Welke gegevens mogen we aan een schoolarts of aan de GGD leveren?
De vragenlijsten van de GGD zijn een terugkerend issue. Er is inmiddels wetgeving ontwikkeld: de GGD’s kunnen zodra deze nieuwe wet in werking treedt op 1 augustus 2017 deze data opvragen bij DUO (gegevens uit BRON). Tot die invoering, zou je de volgende lijn het beste kunnen aanhouden:
Je mág de lijsten verstrekken (GGD heeft daar het recht toe), je bent daar niet toe verplicht. Maar mogelijk valt het verstrekken van lijsten aan de GGD niet onder vrijstelling van de meldingsverplichting (art. 19 lid 2 en 4 Vrijstellingsbesluit Wbp), met als gevolg dat iedere school dus zelf een formele melding moet doen bij Autoriteit Persoonsgegevens (AP) van het feit dat persoonsgegevens worden doorgegeven aan een derde (namelijk de GGD). Als meer dan alleen (!) NAW-gegevens en klas worden doorgegeven, moeten ouders toestemming geven of ten minste verzet kunnen instellen tegen de verstrekking (vooraf informeren dus).
Veel scholen geven meestal alleen klassen- en adressenlijsten door, dus zonder allerlei aanvullende medische informatie.
De onderbouwing is als volgt:
Op grond van de Wbp mag een school persoonsgegevens van de leerling verwerken indien dit noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het bestuursorgaan waaraan de gegevens worden verstrekt. Het college van burgemeester en wethouders draagt zorg voor de uitvoering van de jeugdgezondheidszorg. Ter uitvoering van die taak zorgt het college van burgemeester en wethouders in ieder geval voor (onder meer) het op systematische wijze volgen en signaleren van ontwikkelingen in de gezondheidstoestand van jeugdigen en van gezondheid bevorderende en -bedreigende factoren. (artikel 5 lid 1 en lid 2 aanhef en sub a Wet publieke gezondheid). Op basis van art. 14 van die wet draagt het college van B&W de uitvoering van deze taak op aan een gemeentelijke of regionale gezondheidsdienst.
De GGD heeft dus een wettelijk opgedragen publieke taak om “jeugdigen” (tot 19 jaar oud) op systematische wijze te volgen. Dat gebeurt door op verschillende momenten contact te hebben met het kind. Deze contactmomenten zijn vastgesteld in de Richtlijn Contactmomenten Basispakket JGZ 0-19 jaar (http://www.ncj.nl/programmalijn-kennis/landelijke-werkdocumenten/richtlijn/?item=17). Daaruit blijkt dat GGD’s over het algemeen de leeftijd of de klas/groep van de kinderen gebruiken ter bepalingen van het contactmoment. Die Richtlijn is overigens geen wet- of regelgeving, maar een beroepsrichtlijn en is dus niet bindend.
De gegevens die de GGD in de email vraagt (let op: maar alleen van jongeren tot 19 jaar), lijken noodzakelijk voor het onderzoeken van de gezondheid en de sociale en emotionele ontwikkeling en voor het opvolgen van geconstateerde problemen.
De conclusie is dus dat scholen in beginsel de gegevens mogen verstrekken aan de GGD, tenzij zou blijken dat er andere manieren zijn om deze gegevens te verkrijgen die minder inbreuk maken op de privacy van de leerling. Volgend jaar via DUO dus. Er is geen wettelijke plicht voor de school om de opgevraagde gegevens te verstrekken, behalve misschien op basis van een “algemene zorgplicht om een gezonde leeromgeving te waarborgen” (en daarvoor zou de GGD de aangewezen instantie zijn).
Dan over de melding: de meeste scholen hebben de verwerking van persoonsgegevens van leerlingen niet gemeld aan de AP, maar zij zich beroepen op de vrijstelling van de gegevensverwerking inzake ‘leerlingen, deelnemers en studenten’.
De verstrekking aan de GGD kan mogelijk worden begrepen onder de doelen genoemd in artikel 18 Vrijstellingsbesluit Wbp lid 2 onder g (de uitvoering of toepassing van een andere wet). Maar omdat er geen verplichting bestaat om gegevens te verstrekken, is de vraag of dit voldoende basis biedt, omdat er geen verplichting is gegevens te verstrekken. Dit vraagt nader onderzoek. Verstrekking aan derden (zoals de GGD) is ook op grond van lid 4 mogelijk als een beroep kan worden gedaan op artikel 8 onder e Wbp, echter op voorwaarde dat slechts een beperkte set aan gegevens wordt verstrekt “nadat het voornemen daartoe aan de betrokkene of diens wettelijke vertegenwoordiger is medegedeeld en deze gedurende en redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen”. Met andere woorden: aan de betrokkenen of hun wettelijke vertegenwoordigers moet het verzetsrecht worden aangeboden, voordat gegevens van de leerlingen aan de GGD mogen worden verstrekt. Bovendien moet de verstrekking beperkt blijven tot kort samengevat NAW-gegevens. De verstrekking van de uitgebreide set van gegevens waar de GGD om vraagt, waaronder ook klas, klastoevoeging en niveau (en mogelijk ook nog andere gegevens) zal tot gevolg hebben dat de school zich niet (langer) op de vrijstelling kan beroepen en de verstrekking van persoonsgegevens aan de GGD dus moet gaan melden aan het CBP. Ik laat in het midden of het wenselijk is dat scholen, die juist vrijgesteld zijn van een meldingsverplichting (om administratieve last beperken), voor levering aan de GGD apart meldingen zouden moeten gaan doen.
En natuurlijk geldt dat de gegevens alleen door de GGD gebruikt mogen worden voor de publiekrechtelijke taak die aan hen opgedragen is.