Berufsgeheimnis (§ 203 StGB)

Artsenpraktijken, advocatenkantoren, belastingkantoren en verzekeraars vervangen regelmatig laptops, pc's en servers. Op die apparaten staan patiëntendossiers, cliëntendossiers of gezondheidsgegevens. Voor deze beroepsgroepen geldt naast de AVG het strafrecht: § 203 StGB beschermt het beroepsgeheim. Dit woordenlijstitem legt uit wat de bepaling regelt, wie ze treft en waar u bij het uitfaseren van IT op moet letten.

Wat staat er in § 203 StGB?

Een geheim in de zin van de bepaling is een feit dat slechts aan een beperkte kring van personen bekend is en waarvan de geheimhouding voor de betrokkene een beschermwaardig belang heeft. Daartoe horen bijvoorbeeld diagnoses, de inhoud van een opdracht of de vermogenssituatie van een cliënt. Wie zo'n geheim zonder machtiging bekendmaakt, dus voor een derde toegankelijk maakt, maakt zich strafbaar.

De straf is een gevangenisstraf van maximaal een jaar of een geldboete. Handelt de dader tegen betaling of met het oogmerk zich te verrijken of een ander te schaden, dan stijgt het strafkader tot maximaal twee jaar (§ 203 lid 6 StGB). Het feit wordt alleen op aangifte vervolgd (§ 205 StGB). Strafbaar is opzettelijk handelen, waarbij voorwaardelijk opzet volstaat: het is genoeg dat iemand de bekendmaking voor mogelijk houdt en haar op de koop toe neemt.

Wie is gebonden aan het beroepsgeheim?

§ 203 lid 1 StGB noemt de beroepen limitatief. Lid 2 breidt de kring uit tot ambtsdragers en personen die bijzonder voor de openbare dienst zijn verplicht. De belangrijkste groepen in overzicht:

Bereik	Voorbeelden uit § 203 lid 1 en 2 StGB	Typische gegevens op oude apparaten
Gezondheidsberoepen	Artsen, tandartsen, dierenartsen, apothekers, andere gezondheidsberoepen met wettelijk geregelde opleiding, beroepspsychologen	Patiëntendossiers, bevindingen, declaratiegegevens
Juridisch en fiscaal advies	Advocaten, octrooigemachtigden, notarissen, accountants, belastingadviseurs	Cliëntdossiers, contracten, belastingaangiften
Advies en sociale dienstverlening	Relatie-, gezins- en jeugdhulpverleners, verslavingsadviseurs, maatschappelijk werkers	Gespreksnotities, dossiers
Verzekeringen	Medewerkers van particuliere ziekte-, ongevallen- en levensverzekeraars, particuliere declaratiebureaus voor artsen	Gezondheidsgegevens, uitkeringsgevallen
Openbare dienst	Ambtsdragers en bijzonder verplichte personen (lid 2)	Burger- en procedurele gegevens

Veel van deze gegevens zijn tevens bijzondere categorieën persoonsgegevens in de zin van art. 9 AVG, zoals gezondheidsgegevens. Voor hen gelden strafrechtelijke en gegevensbeschermingsrechtelijke bescherming naast elkaar.

Externe dienstverleners als "meewerkende personen"

Vroeger was onduidelijk of een praktijk of kantoor wel een IT-dienstverlener mocht inschakelen die daarbij gegevens zou kunnen zien. De wet tot herziening van de bescherming van geheimen bij medewerking van derden, sinds november 2017 van kracht, heeft dat opgehelderd. Sindsdien geldt:

• Toegestaan: Beroepsgeheimhouders mogen geheimen toegankelijk maken voor "overige meewerkende personen", voor zover dat voor hun werkzaamheden nodig is (§ 203 lid 3 StGB). Daartoe horen ook externe dienstverleners voor IT-beheer, gegevensverwijdering of afvoer.
• Strafbaar voor de dienstverlener: Wie als meewerkende persoon een geheim zonder machtiging bekendmaakt, is zelf strafbaar (§ 203 lid 4 zin 1 StGB).
• Verplichting voor de opdrachtgever: De beroepsgeheimhouder maakt zich strafbaar als hij er niet voor heeft gezorgd dat de meewerkende persoon tot geheimhouding is verplicht en deze vervolgens een geheim bekendmaakt (§ 203 lid 4 zin 2 nr. 1 StGB).

Voor afzonderlijke beroepen concretiseren de beroepswetten deze verplichting, bijvoorbeeld § 43e BRAO voor advocaten en § 62a StBerG voor belastingadviseurs. Ze eisen onder meer een overeenkomst in tekstvorm met geheimhoudingsverplichting.

Wat betekent § 203 StGB voor uitgefaseerde IT?

Een uitgefaseerde laptop bevat dezelfde geheimen als in het lopende gebruik. Volgens een wijdverbreide opvatting kan al het doorgeven van een leesbare gegevensdrager een bekendmaking zijn, omdat de ontvanger de mogelijkheid krijgt kennis van de gegevens te nemen. Wie oude apparaten ongewist verkoopt, weggeeft of overlaat aan een afvoerbedrijf dat niet tot geheimhouding is verplicht, loopt daarom een strafrechtelijk risico. Daar komen de verplichtingen uit de AVG bij, zoals passende technische en organisatorische maatregelen op grond van art. 32 AVG.

