Privacyverklaring

Algemene Privacyverklaring GGD regio Utrecht
Laatst bijgewerkt op: oktober 2026

1. Algemene informatie

1.1. Verwerkingsverantwoordelijke

De GGD regio Utrecht (GGDrU), als gemeenschappelijke regeling van verbonden gemeenten, is verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG) voor de verwerking van persoonsgegevens binnen de uitgevoerde werkzaamheden.

Adres: GGD regio Utrecht, De Dreef 5, 3706 BR Zeist

1.2. Inleiding

GGD regio Utrecht verwerkt persoonsgegevens om haar wettelijke taken op het gebied van de publieke gezondheid uit te voeren en om haar dienstverlening mogelijk te maken. Wij vinden het belangrijk dat betrokkenen weten welke persoonsgegevens wij verwerken, waarom wij dat doen en welke rechten zij daarbij hebben. In deze algemene privacyverklaring leggen wij uit hoe wij in algemene zin omgaan met persoonsgegevens.

Voor verschillende onderdelen van onze dienstverlening kunnen aanvullende privacyverklaringen gelden. Deze specifieke verklaringen bevatten meer toegespitste informatie over de persoonsgegevens die worden verwerkt in die dienst of uitvoering van de genoemde wettelijke taak.

1.3. Specifieke privacyverklaringen

Voor de volgende onderdelen geldt, of zal gaan gelden, een additionele privacy verklaring:
– Infectieziektebestrijding;
– Seksuele gezondheid;
– Openbare geestelijke gezondheidszorg.

Indien een specifieke privacyverklaring van toepassing is, bevat deze nadere informatie over de verwerking van persoonsgegevens binnen dat werkterrein.

1.4. Verhouding tot specifieke privacyverklaringen

Deze algemene privacyverklaring bevat de algemene uitgangspunten die gelden voor de verwerking van persoonsgegevens door GGDrU.

Voor specifieke werkzaamheden of taakgebieden kunnen aanvullende privacyverklaringen gelden. Deze specifieke privacyverklaringen bevatten nadere informatie over de betreffende verwerking.

Indien een specifieke privacyverklaring afwijkt van of een nadere uitwerking geeft aan deze algemene privacyverklaring, geldt voor die verwerking de specifieke privacyverklaring aanvullend op deze algemene privacyverklaring.
Voor onderwerpen die niet zijn geregeld in een specifieke privacyverklaring blijft deze algemene privacyverklaring van toepassing.

2. Verwerking van persoonsgegevens

In dit onderdeel wordt toegelicht welke categorieën persoonsgegevens GGDrU verwerkt en uit welke bronnen deze afkomstig kunnen zijn.

2.1. Welke persoonsgegevens verwerken wij?

Welke persoonsgegevens wij verwerken hangt af van het doel van de verwerking en de dienstverlening die wij uitvoeren.

Wij kunnen onder meer de volgende categorieën persoonsgegevens verwerken:
– naam-, adres- en contactgegevens;
– geboortedatum;
– burgerservicenummer (BSN), indien wettelijk toegestaan of verplicht;
– gegevens over gezondheid;
– strafrechtelijke persoonsgegevens, politiegegevens en gegevens afkomstig van politie, justitie of andere bevoegde instanties, voor zover GGDrU deze op grond van wet- en regelgeving mag ontvangen of moet verwerken;
– financiële en administratieve gegevens, voor zover noodzakelijk;
– gegevens die noodzakelijk zijn voor de uitvoering van wettelijke taken;
– gegevens die u zelf aan ons verstrekt.

Wij verwerken niet meer persoonsgegevens dan noodzakelijk is voor het doel waarvoor deze worden gebruikt.

GGDrU verwerkt persoonsgegevens overeenkomstig de beginselen van dataminimalisatie, proportionaliteit en subsidiariteit. Wij verwerken uitsluitend persoonsgegevens die noodzakelijk zijn voor het betreffende doel en beoordelen waar mogelijk of een minder ingrijpende verwerking volstaat.

