Vraag
Als ik een vraag heb voor de helpdesk van Inzicht Sociaal Domein, mag ik dan een bijlage meesturen? Bijvoorbeeld een rapport of een beschikking die helpen mijn vraag te verduidelijken. Mogen daar persoonsgegevens van een inwoner instaan of is dat dan een datalek?
Antwoord
De medewerkers van de helpdesk hebben geen persoonsgegevens van betrokkene nodig om de vraag te kunnen beantwoorden. Er is daarom geen grondslag om persoonsgegevens met de helpdesk te delen. Als er in de bijlage bij de vraag wel persoonsgegevens staan, dan is er sprake van een datalek. Een bijlage bij een helpdeskvraag meesturen mag, maar dan wel zonder leesbare persoonsgegevens.
De helpdesk en het verwerken van persoonsgegevens
Het meesturen van een document met persoonsgegevens van inwoners als bijlage bij een vraag aan de helpdesk is een (verdere) verwerking van persoonsgegevens. Daar is de AVG op van toepassing. Medewerkers van de helpdesk van Stimulansz behandelen het dossier niet. Zij hebben geen persoonsgegevens nodig om de vraag te kunnen beantwoorden. Er is dus geen basis om persoonsgegevens met de helpdesk te delen, want er bestaat geen noodzaak toe. De helpdeskmedewerker zal daarom de bijlage direct verwijderen en de steller van de vraag hiervan op de hoogte brengen.
Procedure bij een datalek
Een datalek is kortgezegd een inbreuk in de bescherming van persoonsgegevens (art. 4 onder 12 AVG) zonder dat dit mag of zonder dat dit de bedoeling is. Als je zonder grondslag – of dat nou per ongeluk is of niet – persoonsgegevens naar een derde buiten je organisatie verstuurt, is er dus sprake van een datalek. In beginsel moet een datalek zo snel mogelijk bij de Autoriteit Persoonsgegevens (AP) worden gemeld. Dat kan achterwege blijven als het niet waarschijnlijk is dat het datalek een risico oplevert voor betrokkene. Dit datalek moet dan wel gedocumenteerd worden in een incidentenregister (art. 33 lid 5 AVG). Als de bijlage snel verwijderd wordt, dan zal het risico voor betrokkene meestal beperkt zijn. Een melding bij de AP is dan niet nodig.
Hoe moet het dan wel?
Het belangrijkste is om vooraf te bedenken of het als toelichting op de vraag nodig is om een bijlage mee te sturen. Als dat zo is, dan is het overigens vaak al voldoende om bijvoorbeeld de meest relevante alinea – uiteraard zonder persoonsgegevens – uit het rapport of de beschikking te halen en dat in de vraag te citeren. Als je een bijlage meestuurt, lak dan in het document alle persoonsgegevens weg.
Wil je meer leren over do’s en dont’s van privacy in het sociaal domein? Start het leren en doe mee aan de training Praktisch omgaan met privacy in het sociaal domein op woensdag 26 maart 2025.
