Overdracht van casuïstiek tussen (lokale) overlegtafel en casusoverleg ZVH v.v.

Vraag:
De lokale kamer is een lokaal samenwerkingsverband met verschillende justitiële en zorgpartijen. Het veiligheidshuis werkt met hen samen bij het op- en afschalen van casuïstiek. Een melding komt hier binnen en wordt doorgezet naar de lokale kamer, of we vragen informatie op bij een lokale kamer. Of andersom: iemand wordt in de lokale kamer besproken en gezien de problematiek hoort hij in het veiligheidshuis thuis. Het gaat dus eigenlijk om op- en afschalen en informatie-uitwisseling tussen samenwerkingsverbanden.

Kan dat via het convenant geregeld worden en zo ja, hoe zou dat vormgegeven moeten worden?

Antwoord:
Dit antwoord is van toepassing op elke situatie waarbij overdracht plaatsvindt van een concrete casus tussen verschillende netwerkverbanden of overlegtafels met het casusoverleg ZVH.

Ja, je kunt dit in het convenant en protocol afspraken over maken voor de partners in het ZVH. Omdat de partners in de lokale kamer niet noodzakelijkerwijs dezelfde partners zijn als de partners in de lokale tafels is het belangrijk dat je hier goede afspraken over maakt.

Allereerst is het belangrijk dat de partijen in de lokale tafels een vergelijkbaar convenant en protocol hebben als het ZVH. Voor zover ze werken aan complexe casuïstiek en casusoverleggen, gelden dezelfde uitgangspunten als beschreven in het protocol ZVH artikel 3.5 a t/m d. Voor complexe casuïstiek is ook het fasenmodel met de doelen voor gegevensverwerking goed hanteerbaar.

Als je ervan op aan kunt dat ook de lokale kamer dezelfde zorgvuldigheid betracht ten aanzien van de omgang met gegevens, kun je kijken naar de overdracht tussen het netwerk van de lokale kamer en het netwerk van het ZVH bij de overdracht van casuïstiek. Als het lokale netwerk niet eenzelfde zorgvuldige inbedding heeft van de gegevensverwerking, mag je ervan uitgaan dat sommige partners er niet mee akkoord zullen gaan dat gegevens die zij hebben ingebracht mee gaan naar het lokale verband.

De overdracht verloopt dan volgens dezelfde systematiek als beschreven in de training.

Situatie 1: In het lokale casusoverleg wordt besloten tot opschaling naar het ZVH
In het casusoverleg kan besloten worden tot opschaling van de casus naar het ZVH.
In dat geval wordt afgesproken welke partner optreedt als aanmelder bij het ZVH.
Tevens wordt afgesproken welke informatie uit het lokale casusoverleg bij de aanmelding bij het ZVH ter beschikking gesteld mag worden voor de behandeling van de casus in het ZVH.

Informatie wordt uitsluitend ter beschikking gesteld voor de behandeling in het ZVH voor zover de partner die de informatie heeft ingebracht in het lokale casusoverleg daarmee akkoord is.

Situatie 2: In casusoverleg ZVH wordt besloten tot afschaling naar lokaal samenwerkingsverband
In het casusoverleg ZVH kan besloten worden tot afschaling van de casus naar een lokaal samenwerkingsverband.
In dat geval wordt afgesproken welke partner optreedt als aanmelder bij het lokale samenwerkingsverband.
Tevens wordt afgesproken welke informatie uit het casusoverleg ZVH bij de aanmelding bij het lokale samenwerkingsverband ter beschikking gesteld mag worden voor de behandeling van de casus in het lokale samenwerkingsverband.

Informatie wordt uitsluitend ter beschikking gesteld voor de behandeling in het lokale samenwerkingsverband voor zover de partner die de informatie heeft ingebracht in het casusoverleg ZVH daarmee akkoord is.

Toelichting
In feite pas je de uitgangspunten toe zoals die beschreven zijn in artikel 3.5 van het protocol.
De aanmelding door een specifieke partner is noodzakelijk, omdat zowel het ZVH als het lokale verband geen eigen wettelijke basis hebben.

Overigens is er geen bezwaar tegen als in situatie 2 het ZVH de overdracht doet namens de betreffende partner(s). Maar formeel is het de betreffende partner.

Aansluiting wijkteam als toeleidingsorganisatie

Vraag
De Toegangsorganisatie in een van de deelnemende gemeenten (Sociaal team/Jeugdteam/ WMO team) wordt per 1 januari 2019 een zelfstandige bv. Wat is er voor nodig om de aansluiting van dergelijke partners te borgen?

