitkeringsgerechtigden verkrijgen. Bij één van deze twee bedrijven zijn een aantal malen in dossiers lijstjes aangetroffen met daarop de namen, de sofi-nummers en de geboortedatum van andere cliënten. Het CBP wijst er op dat een cliënt het recht heeft op inzage in zijn eigen dossier (artikel 35 WBP). Wanneer dit soort lijstjes in de dossiers worden gevoegd bestaat de kans dat een cliënt die om inzage vraagt, de gegevens van andere cliënten te zien krijgt. Van het derde bedrijf is het niet mogelijk geweest een goed beeld te krijgen of er sprake is van een behoorlijke en zorgvuldige gegevensverwerking (zie ook onder kopje ‘Reïntegratiebedrijven’).


Het aspect dat persoonsgegevens in overeenstemming met de wet verwerkt moeten worden, zal in het onderstaande nader aan de orde komen.

1.3 Doelbinding en geheimhouding Op grond van de doelbindingsbepaling uit de WBP en het Besluit SUWI en de geheimhoudingsbepaling uit de WWB geldt voor reïntegratiebedrijven dat ze de persoonsgegevens die ze van de sociale diensten ontvangen, alleen mogen gebruiken voor reïntegratiedoeleinden. Alleen voor dit doel mogen zij deze gegevens verwerken en dus niet voor eventuele andere (commerciële) doeleinden.

1.3.1 Doelbinding Het CBP heeft bij twee van de drie bedrijven geen signaal gekregen dat de gegevens voor andere (commerciële) doeleinden zouden worden gebruikt. Het derde bedrijf geeft aan te werken met een zogenaamd managementinformatiesysteem op concernniveau. Het CBP kreeg echter geen duidelijk antwoord op de vraag of er persoonsgegevens van cliënten in dit systeem worden verwerkt en zo ja, met welk doel.

1.3.2 Geheimhouding Twee van de drie bedrijven geven aan wel eens te bellen met instanties als het RIAGG of de GGD/GGZ zonder hiervoor toestemming te vragen aan de cliënt. Beide stellen dat het doel hiervan niet is om uitgebreid informatie uit te wisselen als wel om lopende trajecten op elkaar af te stemmen: ‘Even de neuzen dezelfde kant opzetten’. Een van de consulenten vertelt dat dit soort instellingen vrij gemakkelijk gegevens verstrekt. Een andere consulent geeft aan dat er in principe altijd toestemming aan de cliënt wordt gevraagd om gegevens op te vragen bij de behandelende instantie. Hier wordt soms een uitzondering op gemaakt wanneer een cliënt wordt doorverwezen naar een geestelijke-gezondheidszorginstelling. Dan wordt nagevraagd of iemand daadwerkelijk is aangekomen, hoe lang het traject naar verwachting zal gaan duren en of de kans bestaat dat de betreffende persoon weer aan de slag kan. Hoe logisch het ook moge klinken dat de begeleidende consulent even contact opneemt met de ‘andere’ hulpverlener over lopende trajecten, het is in strijd met de WWB en de Wet op de geneeskundige behandelingsovereenkomst (WGBO). Consulenten zijn op grond van de WWB (en soms ook via contracteisen) gebonden aan een geheimhoudingsplicht. Hulpverleners hebben op hun beurt op grond van de WGBO een medisch beroepsgeheim. Ondanks de duidelijk goede bedoelingen, is het CBP van mening dat reïntegratiebedrijven in principe altijd eerst de cliënt om toestemming moeten vragen voordat ze contact opnemen met een behandelende instantie. Dit kan bij de intake gedaan worden. Het gevaar dat schuilt in het op informele wijze uitwisselen van dergelijke informatie, is dat het voor de betrokkene niet meer transparant is welke informatie bij welke instantie over hem bekend is. Wanneer het niet meer transparant is of er gegevens verwerkt worden, is het voor een cliënt ook niet meer controleerbaar wat er met zijn gegevens gebeurt. De kans bestaat hierdoor dat er beslissingen over hem worden genomen, zonder dat hij hiervan op de hoogte is.

1.4 Noodzakelijkheid In de WBP is bepaald dat persoonsgegevens - behalve wanneer toestemming is verkregen - alleen verwerkt mogen worden als dit noodzakelijk is voor één van de in de WBP genoemde grondslagen voor verwerking. Bovendien mogen persoonsgegevens alleen worden verwerkt als zij, gelet op de doeleinden waarvoor zij worden ver-

zameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn. Voor reïntegratieconsulenten betekent dit dat zij in de praktijk telkens de afweging zullen moeten maken welke gegevens zij wel en welke gegevens zij niet hoeven te verwerken om het reïntegratietraject succesvol te laten verlopen. Een van de drie bedrijven verwerkt alleen de hoogstnoodzakelijke gegevens. Dit bedrijf geeft aan niet geïnteresseerd te zijn in het verleden van cliënten. Wat een cliënt allemaal niet kan is niet van belang, het gaat er juist om wat cliënten nog wél kunnen. Een gevolg van dit beleid is dat de meeste rapportages kort en bondig zijn. Een ander bedrijf neemt wél vrij gedetailleerd de verhalen die cliënten vertellen in het dossier op. Bij het derde bedrijf was de meeste (medische) informatie die in de dossiers is aangetroffen afkomstig van de sociale dienst zelf. Het is de vraag of alle informatie die in de dossiers is opgenomen daadwerkelijk gebruikt wordt in het kader van het reïntegratietraject. Met andere woorden, is het echt noodzakelijk dat consulenten over al deze informatie kunnen beschikken om een cliënt succesvol naar werk te kunnen reïntegreren? Het CBP heeft niet de indruk gekregen dat consulenten de afweging maken welke gegevens zij wel en welke gegevens zij niet nodig hebben om hun taak goed uit te kunnen voeren. Alle drie de bedrijven geven aan dat ze bepaalde informatie niet zozeer vastleggen omdat dat noodzakelijk is voor hun eigen reïntegratietaak, maar omdat ze deze informatie nodig hebben om verantwoording te kunnen afleggen aan de opdrachtgever. De opdrachtgever vraagt immers om een gedetailleerde terugkoppeling. Eén bedrijf gaf aan dat de opdrachtgever het liefst ook nog de kleur van de schoenveters van cliënten zou willen weten.

1.4.1 Noodzaak van het verwerken van medische gegevens Op grond van de WBP mogen reïntegratiebedrijven gegevens over de gezondheid van hun cliënten verwerken voor zover dat noodzakelijk is voor de reïntegratie of begeleiding van uitkeringsgerechtigden in verband met ziekte of arbeidsongeschiktheid. Bij alle drie de bedrijven zijn medische rapportages aangetroffen. Twee van de drie bedrijven zijn dan ook duidelijk gericht op de doelgroep ‘cliënten met een arbeidshandicap’. Veel van de medische gegevens in de dossiers lijken afkomstig te zijn van de opdrachtgever. Niet altijd is even duidelijk of cliënten toestemming hebben gegeven voor de overdracht van deze medische rapportages (Rea-adviezen). Als cliënten wel toestemming hebben gegeven, is het maar de vraag in hoeverre deze vrij is. Weigeren kan immers consequenties hebben voor de uitkering. Twee bedrijven geven aan de medische informatie die in de Rea-rapporten staat, daadwerkelijk nodig te hebben bij begeleiding van cliënten naar werk. Toch er is wel een duidelijk verschil aan te brengen tussen deze twee bedrijven. Het CBP heeft de indruk gekregen dat bij het ene bedrijf redelijk spaarzaam met medische gegevens wordt omgesprongen. De nadruk ligt daarbij meer op de beperkingen die de cliënt ondervindt van zijn ziekte. In de dossiers werden korte, bondige en zakelijke beschrijvingen van het ziektebeeld aangetroffen. Bij het andere bedrijf lijkt er geen rem te staan op het verwerken van de medische gegevens. De oorzaak hiervan is gelegen in het feit dat de opdrachtgever standaard per cliënt een vaak uitgebreide rapportage van de medische geschiedenis verstrekt aan het bedrijf. Bij het derde bedrijf zijn slechts een klein aantal medische rapportages aangetroffen. Bij dit bedrijf ligt niet zozeer de nadruk op de beperkingen van de cliënt als wel op de mogelijkheden die hij nog wel heeft. Gevolg van dit beleid is dat er weinig aandacht is voor medische aspecten en dat er dus ook weinig medische gegevens in de dossiers zijn opgenomen.

10


Het is echter de vraag of het daadwerkelijk noodzakelijk is dat reïntegratiebedrijven op zeer uitgebreide schaal de beschikking krijgen over de medische gegevens van cliënten. Het feit dat de opdrachtgever of de cliënt in sommige gevallen veel medische informatie verstrekken laat onverlet dat de consulenten zelf verantwoordelijk zijn voor de afweging welke medische gegevens daadwerkelijk noodzakelijk zijn om een cliënt succesvol te reïntegreren naar werk. Alleen deze gegevens dienen opgenomen te worden in het dossiers. Consulenten zullen de cliënt op basis van beschikbare informatie beoordelen (is de cliënt bemiddelbaar, zo ja welk traject is geschikt, welke begeleiding heeft hij nodig, enz.). Dit is logisch gelet op hun taak om cliënten weer aan het werk te helpen. Bij medische gegevens speelt echter het aspect dat consulenten in de regel geen medische achtergrond hebben. De situatie kan dan ontstaan dat bepaalde gegevens door de consulent zelf of met behulp van een medisch handboek geduid worden. Zo gaf één consulent aan over kennis te beschikken over wat de gevolgen kunnen zijn van bepaalde ziektebeelden. Ook van sommige medicijnen (slaapmiddelen, kalmeringsmiddelen) is bij deze consulent de naam en de werking bekend. Aangegeven wordt dat gebruik van bepaalde medicijnen kan duiden op een depressie of een verslaving. Deze consulent overlegt soms met de Arbo-arts of Arbo-deskundigen binnen het concern. Dit gaat dan niet over de cliënt zelf, maar is voornamelijk bedoeld om informatie in te winnen over de consequenties van bepaalde aandoeningen/ziektes voor het reïntegratietraject. Het is vanzelfsprekend dat consulenten in de loop der tijd ervaring opdoen met bepaalde ziektebeelden en daarbij behorend medicijngebruik. Er moet echter voor gewaakt worden dat een consulent te gemakkelijk op basis van te weinig (medische) kennis de cliënt beoordeelt en uit deze beoordeling zijn conclusies trekt over de reïntegratiemogelijkheden van de cliënt.