Verplichting	Rechtsgrond	Bewijs in de praktijk
Dienstverleners tot geheimhouding verplichten	§ 203 lid 4 StGB, beroepsrecht	Overeenkomst of geheimhoudingsovereenkomst met geheimhoudingsbeding
Verwerking op instructie regelen	Art. 28 AVG	verwerkersovereenkomst
Gegevens onleesbaar maken vóór het doorgeven	Art. 32 AVG	Wiscertificaat of vernietigingscertificaat per serienummer
Het traject van de apparaten aantonen	Art. 5 lid 2 AVG	Sluitende Chain of custody

Typische fouten

• Oude apparaten worden ongewist doorgegeven aan medewerkers, verenigingen of scholen.
• Een afvoerbedrijf haalt apparaten op zonder dat er een geheimhoudingsverplichting ligt.
• Harde schijven worden alleen geformatteerd. De gegevens zijn met eenvoudige middelen te herstellen.
• Er is geen bewijs per apparaat, maar alleen een globale bevestiging van een aantal stuks.
• Printers, kopieermachines en dicteerapparaten worden vergeten, hoewel ook zij geheugen bevatten.

Gaat een gegevensdrager met patiënten- of cliëntgegevens verloren, dan kan bovendien sprake zijn van een Datalek op grond van art. 33 AVG, die binnen 72 uur moet worden gemeld.

Praktijkvoorbeeld: een belastingkantoor vervangt 15 werkplekken

Een vereenvoudigd voorbeeld toont het verloop.

1. Het kantoor stelt een apparatenlijst op met de serienummers van alle 15 pc's, twee netwerkopslagapparaten en één multifunctionele printer.
2. Met de dienstverlener sluit het een overeenkomst in tekstvorm die hem tot geheimhouding verplicht, en een verwerkersovereenkomst.
3. De apparaten worden verzegeld opgehaald. Het overnameprotocol vermeldt het aantal en de zegelnummers.
4. Bij de dienstverlener worden alle gegevensdragers gewist. Wat zich niet laat wissen, wordt vernietigd.
5. Het kantoor ontvangt per serienummer een wis- of vernietigingscertificaat en voegt dat bij zijn stukken.

Zo kan het kantoor later aantonen dat het zijn verplichtingen uit beroepsrecht, StGB en AVG heeft nagekomen.

§ 203 StGB bij Second IT

Second IT ondersteunt beroepsgeheimhouders met diensten voor gegevensgeheimhouding en vertrouwelijkheid. Alle medewerkers zijn verplicht tot gegevensgeheimhouding en vertrouwelijkheid. Op verzoek sluit Second IT individuele geheimhoudingsovereenkomsten (NDA's) af. De apparaten komen met onze eigen beveiligde logistiek naar Schwäbisch Hall: directe rit zonder tussenopslag, gps-bewaking en manipulatiebestendige verzegeling. Verwerking vindt plaats in ruimtes met toegangscontrole en camerabewaking. Elk apparaat wordt met Blancco gewist en krijgt een digitaal ondertekend wiscertificaat. Gegevensdragers die zich niet laten wissen, worden in eigen huis vernietigd volgens DIN 66399 (tot en met beveiligingsniveau H-5 en E-5). Hoe u gegevensdragers over het geheel genomen correct afvoert, legt onze gids uit Gegevensdragers AVG-conform afvoeren.

Afbakening ten opzichte van verwante begrippen

Het beroepsgeheim volgens § 203 StGB beschermt geheimen die een persoon in zijn beroepsrol zijn toevertrouwd. De gegevensgeheimhouding, dus de plicht tot vertrouwelijkheid, betreft daarentegen alle medewerkers die persoonsgegevens verwerken. De AVG beschermt persoonsgegevens in het algemeen, ongeacht het beroep. Bedrijfsgeheimen van een onderneming worden geregeld in de Duitse wet op bedrijfsgeheimen (GeschGehG). Dit item vervangt geen juridisch advies. Leg individuele vragen voor aan uw beroepsorganisatie, uw juridisch adviseur of uw functionaris voor gegevensbescherming.

Veelgestelde vragen over § 203 StGB

Mag een artsenpraktijk haar oude pc's laten wissen door een externe dienstverlener?

Ja. Sinds 2017 staat § 203 lid 3 StGB toe geheimen toegankelijk te maken voor meewerkende dienstverleners, voor zover dat voor hun werkzaamheden nodig is. De praktijk moet de dienstverlener echter tot geheimhouding verplichten. Daarnaast is doorgaans een verwerkersovereenkomst nodig.

Is het formatteren van een harde schijf al voldoende?

Nee. Bij formatteren blijven de gegevens meestal volledig behouden en zijn ze te herstellen. Voor gegevensdragers met beroepsgeheimen hebt u een veilige wismethode met bewijs per apparaat of fysieke vernietiging nodig.

Wie is aansprakelijk als de dienstverlener gegevens prijsgeeft?

De dienstverlener zelf is strafbaar volgens § 203 lid 4 zin 1 StGB. De beroepsgeheimhouder maakt zich strafbaar als hij hem niet tot geheimhouding heeft verplicht. Gegevensbeschermingsrechtelijk blijft de opdrachtgever als verwerkingsverantwoordelijke verplicht.

Geldt § 203 StGB ook voor bedrijven zonder beroepsgeheimhouders?

Alleen als ze voor beroepsgeheimhouders werken, bijvoorbeeld als IT-dienstverlener van een advocatenkantoor. Voor andere bedrijven gelden vooral de AVG en de wet op bedrijfsgeheimen. De eisen aan veilig wissen en bewijzen zijn in de praktijk vergelijkbaar.

Welke straf dreigt bij een overtreding?

Gevangenisstraf van maximaal een jaar of geldboete. Wie tegen betaling of met het oogmerk zich te verrijken of te schaden handelt, riskeert maximaal twee jaar. Het feit wordt alleen op aangifte vervolgd.