Antwoord
Het gaat om een ‘Toegangsorganisatie’. Dat suggereert dat zij de toegangstaak vervult voor het sociaal domein namens de het College van B&W, en dat zij vanuit die taak partner is in het ZVH.

Juridisch gezien nemen zij dus niet deel vanuit een eigen taak, maar vanuit de publiekrechtelijke taken van het College van B&W. Als het goed is heeft het College van B&W hen daartoe gemandateerd. Dat valt dan onder artikel 6.4 onder b van het protocol.

Voor alle duidelijkheid is het verstandig een apart lid in dit artikel te maken voor de specifieke taak en grondslag van waaruit de Toegangsorganisatie deel neemt. Let op: het artikel voor het College van B&W moet ook blijven staan. Dat artikel kan er ongeveer als volgt uitzien:

b. De Toegangsorganisatie : de goede uitvoering van taken die zij onder mandaat van het college van B&W verricht, waaronder in het bijzonder taken in het sociaal domein zoals bedoeld in de WMO artikel 2.3.1 t/m 2.3.5, de Jeugdwet artikel 2,3 en 2.4, de Participatiewet artikel 7.1, en de Wet schuldhulpverlening artikel 3.

Wijkteam neemt ook deel vanuit hulpverlenerstaak
Indien de organisatie ook betrokken kan zijn in het ZVH vanuit hulpverlenerstaken, moet je daarvoor een apart lid toevoegen aan artikel 6.4. De grondslag wordt immers bepaald door de (wettelijke) taak die een organisatie uitvoert. Daarvoor kun je kijken naar artikel 6.4 onder m. En dat daarop aanpassen.

En hoe zit het met het convenant?
Wat betreft het convenant is het eenvoudig: de Toegangsorganisatie kan gewoon een van de convenantpartners worden.

Regeling meldplicht datalekken (artikel 14 protocol)

Vraag
We plaatsen vraagtekens bij de regeling omtrent datalekken. In het privacyprotocol staat nu dat partijen, indien wettelijk verplicht, een inbreuk aan de Autoriteit Persoonsgegevens melden. Dit terwijl de manager in bepaalde gevallen ook zelf handelt. Hoe zit dit?

Antwoord
Dit heeft te maken met het feit dat de afzonderlijke partijen verantwoordelijk zijn voor de gegevensverwerking. De manager acteert nooit als zelfstandig verwerkingsverantwoordelijke maar altijd namens of onder gezag van een of meerdere partners (artikel 2 protocol).

Als er een datalek bij het ZVH optreedt, loopt de melding via de partijen waarvan de gegevens gelekt zijn. i.c. de betrokkenen bij een casus, of indien het een inbraak in de systemen betreft alle convenantpartners.

Rechten betrokkene (artikel 16 t/m 21 protocol)

Vraag
Als de manager een antwoord geeft op een verzoek van de betrokkene, bijvoorbeeld een verzoek tot inzage of een verzoek tot correctie, is dit dan een besluit in de zin van de Algemene wet bestuursrecht? Als er sprake is van mandaat van een of meer gemeenten, dan is dat ons inziens wel het geval. Maar waar dient de betrokkene dan bezwaar in te dienen? Bij de desbetreffende gemeente? Dit geldt voor alle rechten van betrokkenen.

Antwoord
De manager coördineert de reactie op het verzoek. Het gaat hier in de regel om een verzoek dat betrekking heeft op gegevens van de partijen die betrokken zijn bij de casus. Daarom moet de reactie ook plaatsvinden in afstemming met die partijen. Als de manager het antwoord geeft, doet deze dit ook namens de betrokken partijen die elk zelf verantwoordelijke zijn. Voor zover het gemeenten betreft, zijn dit inderdaad AWB-besluiten. Tegen de beslissingen van de afzonderlijke partners kan betrokkene bezwaar aantekenen. Dit kan ook via de manager lopen. En dan via dezelfde lijn. Belangrijk is dat de formele bevoegdheidsverlening naar de manager om dit te coördineren en als aanspreekpunt te fungeren goed is geregeld.

Dit is een gecompliceerd proces. Het is de consequentie van het feit dat het ZVH geen eigen wettelijke taak heeft en dus ook niet zelfstandig Verwerkingsverantwoordelijke kan zijn.

Het is van belang dit goed te organiseren en ervoor te zorgen dat de manager goed in positie is om als aanspreekpunt en coördinatiepunt te functioneren, zodat de betrokkene zo min mogelijk last heeft van deze ‘spaghetti’.

