KDVP tekent hoger beroep aan inzake verwerking van medische persoonsgegevens

Gepubliceerd: 12 maart 2021

De uitspraak van de rechtbank Amsterdam uit 2013 gaf opdracht aan zorgverzekeraars om hun verwerking van medische persoonsgegevens zodanig aan te passen dat deze een juiste uitwerking vormt van de Wbp (Wet bescherming persoonsgegevens) en het EVRM (Europees Verdrag voor de Rechten van de Mens). Het uitvoeren van deze opdracht is door ZN (Zorgverzekeraars Nederland) en de AP (Autoriteit Persoonsgegevens) echter ruim 8 jaar lang tegengewerkt en omzeild. In de laatste uitspraak van de rechtbank Amsterdam uit januari 2021 zijn onze eisen – die eerder niet waren afgewezen – ineens niet-ontvankelijk verklaard. De KDVP legt zich niet bij deze, naar haar oordeel ongefundeerde, uitspraak neer en heeft inmiddels hoger beroep aangetekend.

 

De juridische procedure tegen de AP over de Gedragscode Zorgverzekeraars kent een lange voorgeschiedenis

De door de KDVP tegen de AP aangespannen juridische procedure over verwerking en gebruik van medische persoonsgegevens door zorgverzekeraars gaat over het feit dat procedures en bedrijfsprocessen voor de verwerking van medische persoonsgegevens – zoals die werden vastgelegd in de Gedragscode Zorgverzekeraars – niet zijn aangepast en bijgesteld op basis van de rechterlijke uitspraak op 13-11-2013.

De rechtbank Amsterdam heeft in november 2013 de goedkeuring van die gedragscode door het toenmalige College Bescherming Persoonsgegevens (CBP en sinds 1-1-2016 AP) vernietigd, omdat de in de Gedragscode Zorgverzekeraars beschreven procedures en bedrijfsprocessen geen juiste uitwerking vormen van de Wbp en het EVRM. Volgens de rechtbank Amsterdam heeft het CBP bij de goedkeuring op 13 december 2011 van de door Zorgverzekeraars Nederland (ZN) opgestelde gedragscode de in deze gedragscode vastgelegde verwerkingsprocedures onvoldoende dan wel onjuist getoetst aan vereisten voor de bescherming van privacy rechten van patiënten/verzekerden zoals vastgelegd in wet en verdrag.

De heer Rouvoet- directeur van ZN – heeft in de daaropvolgende briefwisseling met onze stichting over deze verwerkingsprocedures herhaaldelijk aangegeven dat ZN, dat feitelijk opereert als een conditiekartel van zorgverzekeraars, zich niet verantwoordelijk acht voor de noodzakelijke aanpassing van de – overigens wel – door ZN zèlf opgestelde Gedragscode Zorgverzekeraars, terwijl in de rechterlijke uitspraak van november 2013 nu juist is vastgesteld dat procedures en werkwijzen vastgelegd in de door ZN opgestelde gedragscode geen juiste uitwerking vormen van de Wbp en het EVRM.

De heer Rouvoet negeerde hiermee het feit dat de verwerking van medische gegevens van patiënten/verzekerden bleef plaatsvinden op basis van niet-legitieme procedures die ZN verplichtend oplegde aan alle bij ZN aangesloten zorgverzekeraars. Niet-legitieme  procedures die door ZN ook na vernietiging van de eerder verleende goedkeuring bewust en nadrukkelijk in stand zijn gehouden.

De KDVP heeft dan ook in 2015 besloten om de volledige briefwisseling met Rouvoet over te dragen aan het (toenmalige) CBP. Onze stichting heeft vervolgens op 2 maart 2015 een handhavingsverzoek ingediend bij het CBP (nu AP) waarin wij (opnieuw) en met klem aandacht vragen voor het feit dat de Gedragscode Zorgverzekeraars nog steeds niet was aangepast aan de oordelen van de rechtbank Amsterdam van 13 november 2013 en de uitspraak van het College van Beroep voor het bedrijfsleven (CBb) van 2 augustus 2010.

Nadat onze stichting een aantal handhavingsverzoeken en een daaropvolgend bezwaarschrift (van 26-2-2016) bij de AP had ingediend, heeft de KDVP op 16 augustus 2016 formeel beroep aangetekend tegen de “Beslissing op Bezwaar” van de AP in reactie op ons bezwaarschrift.

