Wekelijks laten tienduizenden mensen zich in de teststraten testen op het coronavirus. Afgelopen weken waren het er meer dan 180.000, de week daarvoor ruim 163.000. Bij het afnemen van coronatests verwerken laboratoria persoonsgegevens van mensen die zich laten testen. Wat gebeurt er met mijn gegevens na testen op corona? Dit is een van de vragen die wij steeds vaker te horen krijgen. In dit artikel geven wij antwoord op de vraag wat er met uw gegevens gebeurt na testen op corona. Hierbij verwijzen wij tevens naar de privacyverklaring van GGD GHOR, de overkoepelende organisatie van GGD\’s.
Algemene Verordening Gegevensbescherming (AVG) van toepassing
Net als huisartsen, tandartsen en andere zorgverleners moeten de GGD\’s zich houden aan de AVG. Dit betekent dat zij de persoonsgegevens goed moeten beveiligen en de juiste personen toegang hebben tot de juiste gegevens voor welbepaalde doeleinden. Persoonsgegevens mogen in beginsel niet worden gebruikt voor andere doeleinden. Dit wordt ook vermeld in de AVG.
Laboratoria kunnen het dna-materiaal dat is afgenomen bij een coronatest enkele weken tot maanden bewaren. Dit is terug te lezen in de privacyverklaring op de website van GGD GHOR. De persoonsgegevens die voor een test moeten worden opgegeven kunnen op grond van de Wet publieke gezondheid (Wpg) maximaal vijf jaar bewaard worden door de GGD\’s. Dit is opgenomen in artikel 29 van de Wpg.
Soorten persoonsgegevens die worden verwerkt
Voor het uitvoeren van de coronatests en het doorgeven van de uitslag verwerkt de GGD verschillende persoonsgegevens, zoals algemene en bijzondere persoonsgegevens. Hierbij moeten we denken aan onder andere naam, adres, geboortedatum, geslacht en burgerservicenummer. Ook gaat het om het telefoonnummer, e-mailadres, de klachten en streepjescode van het testbuisje. Verder verwerkt de GGD het antwoord op de vraag of er direct contact us geweest met anderen en de beroepsgroep wanneer er is gewerkt. Deze gegevens worden door de GGD\’s maximaal vijf jaar bewaard.
Wettelijke basis voor verwerken burgerservicenummer
GGD\’s mogen het burgerservicenummer (BSN) mag enkel verwerken als er een wettelijke grondslag voor bestaat. Dit vloeit voort uit artikel 1 van de Wet algemene bepalingen burgerservicenummer (Wabb). De wettelijke basis voor het gebruik van het BSN door de GGD\’s vinden we terug in artikel 24 van de Wpg.
(On)duidelijke afspreken tussen betrokken partijen
Uit de privacyverklaring van GGD GHOR blijkt dat de verwerkte persoonsgegevens kunnen worden uitgewisseld tussen diverse partijen. Dit is op zichzelf niet verboden. Sterker nog: de AVG laat ruimte aan organisaties om de persoonsgegevens intern of extern uit te wisselen, mits er voldoende waarborgen bestaan. Het uitwisselen van gevoelige data tussen meerdere partijen kan het beste worden vormgegeven door contractuele bepalingen met elkaar af te spreken. We kunnen denken aan de overeenkomst tussen GGD GHOR en uitvoerende partijen en de inkoopvoorwaarden van de GGD GHOR. De afspraken kunnen worden neergelegd in een specifieker document, namelijk afzonderlijke verwerkersovereenkomsten tussen deze partijen. In de privacyverklaring zien wij echter geen bepalingen over een al dan niet bestaande verwerkersovereenkomst. Dit roept de vraag op welke afspreken er tussen de partijen zijn gemaakt om de privacy van de betrokkenen te beschermen. Immers, het gaat om privacygevoelige persoonsgegevens van mensen die zich melden met gezondheidsklachten.
Hoe gaat u om met (bijzondere) persoonsgegevens?
Wat gebeurt er met mijn gegevens als ik mijn gegevens door uw organisatie laat verwerken? Hoe gaat u als bedrijf of organisatie om met privacygevoelige (bijzondere) persoonsgegevens? Heeft u bijvoorbeeld gedacht aan een verwerkersovereenkomst? Heeft u duidelijke afspraken met de partijen die persoonsgegevens in opdracht van u verwerken? Wij raden u aan om tijdig juiste maatregelen te treffen. Dit voorkomt datalekken en fikse boetes.
Heeft u vragen? Neem gerust contact met ons op, zodat wij u tijdig kunnen helpen.