Verwerkingsregister (artikel 24 protocol)

Vraag

In het protocol staat het volgende:

24.1. Partijen registeren hun Verwerkingen van Persoonsgegevens onder dit Protocol in een eigen register van verwerkingsactiviteiten.

24.2. Aanvullend neemt de Manager de Verwerkingen van Persoonsgegevens op locatie en in de informatiesystemen van het Zorg- en Veiligheidshuis op in een gezamenlijk register van verwerkingsactiviteiten onder dit Protocol ten behoeve van Partijen.

24.3. Het register van verwerkingsactiviteiten bevat minimaal de volgende informatie:
a. De naam en contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken (of diens vertegenwoordiger);
b. De verwerkingsdoeleinden;
c. Een beschrijving van de categorieën Persoonsgegevens die worden Verwerkt;
d. Een beschrijven van de categorieën Betrokkenen;
e. De categorieën van ontvangers aan wie de Persoonsgegevens worden (of zullen worden) verstrekt;
f. Indien van toepassing, doorgifte van Persoonsgegevens aan derde landen of internationale organisaties.

Ik zie dat hier is aangesloten bij artikel 30 lid 1 van de AVG (verwerkingsregister voor verwerkingsverantwoordelijken). Ik kan echter uit artikel 24.3 Privacy Protocol niet afleiden of dit de eisen zijn die gesteld worden aan het register van het ZVH of het register van de partijen (art. 24 lid 2 resp. art. 24 lid 1 Protocol).

Mijn vragen zijn:

• 1. Is het ZVH uitsluitend verwerker en zijn de partijen verwerkingsverantwoordelijk in de zin van de AVG?
• 2. Is artikel 24.3 een uitwerking van artikel 24.1 of 24.2? Oftewel: geldt deze opsomming van vereisten voor het verwerkingsregister van partijen of het verwerkingsregister van het ZVH?
• 3. Kun je aangeven waarom artikel 30 lid 1 f en g AVG (bewaartermijnen) niet aan de lijst met vereisten uit 24.3 is toegevoegd?
• 4. Als het ZVH een verwerkingsregister opstelt t.b.v. de verwerkingsverantwoordelijken, is dat dan een soort geste aan de partners? Omdat zij geen weet hebben van de gegevens die bij ons in de systemen zitten.

Antwoord

Ad 1. De partners zijn verwerkingsverantwoordelijken voor de gegevensverwerking in het ZVH. Juridisch is dit complex, want deels zijn ze gezamenlijk, en deels zelfstandig verantwoordelijke. (zie artikel 2, protocol).

Het ZVH is in juridische zin geen verwerker. Want het ZVH werkt onder gezag van de partij die gegevens heeft verstrekt (art 2.3 protocol). Er hoeven daarom bijvoorbeeld ook geen aparte verwerkingsovereenkomsten getekend te worden tussen ZVH en partners. Ook omdat alles wat je in een verwerkersovereenkomst zou willen regelen al geregeld wordt in protocol en convenant.

Ad 2. Artikel 24.3 is een uitwerking die zowel voor 24.1 als 24.2 geldt. Als de verantwoordelijke een verwerkingsregister opstelt, moeten daar de punten van 24.3 in staan.

Onderdeel van dat verwerkingsregister zal zijn een hoofdstuk met de verwerkingen in het kader van het ZVH, waarin vervolgens ook de punten van 24.3 staan m.b.t. de verwerkingen in het ZVH.
Artikel 24.2 is bedoeld om af te spreken dat de manager ZVH dat register m.b.t. de verwerkingen in het ZVH opstelt ten behoeve van het register van de partners. Je kunt één register maken voor het ZVH dat alle partners in hun eigen register op kunnen nemen.

Ad 3. Nee. Waarschijnlijk is dat een vergissing. Want die zijn natuurlijk heel relevant.
Je kunt daarvoor uitgaan van de termijnen die we hebben gekozen voor de fase van afschaling.

Ad 4. Zo zou je het kunnen zien. De partners kunnen niet echt overzien hoe het ZVH-werkproces en bijbehorende gegevensverwerkingen in elkaar zitten. Maar beschouw het niet alleen als een geste aan hen hoor. Je hebt er zelf ook voordeel van. Anders krijg je alle partners afzonderlijk op je dak die jou gaan vragen welke gegevens er in het kader van het ZVH verwerkt worden.

Win-win dus ;-)