2.2. Hoe verkrijgen wij persoonsgegevens?

Wij kunnen persoonsgegevens ontvangen:
– rechtstreeks van betrokkenen;
– via gemeenten;
– via zorgverleners;
– via andere overheidsorganisaties, landelijke registraties, uitvoeringsorganisaties en bevoegde instanties;
– via samenwerkingspartners;
– uit wettelijke registraties, authentieke bronnen, openbare bronnen, commerciële informatiebronnen en andere rechtmatig verkregen informatiebronnen, voor zover dit noodzakelijk is voor de uitvoering van een specifieke wettelijk omschreven taak belegd bij GGDrU;
– Wanneer u telefonisch contact opneemt met GGD regio Utrecht kan uw gesprek worden opgenomen voor kwaliteitsverbetering en de zorgvuldige afhandeling van klachten.

Dit gebeurt uitsluitend wanneer daarvoor een wettelijke grondslag bestaat. Sommige persoonsgegevens zijn wij wettelijk verplicht te ontvangen of te verwerken. In die gevallen is het verstrekken van persoonsgegevens noodzakelijk voor de uitvoering van onze wettelijke taken. Indien gegevens niet worden verstrekt, kan dit gevolgen hebben voor de uitvoering van onze dienstverlening of wettelijke verplichtingen.

3. Voor welke doelen verwerken wij persoonsgegevens?

GGDrU verwerkt persoonsgegevens uitsluitend voor gerechtvaardigde, uitdrukkelijk omschreven doeleinden die voortvloeien uit haar wettelijke taken en bevoegdheden, of uit aanvullende diensten die zij verleent.

Afhankelijk van de werkzaamheden kunnen persoonsgegevens voor één of meer van de hieronder genoemde doeleinden worden verwerkt. Niet ieder doel is van toepassing op iedere verwerking. Welke doeleinden gelden, hangt af van de betreffende werkzaamheden en het daarvoor geldende wettelijke of organisatorische kader. Persoonsgegevens worden niet gebruikt voor doeleinden die niet verenigbaar zijn met het oorspronkelijke doel waarvoor zij zijn verzameld. Wanneer gegevens worden gebruikt voor onderzoek, statistiek, monitoring, evaluatie of beleidsontwikkeling, gebeurt dit waar mogelijk op een niveau waarbij resultaten niet herleidbaar zijn tot individuele personen.

Verwerkingsdoeleinden:
– uitvoering van wettelijke taken op grond van gezondheidswetgeving;
– bescherming en bevordering van de volksgezondheid;
– zorgverlening en ondersteuning;
– preventie en gezondheidsbevordering;
– onderzoek, monitoring, epidemiologie, statistiek, beleidsontwikkeling en evaluatie van publieke gezondheidsprogramma’s;
– kwaliteitsverbetering;
– communicatie met betrokkenen;
– uitvoering van administratieve processen;
– beheer, beveiliging, ondersteuning en continuïteit van informatiesystemen, applicaties en digitale dienstverlening;
– uitvoering van werkgeverschap en personeelsadministratie;
– werving en selectie van medewerkers, stagiaires en vrijwilligers;
– uitvoering van arbeidsrechtelijke, fiscale en sociale zekerheidsverplichtingen;
– toezicht-, inspectie- en handhavingstaken die bij of krachtens wet aan GGDrU zijn opgedragen;
– deelname aan en gegevensuitwisseling binnen samenwerkingsverbanden en ketens op het gebied van zorg, veiligheid, toezicht, handhaving en publieke gezondheid, voor zover noodzakelijk voor de uitvoering van wettelijke taken;
– het ontvangen, beoordelen en opvolgen van meldingen, signalen en verzoeken die relevant zijn voor de uitvoering van wettelijke taken;
– uitvoering van forensisch-medische taken en andere wettelijk opgedragen taken op het gebied van de publieke gezondheid;
– signalering, advisering en onderzoek op het gebied van medische milieukunde en gezondheidsrisico’s in de leefomgeving;
– overige werkzaamheden die voortvloeien uit de wettelijke taken van GGDrU;
– Opnames gesprekken algemeen telefoonnummer GGD, ter kwaliteitsverbetering en de zorgvuldige afhandeling van klachten. Gesprekken met een arts en/of verpleegkundige worden niet opgenomen.

Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de oorspronkelijke doeleinden. Wanneer gegevens worden gebruikt voor analyse, statistiek of beleidsontwikkeling, gebeurt dit waar mogelijk op geaggregeerd of gepseudonimiseerd niveau, tenzij de wettelijke taak anders vereist.