1.5 Grondslag voor het verwerken: verzamelen, verwerken en verstrekken

1.5.1 Verstrekking door cliënt Een deel van de gegevens in de dossiers is afkomstig van de cliënt. Een cliënt zal op grond van de wet moeten meewerken aan zijn reïntegratietraject. Dit houdt in dat cliënten ook gegevens dienen te overleggen aan het reïntegratiebedrijf. Niet gebleken is dat er op dit punt conflicten tussen het reïntegratiebedrijf en de cliënten ontstaan. Consulenten gaven aan dat een aantal cliënten juist graag hun verhaal kwijt wil.

1.5.2 Overdracht van sociale dienst aan reïntegratiebedrijf Op grond van artikel 67, eerste lid, onder e, WWB mogen sociale diensten gegevens leveren aan reïntegratiebedrijven. Het tweede lid bepaalt dat deze gegevensverstrekking niet plaatsvindt, indien de persoonlijke levenssfeer van de betrokkene daardoor onevenredig wordt geschaad. De sociale dienst zal bij het verstrekken van cliëntgegevens aan reïntegratiebedrijven rekening moeten houden met twee aspecten. Ten eerste zal een bijstandsconsulent zich moeten afvragen of het in het kader van het reïntegratietraject daadwerkelijk noodzakelijk is dat bepaalde gegevens worden verstrekt. Ten tweede zal hij de beoordeling moeten maken of de inbreuk op de persoonlijke levenssfeer niet groter is dan het belang dat met de verstrekking is gediend. Het CBP heeft onderzoek gedaan bij reïntegratiebedrijven en niet bij de sociale diensten zelf. In dit onderzoek kan niet iets worden gezegd over de afwegingen die bijstandsconsulenten wel of niet maken. Wel kan vastgesteld worden dat twee van de drie bezochte bedrijven behoorlijk uitgebreide (medische) informatie over de cliënt van de opdrachtgevers verstrekt kregen. Bij een derde bedrijf leek dit minder te zijn. Eén bedrijf gaf aan dat het vrij gemakkelijk is om extra informatie op te vragen bij de

11

opdrachtgever. Het is voor het CBP niet duidelijk geworden waarom sociale diensten het blijkbaar soms noodzakelijk vinden dat reïntegratiebedrijven de beschikking krijgen over uitgebreide medische rapportages.

1.5.3 Teruglevering aan sociale dienst door reïntegratiebedrijf Eén bedrijf gaf aan het hele dossier weer terug te geven aan de opdrachtgever indien het traject niet wordt ingezet. Alleen wat het zelf aan informatie produceert, wordt bewaard. Persoonlijke aantekeningen worden vernietigd. De meeste informatie is afkomstig van de sociale dienst (telefonisch/e-mail/ ter plekke overleggen met consulent). De teruglevering van gegevens door het bedrijf aan de opdrachtgever wordt besproken met de cliënt. Eén van de andere bedrijven laat de cliënt er voor tekenen dat hij op de hoogte is van en akkoord gaat met het registreren en verzenden naar opdrachtgevers van NAW- gegevens en overige relevante gegevens (voortgangsrapportages, enz.). Een derde bedrijf gaf aan dat cliënten ervan op de hoogte worden gesteld dat informatie over het traject wordt teruggeleverd aan de opdrachtgever. Bij dit bedrijf heeft de opdrachtgever in het contract afspraken laten opnemen over het terugmelden. Zo moet dit bedrijf binnen vijf werkdagen aan de opdrachtgever terugmelden wanneer een cliënt voor de tweede keer niet is komen opdagen voor een intake. Ook dient gemotiveerd te worden teruggemeld wanneer een cliënt tijdens een traject blijk geeft van niet-coöperatief of agressief gedrag. Het CBP heeft niet veel zicht gekregen op welke informatie reïntegratiebedrijven precies bewaren en voor hoe lang. Het onderzoek heeft zich hier ook niet op gericht. Wel is duidelijk dat alle drie de bedrijven cliënten op de hoogte stellen van het feit dat er ook gegevens worden teruggeleverd aan de opdrachtgever.

1.6 Informatieplicht en rechten van de betrokkene

1.6.1 Informatieplicht Het doel van de informatieplicht in de WBP is dat het voor de betrokkene helder wordt wat er met zijn gegevens gebeurt. Aangenomen kan worden dat de opdrachtgever de cliënt heeft geïnformeerd over het feit dat zijn gegevens worden verstrekt aan een reïntegratiebedrijf. Alle drie de bedrijven stellen de cliënten er van op de hoogte dat er ook een terugmelding of teruglevering plaatsvindt van gegevens aan de opdrachtgever. De informatieplicht lijkt goed te worden nageleefd.

1.6.2 Rechten van de betrokkene Op grond van de WBP heeft een cliënt het recht om inzage in zijn gegevens aan het reïntegratiebedrijf te vragen. Alle drie de bedrijven gaven aan dat cliënten nauwelijks of niet verzoeken om inzage in de gegevens.