 

Hieronder het belangrijkste bezwaar van ons beroep van 16 augustus 2016 tegen de AP

Het primaire bezwaar van de KDVP was gericht tegen het uitblijven van aanpassing van die procedures en bedrijfsprocessen zoals vastgelegd in de Gedragscode Zorgverzekeraars welke geen juiste uitwerking vormen van de Wbp en het EVRM. Na de uitspraak van de rechtbank Amsterdam uit 2013, had het CBP direct handhavend moeten optreden tegen ZN om te bewerkstelligen dat de in de gedragscode vastgelegde werkwijzen en procedures zouden worden aangepast aan de fundamentele bezwaren vervat in de uitspraak van de rechtbank Amsterdam.

Noch door de toezichthouder (eerder CBP en nu AP) noch door ZN is echter na de uitspraak van de rechtbank Amsterdam uit 2013 actie ondernomen om de in de gedragscode vastgelegde procedures en bedrijfsprocessen aan te passen, dit terwijl ZN en zorgverzekeraars wèl nadrukkelijk hebben laten weten dat zij zich – tot op heden – aan deze gedragscode gehouden bleven achten, ook nadat de door het CBP verleende goedkeuring daarvan door de rechter was vernietigd. Het uitblijven van aanpassing van verwerkingsprocedures aan de uitspraak van de rechter heeft inmiddels geleid tot het jarenlang niet legitiem verwerken van medische persoonsgegevens door zorgverzekeraars.

 

Op 18 juli 2017 vond de zitting plaats over het beroep van de KDVP tegen het uitblijven van handhavend optreden door de AP om te komen tot aanpassing van werkwijzen en procedures aan uitspraak van rechtbank Amsterdam uit 2013

Tijdens de zitting op 18 juli 2017 bij de rechtbank Amsterdam over dit beroep tegen de AP is door de rechter voorgesteld een mediation procedure te starten om zo samen met de AP, NZa (Nederlandse Zorgautoriteit) en ZN (Zorgverzekeraars Nederland) te kunnen komen tot aanpassingen zoals gevergd door de rechterlijke uitspraak uit 2013. Tijdens de mediation bleek dat deze partijen die hadden ingestemd met het starten van een mediationprocedure feitelijk niet bereid waren enige inbreng te leveren om te komen tot aanpassing van niet-legitieme procedures voor de verwerking van medische persoonsgegevens door zorgverzekeraars. Ondanks aandringen van de kant van de KDVP is na een half jaar noch door de AP noch door één van de andere partijen een inhoudelijk voorstel gedaan voor aanpassing van de gewraakte werkwijzen van zorgverzekeraars. De KDVP heeft toen besloten de mediation procedure te staken en de kwestie opnieuw bij de rechter neer te leggen.

Ondertussen vormt de verwerking van medische persoonsgegevens bij zorgverzekeraars nog steeds geen juiste uitwerking van wet en verdrag. Wel hebben zorgverzekeraars op gegeven moment aan de Minister van VWS laten weten dat zij bezig waren een nieuwe Gedragscode Zorgverzekeraars op te stellen die ter goedkeuring zou worden voorgelegd aan de AP. Inmiddels is er door ZN inderdaad ook een nieuwe Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars opgesteld. Procedures en werkwijzen vastgelegd in deze nieuwe gedragscode zijn echter niet aangepast aan de fundamentele bezwaren zoals verwoord in de uitspraak van de rechtbank uit 2013. Mogelijk is er om die reden dan ook besloten om deze nieuwe gedragscode dan ook maar liever niet ter goedkeuring voor te leggen aan de AP, zoals eerder wel werd toegezegd.

 

KDVP is op 1 maart 2021 alsnog in hoger beroep gegaan tegen de uitspraak die de rechtbank Amsterdam op 25 januari 2021 heeft gedaan in deze al lang slepende beroepsprocedure gericht op het uitblijven van handhavend optreden van de AP

Zoals hierboven vermeld is het mediationtraject gestaakt in 2018 en is de zaak opnieuw bij de rechter neergelegd. Daarna heeft het een hele tijd geduurd voor er wederom een rechtszitting is gepland. Ook COVID-19 heeft vervolgens voor verder uitstel gezorgd. Maar op 8 december 2020 heeft uiteindelijk toch een korte rechtszitting plaatsgevonden bij de rechtbank Amsterdam. De uitspraak in deze procedure is gedaan op 25 januari 2021. De rechter heeft de eisen van de KDVP bij hervatting van de zitting, die eerder geschorst was om mediation mogelijk te maken, ineens niet-ontvankelijk verklaard. De KDVP heeft om zowel inhoudelijke, als ook procedurele redenen besloten om Hoger Beroep tegen deze uitspraak aan te tekenen bij de Raad van State. Hier kunt u het hoger beroep van de KDVP lezen.