4. Wettelijke grondslagen

In dit hoofdstuk leest u op welke juridische grondslagen GGDrU persoonsgegevens verwerkt.

4.1. Toepasselijke grondslagen

GGDrU verwerkt persoonsgegevens uitsluitend wanneer daarvoor een wettelijke grondslag bestaat. Dit omvat de uitvoering van wettelijke taken, waaronder gegevensverwerking in het kader van ketensamenwerking en samenwerkingsverbanden.

Afhankelijk van de verwerking kan sprake zijn van:
– artikel 6 lid 1 sub a AVG (toestemming), indien vereist.
– artikel 6 lid 1 sub b AVG (uitvoeren van een overeenkomst);
– artikel 6 lid 1 sub c AVG (wettelijke verplichting);
– artikel 6 lid 1 sub e AVG (taak van algemeen belang of openbaar gezag);
– artikel 6 lid 1 sub f AVG (gerechtvaardigd belang), voor zover deze grondslag voor de betreffende verwerking kan worden toegepast.

Wanneer gezondheidsgegevens of andere bijzondere persoonsgegevens worden verwerkt, gebeurt dit uitsluitend op grond van een uitzondering zoals bedoeld in artikel 9 AVG en voor zover toegestaan door toepasselijke wetgeving. De specifieke wettelijke grondslagen verschillen per taakgebied en worden nader toegelicht in de betreffende specifieke privacyverklaringen.

Bij de uitvoering van haar werkzaamheden verwerkt GGDrU regelmatig gezondheidsgegevens en andere bijzondere persoonsgegevens. Deze gegevens worden uitsluitend verwerkt voor zover daarvoor een uitzondering geldt als bedoeld in artikel 9 AVG, waaronder gezondheidszorg, preventieve gezondheidszorg, arbeidsgeneeskunde, beheer van gezondheidszorgstelsels en -diensten, volksgezondheid, wetenschappelijk of historisch onderzoek en statistische doeleinden, voor zover toegestaan door toepasselijke wetgeving.

In uitzonderlijke gevallen kan GGDrU ook strafrechtelijke persoonsgegevens verwerken. Dergelijke gegevens worden uitsluitend verwerkt voor zover dit is toegestaan op grond van artikel 10 AVG, de Uitvoeringswet AVG of andere toepasselijke wet- en regelgeving en voor zover dit noodzakelijk is voor de uitvoering van wettelijke taken of verplichtingen van GGDrU.

4.2. Geautomatiseerde besluitvorming en profilering

GGDrU maakt geen gebruik van geautomatiseerde besluitvorming in de zin van artikel 22 AVG waarbij besluiten worden genomen die rechtsgevolgen hebben of personen in belangrijke mate treffen, uitsluitend op basis van geautomatiseerde verwerking zonder menselijke tussenkomst.

GGDrU past geen profilering toe die leidt tot geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare significante gevolgen voor betrokkenen.

Indien in specifieke processen sprake is van geautomatiseerde ondersteuning, is altijd sprake van menselijke beoordeling.

5. Beveiliging van persoonsgegevens

Hierna leest u hoe wij persoonsgegevens beveiligen en hoe wij voldoen aan onze informatiebeveiligingsverplichtingen, en hoe wij omgaan met datalekken.

5.1. Beveiligingsmaatregelen

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, onbevoegde toegang, misbruik en onrechtmatige verwerking. Alleen medewerkers die persoonsgegevens nodig hebben voor de uitvoering van hun werkzaamheden krijgen toegang tot deze gegevens.

Wij werken met beveiligde systemen en hanteren passende autorisatie- en controlemaatregelen.

Wij werken volgens algemeen erkende informatiebeveiligingsnormen binnen de publieke sector en richten ons op naleving van gangbare standaarden zoals NEN 7510 en ISO 27001. Waar certificering (nog) niet is gerealiseerd, worden deze normen als richtsnoer toegepast in beleid en uitvoering.

5.2. Datalekken

Wanneer zich een datalek voordoet, handelen wij conform de AVG en interne procedures.
Indien wettelijk vereist melden wij het datalek aan de Autoriteit Persoonsgegevens en informeren wij betrokkenen wanneer het datalek waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden.

6. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk is voor het doel waarvoor deze zijn verzameld, tenzij een additionele wettelijke bewaartermijn geldt of legitieme reden bestaat.

De bewaartermijnen worden bepaald op basis van toepasselijke wet- en regelgeving, waaronder de Archiefwet en sectorale regelgeving binnen de publieke gezondheidszorg, en zijn uitgewerkt in interne bewaartermijnen- en selectielijsten van GGDrU.

De exacte bewaartermijnen verschillen per verwerking en kunnen nader zijn uitgewerkt in specifieke privacyverklaringen of interne beleidsdocumenten.

Na afloop van de bewaartermijn worden persoonsgegevens vernietigd of overgebracht naar een archiefbewaarplaats, indien en voor zover dit op grond van de Archiefwet is vereist.

7. Delen van persoonsgegevens

In dit hoofdstuk leest u met welke partijen wij persoonsgegevens kunnen delen en onder welke voorwaarden dit gebeurt.

7.1. Gedeelde gegevens

Wij delen persoonsgegevens uitsluitend wanneer dit noodzakelijk is voor de uitvoering van onze wettelijke taken of dienstverlening en beperkt tot gegevens die daarvoor vereist zijn.

Persoonsgegevens kunnen worden gedeeld met:
– gemeenten;
– zorgverleners;
– landelijke uitvoeringsorganisaties, inspecties en uitvoeringsinstanties;
– toezichthouders;
– andere overheidsinstanties;
– politie, het Openbaar Ministerie, de rechtspraak en andere bevoegde opsporings-, toezichts- of handhavingsinstanties, voor zover GGDrU daartoe wettelijk verplicht of bevoegd is;
– samenwerkingsverbanden en netwerken op het gebied van zorg, veiligheid, toezicht, handhaving en publieke gezondheid, alleen voor zover GGDrU daaraan op grond van wet- en regelgeving deelneemt of persoonsgegevens mag verstrekken;
– verwerkers die namens GGDrU persoonsgegevens verwerken.

Wanneer externe partijen persoonsgegevens namens ons verwerken, sluiten wij verwerkersovereenkomsten waarin afspraken zijn vastgelegd over beveiliging, vertrouwelijkheid en rechtmatige verwerking.

Indien persoonsgegevens buiten de Europese Economische Ruimte (EER) worden verwerkt, zorgen wij voor passende waarborgen overeenkomstig de AVG.

7.2. Samenwerking met andere organisaties

In sommige samenwerkingen kan sprake zijn van gezamenlijke verwerkingsverantwoordelijkheid als bedoeld in artikel 26 AVG.

In dat geval maken de betrokken organisaties afspraken over hun verantwoordelijkheden en de wijze waarop betrokkenen hun rechten kunnen uitoefenen. De hoofdlijnen van deze afspraken zijn op verzoek beschikbaar.

GGDrU kan in het kader van samenwerkingsverbanden zowel zelfstandig verwerkingsverantwoordelijke zijn als gezamenlijk verwerkingsverantwoordelijke met andere organisaties. Dit hangt af van de rolverdeling en de wettelijke grondslag per verwerking.

8. Geheimhouding

Medewerkers van GGDrU zijn gehouden aan geheimhouding van persoonsgegevens voor zover zij daarvan kennisnemen tijdens hun werkzaamheden.

Voor zorgverleners en andere functionarissen waarvoor een wettelijke geheimhoudingsplicht geldt, kan daarnaast een wettelijk beroepsgeheim of bijzondere geheimhoudingsplicht van toepassing zijn.

Persoonsgegevens worden uitsluitend ingezien en verwerkt voor zover dit noodzakelijk is voor de uitvoering van werkzaamheden.

9. Uw rechten

Hieronder leest u welke rechten u heeft met betrekking tot de verwerking van uw persoonsgegevens en hoe u deze kunt uitoefenen.

9.1. Rechten van betrokkenen

U heeft onder voorwaarden de volgende rechten:
– recht om gegeven toestemming in te trekken, indien verwerking is gebaseerd op toestemming;
– recht op inzage;
– recht op rectificatie;
– recht op gegevenswissing;
– recht op beperking van verwerking;
– recht op overdraagbaarheid van gegevens;
– recht van bezwaar.