1.6.3 Contracteisen Een aantal contracteisen (artikel 4.1, eerste lid, a, f en h van het besluit SUWI) is al aan bod geweest in het bovenstaande. Hier zullen de overige contracteisen die betrekking hebben op het verwerken van persoonsgegevens, worden besproken.

1.6.4 Reglementplicht Reïntegratiebedrijven worden door middel van de contracteisen verplicht een reglement aan B&W te overleggen waarin neergelegd is hoe de persoonlijke levenssfeer van cliënten wordt beschermd (artikel 4.1, eerste lid, onder b, Besluit SUWI). Alle drie de bedrijven beschikken over zo’n privacyreglement.

12


1.6.5 Klachten- en geschillenregeling Reïntegratiebedrijven worden door middel van contracteisen verplicht om in geval van een geschil tussen de uitkeringsgerechtigde en het bedrijf een klachten- en geschillenregeling toe te passen. Deze regeling dient aan de uitkeringsgerechtigde en aan B&W te worden overgelegd (artikel 4.1, eerste lid, onder c, Besluit SUWI). Alle drie de bedrijven beschikken over een klachten- en geschillenreglement.

1.6.6 Accountantsverklaring Reïntegratiebedrijven worden via contracteisen verplicht toegang tot en inzage in alle gegevens te verlenen aan een accountant die deze naar zijn oordeel nodig heeft voor het instellen van een onderzoek zoals bedoeld in artikel 42 Wet SUWI (bij twijfel over de doelmatige besteding van reïntegratiemiddelen). Daarnaast kunnen ze door B&W worden verplicht een schriftelijk oordeel van een accountant of een gelijkwaardige deskundige te overleggen aangaande de verwerking van informatie en de genomen maatregelen ter beveiliging van informatie door het reïntegratiebedrijf (artikel 4.1, eerste lid, onder d en e, Besluit SUWI). Bij één bedrijf zijn de bovengenoemde verplichtingen in het contract met de opdrachtgever opgenomen. Bij een tweede bedrijf zijn hierover geen afspraken in het contract opgenomen. Het CBP kan met betrekking tot deze contracteis geen uitspraak doen over het derde bedrijf. Dit bedrijf heeft besloten slechts dat deel van het contract dat betrekking heeft op het privacy- en het klachtenreglement aan het CBP te doen toekomen.

13

2

CONCLUSIES

Met dit onderzoek beoogde het CBP antwoord te krijgen op de vraag of er in de praktijk problemen zijn bij het verwerken van persoonsgegevens in het kader van reïntegratietrajecten, en zo ja waar voor de betreffende instanties deze problemen precies zitten. Het CBP wilde daarbij ook weten of het wettelijke kader de reïntegratiebedrijven voldoende houvast biedt om persoonsgegevens op een behoorlijke en zorgvuldige manier te verwerken.

14


Het CBP komt tot de conclusie dat de manier waarop reïntegratiebedrijven persoonsgegevens verwerken voor een groot deel wordt bepaald door de context waarin de bedrijven opereren. Het is een hectische markt waarin ieder bedrijf moet vechten voor zijn bestaansrecht. Ieder jaar opnieuw kennen de bedrijven de spanning van het binnenhalen van nieuwe contracten voor het jaar daarna. De machtspositie van de opdrachtgevers beperkt de mate waarin reïntegratiebedrijven verantwoordelijkheid kunnen nemen voor de verwerking van persoongegevens terwijl de WBP dit wel van hen verlangt. De drie onderzochte bedrijven ervaren alle drie dat zij door hun afhankelijkheid geen sterke onderhandelingspositie hebben tegenover de gemeenten. In deze context bepalen de opdrachtgevers voor een belangrijk deel de regels. Zij stellen de voorwaarden in de contracten op. Reïntegratiebedrijven gaan akkoord met de voorwaarden die gemeenten stellen, omdat ze bang zijn anders hun contract mis te lopen. Uit gesprekken is gebleken dat men zich wel afvraagt of bijvoorbeeld de uitgebreide verantwoording wel terecht wordt geëist. De indruk bestaat dat er vaak meer gevraagd wordt dan nodig is. Het gesprek hierover wordt met de opdrachtgever niet aangegaan omdat ze dan het risico lopen - zoals zij zelf aangeven - dat er wordt gezegd: ‘Voor jou 10 anderen’. Een aandachtspunt dat uit dit onderzoek naar voren komt is daarom dat ook gemeenten alleen die informatie moeten aanleveren en terugvragen die daadwerkelijk noodzakelijk is. De zorgvuldige omgang met persoonsgegevens moet een onderdeel zijn van de bedrijfsvoering van ieder bedrijf. Alle drie de bedrijven beschikken over de wettelijk verplichte privacy- en klachtenreglementen. Op de werkvloer lijkt de zorgvuldige omgang met persoonsgegevens echter nauwelijks als probleem gezien te worden. De medewerkers bij de onderzochte reïntegratiebedrijven ervaren ook geen belemmeringen in hun werk als gevolg van de privacywetgeving. De indruk bestaat dat dit vooral komt doordat men hier eigenlijk nauwelijks mee bezig is. Keuzes die worden gemaakt worden vooral ingegeven door resultaatgerichtheid en pragmatisme: ‘Niet lullen maar poetsen’. Medewerkers komen eigenlijk niet toe aan de vraag of het huidige wettelijke kader voldoende houvast biedt. Zij zijn zich weinig bewust van de vaak open normen die een individuele afweging nodig maken. Het CBP heeft geen aanwijzingen dat dit lage ‘privacybewustzijn’ structureel leidt tot een onzorgvuldige omgang met persoonsgegevens. Medewerkers streven er naar om fatsoenlijk met cliënten om te gaan. Vanuit dit perspectief maken zij de afweging wat wel en wat niet acceptabel is. Veelal komt dit overeen met de geldende privacyregels. Het feit dat de omgang met persoonsgegevens eigenlijk geen kwestie is in het dagelijks werk, lijkt er wel toe te leiden dat al gauw datgene verwerkt wordt wat ‘handig is ‘om te hebben. Dit is iets anders dan datgene wat noodzakelijk is. Cliënten worden beoordeeld op basis van persoonsgegevens. Onzorgvuldigheid bij de beoordeling – bijvoorbeeld op basis van ten onrechte verkregen gegevens - kan consequenties hebben voor het reïntegratietraject en in het uiterste geval voor het recht op uitkering. Niet moet worden vergeten dat het hier de gegevens betreft van mensen die in een afhankelijke positie verkeren. Het CBP wil in zijn algemeenheid aanbevelen dat binnen deze nieuwe branche meer ‘privacybewustzijn’ bij de medewerkers op de werkvloer wordt gecreëerd. Het zou goed zijn wanneer de eisen die de wet op dit punt stelt, praktisch worden uitgewerkt voor het dagelijkse werk. Het CBP meent dat een door de gehele branche onderschreven gedragscode hieraan een grote bijdrage kan leveren.

