Let op: dit artikel bevat updates. Lees het gehele artikel voor de meest actuele informatie.
Ja, dit mag, maar wel onder bepaalde voorwaarden. Voor het registreren van contactgegevens in het kader van het bron- en contactonderzoek (BCO) van de GGD bestaat is het gerechtvaardigd belang de verwerkingsgrondslag voor de school. Op dit moment is er geen wettelijke plicht die verplicht tot het registeren van de contactgegevens in het kader van het BCO (alleen een protocol van de sectorraden). Het is dus ook niet verplicht voor de bezoekers om hun gegevens te verstrekken.
Onder het gerechtvaardigd belang valt IEDER belang dat wettelijk en maatschappelijk aanvaardbaar is. Dus zeker ook de ondersteuning van het BCO. Het lijkt ons dat de belangenafweging in dit kader ook geen probleem vormt, gelet op het maatschappelijke effect dat corona heeft veroorzaakt. Verder moet bij het registeren van de contactgegevens op de volgende zaken gelet worden:
- Niet meer gegevens registeren dan nodig, dus: naam, aantal personen uit hetzelfde huishouden, telefoonnummer of e-mailadres en datum en tijd van het bezoek (dus geen adres en niet de gegevens van iedereen).
- Eén formulier/registratie per huishouden (dus niet een algemene lijst, waar bezoekers de gegevens van de vorige bezoekers kunnen zien).
- Op het formulier hoeft geen vraag naar gezondheid te staan. Dit is namelijk niet nodig voor BCO van de GGD. Daarnaast is er ook geen uitzonderingsgrond van toepassing.
- Een duidelijke privacyverklaring óp/bij aanbieden van het formulier waaruit blijkt dat de gegevens ten behoeve van het BCO van de GGD worden verzameld (dus geen eigen gebruik door de organisatie).
- De gegevens maximaal 14 dagen veilig opslaan en daarna verwijderen.
- Zorgen voor een veilige omgeving (digitaal of fysiek) waar de gegevens worden verzameld en/of bewaard. Bij voorkeur maak je gebruik van een omgeving waar je nu ook al gebruik van maakt.
- Sluit een verwerkersovereenkomst met leverancier/verwerker waarin wordt afgesproken dat de persoonsgegevens alleen voor de doeleinden mogen worden gebruikt die jullie aangeven.
UPDATE – Handreiking uitwisseling persoonsgegevens met GGD in het kader van BCO d.d. 31-03-2021
Recent heeft het Ministerie van OCW een handreiking en een schema opgesteld die duidelijkheid geven welke niet-bijzondere persoonsgegevens van leerlingen scholen met de GGD mogen uitwisselen in het kader van bron- en contactonderzoek COVID-19. De handreiking is in samenwerking met het RIVM, GGD GHOR, PO-Raad en VO-raad tot stand gekomen. Belangrijk is de onderbouwing door het ministerie van het gerechtvaardigd belang van scholen voor het doorgeven van een beperkt aantal persoonsgegevens aan de GGD voor hun bron- en contactonderzoek. Denk daarbij o.a. aan:
- het belang van de school om fysiek onderwijs te kunnen verzorgen en de zorgplicht voor scholen om leerlingen een ononderbroken ontwikkelingsproces te laten doorlopen;
- het belang van de school om de veiligheid van de leerlingen en het personeel te waarborgen;
- het belang van de leerling en de samenleving dat de leerling onderwijs volgt;
- Het belang van de leerlingen om fysiek onderwijs te ontvangen en zijn gezondheid in acht te nemen;
- Het belang van de leerlingen en ouders om tijdig te weten of de leerling risicovol contact heeft gehad om noodzakelijke maatregelen te treffen om een besmetting te isoleren;
- Het belang van de ouders om hun kinderen zoveel mogelijk fysiek onderwijs te laten ontvangen voor hun eigen mentale en fysieke gezondheid;
- Het belang van de GGD om via het BCO de covid-19-epidemie te bestrijden.
Het ministerie geeft duidelijk aan welke persoonsgegevens er aan de GGD mogen worden verstrekt als de GGD hier in het kader van BCO om vraagt. Het gaat uitsluitend om de volgende gegevens:
- De naam;
- De geboortedatum;
- Het telefoonnummer en/of e-mailadres van de leerling of van diens ouders als de leerling jonger is dan 16 jaar;
- Of de leerling op een of meerdere specifieke dagen op school aanwezig was (de presentie-/absentielijst). NB: denk hierbij ook aan aanwezige invalleerkrachten of bv. ambulant begeleiders;
- Waar de leerling in de klas zat tijdens een of meerdere lessen (de plattegrond van de klas);
- Of en op welke manier sprake was van groepsvorming/cohortering en contactbeperking conform de RIVM-richtlijnen.
Het gaat om een limitatieve lijst van persoonsgegevens waarvan het ministerie van OCW heeft vastgesteld dat scholen deze niet-bijzondere persoonsgegevens mogen bijhouden en mogen delen.:
- Andere persoonsgegevens en bijzondere persoonsgegevens mogen dus niet worden uitgewisseld;
- Scholen zijn niet verplicht om deze gegevens uit te wisselen.
- Het registreren en verder delen van informatie over personen die besmet zijn of in quarantaine verblijven, bijvoorbeeld omdat andere ouders dit vragen, blijft niet toegestaan, tenzij hiervoor expliciete toestemming is gegeven. Deze informatie is al bij de GGD bekend, dus hoeven scholen deze informatie ook niet te delen met de GGD:
Toestemming van de ouders bij het delen van deze gegevens is hiervoor niet meer nodig, wanneer de school zich baseert op eerdergenoemd gerechtvaardigd belang. Wel is het van belang om de ouders per brief te informeren over het proces van het bron- en contactonderzoek en de gegevens die worden uitgewisseld, zodat ze weten wat ze kunnen verwachten. Ook is het raadzaam om vooraf de GMR te informeren. Het ministerie heeft in de handreiking een model-brief voor de ouders toegevoegd. Zorg er ook voor de dat onderbouwing van het gerechtvaardigd belang altijd gedocumenteerd is en zorg ervoor dat het verwerkingsregister en de privacyverklaring ook worden aangepast. Houd er rekening mee dat betrokkene altijd een recht op bezwaar kunnen uitoefenen. In dat geval gebruikt de school de gegevens van de leerling en diens ouders niet en geeft deze niet door aan de GGD.
Voor meer informatie, zie de volledige nieuwsberichten van de PO-raad en de VO-raad