9.2. Uitoefenen van uw rechten

Kinderen die in de regio Utrecht wonen, hebben een digitaal JGZ-dossier. Indien uw verzoek gaat over uw kind, kunt u het JGZ-dossier digitaal inzien via het klantportaal “Mijn JGZ Dossier” met uw DigiD. In principe staat hierin de informatie de we over u of uw kind verwerken.

Wilt u voor uzelf gebruikmaken van een van uw AVG-rechten, dan kunt u een verzoek indienen via het daarvoor bestemde formulier op onze website: Formulier aanvraag persoonsgegevens

Het gebruik van het onlineformulier is bedoeld om uw verzoek zorgvuldig en veilig te kunnen behandelen. Dit is nodig om uw identiteit te verifiëren en te voorkomen dat bijzondere persoonsgegevens, zoals gezondheidsgegevens, bij onbevoegden terechtkomen. Het gebruik van het formulier is geen beperking van uw rechten, maar een beveiligingsmaatregel om uw privacy te beschermen.

Wij reageren in beginsel binnen één maand op uw verzoek. Deze termijn kan met maximaal twee maanden worden verlengd indien het verzoek complex is of indien wij een groot aantal verzoeken ontvangen. In dat geval informeren wij u binnen één maand over de verlenging en de reden daarvan.

De behandeling van een verzoek om uitoefening van uw rechten op grond van de artikelen 15 tot en met 21 AVG is primair gericht op het verstrekken van informatie en het feitelijk uitvoeren van deze rechten. Wanneer een verzoek volledig wordt gehonoreerd, vindt verstrekking van de persoonsgegevens plaats zonder dat daarbij een afzonderlijk formeel besluit in de zin van de Algemene wet bestuursrecht wordt genomen, tenzij de toepasselijke wet- en regelgeving dit vereist.

Indien een verzoek (gedeeltelijk) niet kan worden gehonoreerd, ontvangt u hierover een gemotiveerde schriftelijke beslissing. In dat geval wordt u geïnformeerd over de mogelijkheid om een klacht in te dienen of een verzoek in te dienen bij de Functionaris voor Gegevensbescherming en/of de Autoriteit Persoonsgegevens.

GGDrU verwerkt in veel gevallen gezondheidsgegevens en andere gevoelige persoonsgegevens. Daarom kunnen wij vragen gebruik te maken van een beveiligd formulier of aanvullende informatie opvragen om uw identiteit vast te stellen.

Deze maatregelen zijn bedoeld om te voorkomen dat persoonsgegevens aan onbevoegden worden verstrekt en vormen geen onnodige beperking van uw privacyrechten. Wij passen hierbij steeds een passende en proportionele vorm van identificatie toe.

9.3. Beperkingen

De hiervoor genoemde rechten zijn niet absoluut.

In bepaalde gevallen kunnen wettelijke uitzonderingen of beperkingen van toepassing zijn, onder meer wanneer dit noodzakelijk is voor:
– de uitvoering van wettelijke taken op grond van toepasselijke wetgeving;
– de bescherming van de volksgezondheid;
– toezicht, inspectie of handhaving;
– wetenschappelijk of statistisch onderzoek;
– de bescherming van rechten en vrijheden van anderen;
– de bescherming van een zwaarwegend algemeen belang.

Voor zover de wet dit toestaat informeren wij betrokkenen wanneer een beperking van toepassing is.

10. Klachten en contact

10.1. Functionaris voor Gegevensbescherming

GGDrU heeft een Functionaris voor Gegevensbescherming (FG). Voor vragen over privacy of de verwerking van persoonsgegevens kunt u contact opnemen via:
fg@ggdru.nl

10.2. Klachten

Heeft u een klacht over de verwerking van uw persoonsgegevens, dan kunt u contact opnemen met GGDrU. Bent u niet tevreden over de afhandeling van uw klacht, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens.

10.3. Wijzigingen

GGDrU kan deze privacyverklaring wijzigen. De meest actuele versie wordt gepubliceerd op de website van GGDrU. Bij ingrijpende wijzigingen informeren wij betrokkenen wanneer dit passend of wettelijk vereist is.