15

BIJLAGEN

1

Opzet van het onderzoek 17

2

Juridisch kader 18

A Behoorlijk en zorgvuldig 18 B Doel van verwerking en geheimhoudingsplicht 18 C Noodzakelijkheid 19 D Grondslag voor de verwerking: verzamelen, verwerken en verstrekken 19 E Informatieplicht en rechten betrokkenen 21 F Contracteisen 22

16


Bijlage 1

OPZET VAN HET ONDERZOEK

Doelstelling Het CBP dient als toezichthouder kennis te hebben van de uitvoeringspraktijk bij reïntegratie. In de periode april en mei van 2004 is daarom een drietal reïntegratiebedrijven bezocht dat reïntegratietrajecten verzorgt voor bijstandsgerechtigden. Het onderzoek van het CBP heeft tot doel inzicht te krijgen in de wijze waarop het juridische kader waarbinnen persoonsgegevens verwerkt mogen worden, zich verhoudt tot de alledaagse praktijk. Het CBP wil ook weten hoe reïntegratiebedrijven te werk gaan en in het bijzonder hoe bedrijven met persoonsgegevens omgaan. Het CBP is vooral geïnteresseerd in de vraag of zich bij het verwerken van persoonsgegevens specifieke problemen voordoen.

Opzet en uitvoering Om meer zicht te krijgen op de werkwijze van de drie geselecteerde reïntegratiebedrijven zijn van tevoren de bestaande klachtenregelingen, de privacyreglementen en de contractafspraken met de opdrachtgevers bestudeerd. Ter plaatse zijn bij elke organisatie de dossiers van 20 bijstandsgerechtigden doorgenomen. Ook is gesproken met consulenten en met de plaatselijke vestigings- of accountmanager. Enerzijds is in de gesprekken een toelichting gevraagd op de werkwijze van het betreffende bedrijf. Anderzijds is gevraagd naar de eventuele belemmeringen waar medewerkers in de praktijk tegenaan lopen bij het verwerken van cliëntgegevens.

Rapportage De bevindingen van de drie afzonderlijke bedrijfsonderzoeken zijn samengevoegd tot één conceptrapport. Het conceptrapport beschrijft de resultaten van het onderzoek op hoofdlijnen. In het rapport worden de onderzochte bedrijven aangeduid als bedrijf 1, 2 en 3, steeds in willekeurige volgorde (bedrijf x is soms bedrijf 1, soms bedrijf 2 en soms bedrijf 3). De drie bedrijven hebben het conceptrapport voorgelegd gekregen met het verzoek om een reactie. Daarop heeft het CBP de bevindingen definitief vastgesteld in september 2005.

17

Bijlage 2

JURIDISCH KADER De Wet bescherming persoonsgegevens (WBP) bepaalt het juridische kader voor de bescherming van persoonsgegevens. Het is mogelijk om naast de WBP regels voor de bescherming van persoonsgegevens in sectorspecifieke wetgeving neer te leggen. Bedrijven die zich richten op de reïntegratie van bijstand gerechtigden, hebben daarom ook te maken met de regels die zijn opgenomen in de Wet werk en bijstand (WWB) en het Besluit SUWI. Onderstaand zullen de belangrijkste grondbeginselen worden besproken waaraan de verwerking van persoonsgegevens door reïntegratiebedrijven dient te voldoen.

A Behoorlijk en zorgvuldig Algemeen uitgangspunt van de WBP is dat persoonsgegevens in overeenstemming met de wet en op een behoorlijke en zorgvuldige manier worden verwerkt. Het woord ‘wet’ heeft mede betrekking op andere wetgeving betreffende de verwerking van persoonsgegevens.

B Doel van verwerking en geheimhoudingsplicht

18

Doelbinding Uit de WBP volgt dat persoonsgegevens alleen verzameld mogen worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Met andere woorden, het moet duidelijk zijn wat het doel is van de gegevensverwerking. Artikel 4.1, eerste lid, onder f van het Besluit SUWI schrijft voor dat Burgemeester en Wethouders (B&W) in de contracten die zij afsluiten met reïntegratiebedrijven, een bepaling opnemen waarin staat dat de gegevens die het reïntegratiebedrijf of de Arbo-dienst ontvangt in verband met werkzaamheden die gericht zijn op de inschakeling van personen die bijstand genieten, uitsluitend worden verwerkt voor zover dat noodzakelijk is voor het verrichten van werkzaamheden in het kader van de reïntegratie. Het reïntegratiebedrijf mag de persoonsgegevens die het van de sociale dienst ontvangt, dus alleen gebruiken voor reïntegratiedoeleinden en dus niet voor eventuele andere (commerciële) doeleinden.

Geheimhoudingsplicht De WBP bepaalt dat persoonsgegevens niet mogen worden verwerkt voor zover een geheimhoudingsplicht op grond van ambt, beroep of wettelijk voorschrift daaraan in de weg staat. Ook de WWB kent een geheimhoudingsplicht. In artikel 65 WWB is neergelegd dat het een ieder verboden is hetgeen hem uit of in verband met enige werkzaamheden bij de uitvoering van deze wet over de persoon of zaken bekend is, verder bekend te maken dan voor de uitvoering van deze wet noodzakelijk is dan wel op grond van deze wet is voorgeschreven of toegestaan. Het verbod is niet van toe passing als een wettelijk voorschrift tot bekendmaking verplicht of als degene op wie de gegevens betrekking hebben schriftelijk heeft verklaard geen bezwaar te hebben tegen de verstrekking van deze gegevens. Met het ‘een ieder ’ in deze bepaling, worden ook reïntegratiebedrijven bedoeld en dat betekent dus dat deze geheimhoudingsplicht ook voor hen geldt.


C Noodzakelijkheid In de WBP is bepaald dat persoonsgegevens - behalve wanneer toestemming van de betrokkene is verkregen - alleen verwerkt mogen worden als dit noodzakelijk is voor één van de in de WBP genoemde grondslagen voor verwerking. Bovendien mogen persoonsgegevens alleen worden verwerkt als zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn. Ook in artikel 4.1, eerste lid, onder f is het woord ‘noodzakelijk’ opgenomen. Voor reïntegratieconsulenten betekent dit dat zij in de praktijk telkens de afweging zullen moeten maken welke gegevens zij wel en welke gegevens zij niet nodig hebben om het reïntegratietraject succesvol te laten verlopen.

Noodzakelijkheid verwerking van bijzondere gegevens Het zal vaak voorkomen dat reïntegratiebedrijven de medische gegevens van cliënten verwerken. Artikel 16 van de WBP verbiedt in beginsel de verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid en seksuele leven. Ook het verwerken van persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden behoudens het bepaalde in de WBP. Hetzelfde geldt voor strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag. Op grond van artikel 21, eerste lid, onder f, sub 2 WBP is het voor reïntegratiebedrijven toch vaak mogelijk gegevens over de gezondheid van de cliënt te verwerken. In dit artikel is namelijk bepaald dat het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken niet van toepassing is indien de verwerking geschiedt door bestuursorganen, pensioenfondsen, werkgevers of instellingen die te hunnen behoeve werkzaam zijn voor zover dat noodzakelijk is voor de reïntegratie of begeleiding van werknemers of uitkeringsgerechtigden in verband met ziekte of arbeidsongeschiktheid.

D Grondslag voor de verwerking: verzamelen, verwerken en verstrekken In artikel 8 WBP staan de grondslagen voor het verwerken van persoonsgegevens limitatief opgesomd. Persoonsgegevens mogen alleen verwerkt worden wanneer: a de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend; b de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst; c de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is; d de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene; e de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, of f de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op de bescherming van de persoonlijke levenssfeer prevaleert. Uit artikel 7 WWB volgt dat B&W verantwoordelijk zijn voor het bepalen en aanbieden van voorzieningen gericht op de arbeidsinschakeling van bijstandsgerechtigden. Volgens ditzelfde artikel moeten B&W werkzaamheden die gericht zijn op deze arbeidsinschakeling, laten uitvoeren door reïntegratiebedrijven en Arbo-diensten.

19

De wet schrijft vervolgens voor dat B&W met reïntegratiebedrijven contractafspraken moeten maken over deze arbeidsinschakeling (artikel 4.1 Besluit SUWI). Verstrekking persoonsgegevens door B&W aan reïntegratiebedrijven Op grond van artikel 67, eerste lid, onder e, WWB zijn B&W bevoegd uit eigen beweging en verplicht desgevraagd uit de administratie ter zake van de uitvoering van de WWB kosteloos gegevens te verstrekken aan derden die in het kader van de uitoefening van beroep of bedrijf de arbeidsinschakeling van personen bevorderen. Uit dit artikel volgt dat de verstrekking van gegevens door B&W aan het reïntegratiebedrijf gegrond wordt op de wettelijke verplichting zoals genoemd in artikel 8 onder c, WBP. Het tweede lid bepaalt dat deze gegevensverstrekking niet plaatsvindt indien de persoonlijke levenssfeer van de betrokkenen daardoor onevenredig wordt geschaad. Uit de wetsgeschiedenis volgt dat bij de verstrekking door B&W aan (onder meer) reïntegratiebedrijven rekening gehouden dient te worden met het proportionaliteitsbeginsel (de inbreuk op de persoonlijke levenssfeer moet in verhouding staan tot het doel dat met de verstrekking is gediend). Naast artikel 67 WWB blijft ook de eis van noodzakelijkheid op grond van de WBP gelden. Dit betekent concreet dat ook B&W de afweging zullen moeten maken welke gegevens het reïntegratiebedrijf nodig heeft om zijn taak goed te kunnen vervullen.

Verstrekking gegevens door bijstandsgerechtigde Artikel 9, eerste lid onder a, van de WWB bepaalt dat een uitkeringsgerechtigde verplicht is algemeen geaccepteerde arbeid te verkrijgen en te aanvaarden. Het tweede lid stelt dat hij verplicht is gebruik te maken van een door het college aangeboden voorziening, waaronder begrepen sociale activering, gericht op arbeidsinschakeling, alsook mee te werken aan een onderzoek naar zijn mogelijkheden tot arbeidsinschakeling. Uit de wetsgeschiedenis volgt dat de concrete invulling van de verplichting zoveel mogelijk wordt afgestemd op het individu en in een beschikking door B&W wordt gespecificeerd. Het verstrekken van zijn gegevens aan het reïntegratiebedrijf kan beschouwd worden als een onderdeel van de verplichting voor de uitkeringsgerechtigde om mee te werken aan zijn arbeidsinschakeling. Omdat hij op grond van de wet moet meewerken aan zijn reïntegratie, zal hij zijn gegevens moeten verstrekken aan het reïntegratiebedrijf.

Verwerking van persoonsgegevens door reïntegratiebedrijven De grondslag voor het verwerken van persoonsgegevens door reïntegratiebedrijven volgt onder meer uit de WWB en het Besluit SUWI. Er is echter niet altijd sprake van een specifiek wettelijk voorschrift. De bepalingen in artikel 4.1 van het Besluit SUWI schrijven immers geen directe regels voor aan de reïntegratiebedrijven zelf. In het Besluit wordt slechts voorgeschreven welke eisen de publieke opdrachtgevers ten minste in hun contracten aan reïntegratiebedrijven moeten stellen. Reïntegratiebedrijven verwerken persoonsgegevens omdat zij een contract hebben afgesloten met B&W over het verlenen van diensten gericht op de reïntegratie van bijstandsgerechtigden. De verwerking door reïntegratiebedrijven zal echter niet gegrond kunnen worden op artikel 8 onder b WBP (de gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is). De uitkeringsgerechtigde is immers geen partij in de overeenkomst, dat is namelijk alleen B&W. Wat rest is de grondslag genoemd in artikel 8 onder f van de WBP: de gegevensverwerking is noodzakelijk voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt. Voor deze grondslag geldt echter wel dat degene die de gegevens verwerkt, rekening dient te houden met het recht van de betrokkene op bescherming van de persoonlijke levenssfeer, de zogenaamde privacytoets. Het belang van het reïntegratiebedrijf dient afgewogen te worden tegen het belang van de betrokkene.

20


Kort samengevat komt het voorgaande er op neer dat het vaak zo zal zijn dat reïntegratiebedrijven op basis van een zogenaamde gecombineerde grondslag (artikel 8 onder c en artikel 8 onder f van de WBP) persoonsgegevens van uitkeringsgerechtigden verwerken. Een voorwaarde hierbij is dat het daadwerkelijk noodzakelijk is voor het reïntegratietraject dat de betreffende gegevens worden verwerkt (zie ook kopje noodzakelijkheid op pagina 9). Daarnaast zal een reïntegratiebedrijf zich telkens moeten afvragen of de verwerking geen strijd oplevert met de bescherming van de persoonlijke levenssfeer.

Verwerking van het sofi-nummer door reïntegratiebedrijven Uit het tweede lid van artikel 68 WWB volgt dat reïntegratiebedrijven gebruik mogen maken van het sociaal-fiscaalnummer voorzover dat noodzakelijk is voor het verrichten van werkzaamheden die gericht zijn op de inschakeling in de arbeid (artikel 8 onder c, WBP).

Verstrekking door reïntegratiebedrijven aan B&W Reïntegratiebedrijven zijn ingevolge artikel 64, eerste lid, onder l, WWB verplicht desgevraagd aan B&W kosteloos opgaven en inlichtingen te verstrekken die noodzakelijk zijn voor de uitvoering van deze wet. Dit artikel houdt dus een duidelijke wettelijke verplichting in voor reïntegratiebedrijven om gegevens te verstrekken aan B&W (artikel 8 onder c, WBP). Daarnaast is bepaald in artikel 4.1 eerste lid, onder a, van het Besluit SUWI dat B&W in het contract met het reïntegratiebedrijf moeten laten opnemen dat deze bedrijven alle gegevens en inlichtingen over deze werkzaamheden op verzoek aan B&W verstrekken, voor zover dit noodzakelijk is voor de uitvoering van artikel 7 van de WWB (verplichting tot inschakeling in de arbeid). In artikel 4.1, eerste lid, onder h, van het Besluit SUWI, is tot slot neergelegd dat B&W in het contract dat ze met het reïntegratiebedrijf afsluiten ook dienen vast te leggen dat deze op verzoek en uit eigen beweging kennis geven van het gegronde vermoeden dat een uitkeringsgerechtigde onvoldoende meewerkt aan zijn reïntegratie. De wettelijke verplichting om desgevraagd gegevens te verstrekken aan B&W volgt echter al uit artikel 64, eerste lid, onder l, WWB. De bepalingen in artikel 4.1 eerste lid onder a en h van het Besluit SUWI overlappen elkaar dus. Alleen het ’uit eigen beweging verstrekken’ is nieuw. Een verstrekking ‘uit eigen beweging’ lijkt niet alleen gegrond te kunnen worden op artikel 8 onder c WBP. Wel is eventueel een gecombineerde grondslag (artikel 8 onder c en 8 onder f, WBP) mogelijk.

E Informatieplicht en rechten betrokkenen Transparantie in de zin van de WBP betekent dat het voor betrokkene helder moet zijn wat er met zijn gegevens gebeurt. De melding van de gegevensverwerking bij het CBP is een vorm van transparantie, maar ook de informatieplicht en de rechten van betrokkene zijn daarvan een uitwerking. Uitgangspunt van de informatieplicht is: hoe eerder de betrokkene op de hoogte is hoe beter. Het is dus van belang voor de verantwoordelijke, in dit geval het reïntegratiebedrijf, dat deze de cliënt aan het begin van het traject zo snel mogelijk goed en volledig informeert. Dit kan bijvoorbeeld met informatie op het intakeformulier of via een folder. Als dit goed gebeurt, mag het reïntegratiebedrijf zich bij de verwerking op een later tijdstip ontslagen achten van de verplichting de betrokkene te informeren. Deze is dan immers al op de hoogte.

21

Op grond van artikel 35 WBP heeft de betrokkene, in dit geval de uitkeringsgerechtigde, het recht om inzage in zijn gegevens aan het reïntegratiebedrijf te vragen. Indien het reïntegratiebedrijf inderdaad persoonsgegevens verwerkt, zal deze aan de betrokkene een volledig overzicht ter beschikking moeten stellen van de hem betreffende gegevens met inlichtingen over het doel, de aard van de gegevens en van de ontvangers, alsmede over de herkomst van de gegevens. Artikel 36 WBP geeft aan de uitkeringsgerechtigde de mogelijkheid om de verantwoordelijke vervolgens te verzoeken deze gegevens te verbeteren, aan te vullen, te verwijderen, of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt.

F Contracteisen Artikel 4.1. van het besluit SUWI schrijft voor dat de contracten die B&W afsluiten met reïntegratiebedrijven aan bepaalde eisen moeten voldoen. Een aantal van deze zogenaamde contracteisen is inmiddels al besproken (artikel 4.1, eerste lid onder a, f en h, Besluit SUWI). In het onderstaande zullen de overige kort de revue passeren.

22

Reglementplicht Reïntegratiebedrijven worden door middel van de contracteisen verplicht een reglement aan B&W te overleggen waarin neergelegd is hoe de persoonlijke levenssfeer van cliënten wordt beschermd (artikel 4.1, eerste lid, onder b, Besluit SUWI).

Klachten- en geschillenregeling Reïntegratiebedrijven worden door middel van de contracteisen verplicht om in geval van een geschil tussen de uitkeringsgerechtigde en het bedrijf een klachten- en geschillenregeling toe te passen. Deze regeling dient aan de uitkeringsgerechtigde en aan B&W te worden overlegd (Besluit SUWI, artikel 4.1, eerste lid onder c).

Verantwoording Reïntegratiebedrijven worden via contracteisen verplicht toegang tot en inzage in alle gegevens te verlenen aan een accountant die deze naar zijn oordeel nodig heeft voor het instellen van een onderzoek zoals is bedoeld in artikel 42 Wet SUWI (bij twijfel over de doelmatige besteding van reïntegratiemiddelen). Daarnaast kunnen zij door B&W verplicht worden een schriftelijk oordeel van een accountant of een gelijkwaardige deskundige te overleggen aangaande de verwerking van informatie en de genomen maatregelen ter beveiliging van informatie door het reïntegratiebedrijf (artikel 4.1, eerste lid onder d en e, Besluit SUWI).


23

24


REÏNTEGRATIE VAN BIJSTANDSGERECHTIGDEN EN PRIVACY. Verkennend onderzoek bij drie reïntegratiebedrijven. Onderzoeksrapport

Recommend Documents