ECLI:NL:RBMNE:2017:3422

• Datum uitspraak: 7 juli 2017
• Publicatiedatum: 7 juli 2017
• Zaaknummer: AWB - 16 _ 4199
• Instantie: Rechtbank Midden-Nederland
• Type: Uitspraak
• Rechtsgebied: Bestuursrecht
• Uitkomst: Aangehouden
• Procedures: Tussenbeschikking
• Rechters: D.A. Verburg; G.A. Bouter-Rijksen; H.H.L. Krans
• Vindplaatsen: Rechtspraak.nl
• Verwijzingen: 20 uitgaand · 1 inkomend

AI samenvatting door Lexboost • Automatisch gegenereerd

Tussenuitspraak over handhaving verwerking en verstrekking medische persoonsgegevens DIS

Eiseres verzocht verweerster om handhavend op te treden tegen de verzameling, verwerking en verstrekking van medische persoonsgegevens via het Diagnose-behandelcombinatie-informatiesysteem (DIS) door de Nederlandse Zorgautoriteit (NZa). Verweerster startte een artikel 60-Wbp onderzoek en concludeerde dat het DIS wel persoonsgegevens bevat, maar oordeelde dat de verstrekking aan bepaalde derden rechtmatig was, terwijl de verstrekking aan de Minister van VWS en het Centraal Planbureau (CPB) onrechtmatig was. Verweerster wees het handhavingsverzoek af en verklaarde het bezwaar ongegrond.

De rechtbank stelt vast dat verweerster onvoldoende heeft onderzocht of de verzamelde en verstrekte gegevens noodzakelijk zijn voor de taken van de NZa en de derden. Dit is een schending van haar toezichthoudende taak op grond van de Wet bescherming persoonsgegevens (Wbp) en de Algemene wet bestuursrecht (Awb). Daarnaast oordeelt de rechtbank dat de verstrekking van medische persoonsgegevens aan de Minister van VWS en het CPB een overtreding is, omdat daarvoor geen wettelijke grondslag bestond. Verweerster heeft onvoldoende gemotiveerd waarom zij niet handhavend is opgetreden tegen deze overtredingen.

De rechtbank wijst erop dat verweerster de mogelijkheid heeft om een last onder dwangsom op te leggen om herhaling te voorkomen, maar heeft dit niet gedaan. Ook is onvoldoende toegelicht waarom de Minister van VWS en het CPB niet als verantwoordelijken in de zin van de Wbp worden aangemerkt en waarom zij niet worden aangesproken. Daarom stelt de rechtbank verweerster in de gelegenheid om binnen acht weken de gebreken te herstellen met een aanvullende motivering of nieuwe beslissing op bezwaar. De verdere beslissing wordt aangehouden tot einduitspraak.

Uitkomst: De rechtbank stelt vast dat de toezichthouder onvoldoende onderzoek heeft gedaan en stelt haar in de gelegenheid de gebreken te herstellen; verdere beslissing wordt aangehouden.

Uitspraak

RECHTBANK MIDDEN-NEDERLAND

Zittingsplaats Utrecht

Bestuursrecht

zaaknummer: UTR 16/4199 T

tussenuitspraak van de meervoudige kamer van 7 juli 2017 in de zaak tussen

[eiseres] , te [vestigingsplaats] , eiseres

(gemachtigde: J.M.T. Wijnberg),

en

de Autoriteit Persoonsgegevens, verweerster

(gemachtigde: mr. H.A.H.D. de Vries en mr. F.E. van Beek).

Als derde-partij heeft aan het geding deelgenomen:
de Nederlandse Zorgautoriteit (NZa)

(gemachtigde: mr. M.G. van Horzen).

Procesverloop

Eiseres heeft verweerster op verzocht om handhavend op te treden tegen het verzamelen, verwerken en het aan derden verstrekken van gegevens door de overheid via het Diagnose-behandelcombinatie-informatiesysteem (DIS).

Bij besluit van 18 januari 2016 (het primaire besluit) heeft verweerster dit verzoek afgewezen.

Bij besluit van 22 juni 2016 (het bestreden besluit) heeft verweerster het bezwaar van eiseres ongegrond verklaard.

Eiseres heeft tegen het bestreden besluit beroep ingesteld.

Verweerster heeft een verweerschrift ingediend. De NZa heeft een uiteenzetting over de zaak ingediend.

Het onderzoek ter zitting heeft plaatsgevonden op 10 maart 2017. Eiseres heeft zich laten vertegenwoordigen door haar gemachtigde en mr. [A] . Verweerster heeft zich laten vertegenwoordigen door zijn gemachtigden. De NZa heeft zich laten vertegenwoordigen door haar gemachtigde en mr. [B] , [C] en [D] .

Overwegingen

1. Eiseres heeft verzocht om handhavend op te treden tegen de verzameling, verwerking, en verstrekking aan derden van persoonsgegevens in het DIS. Het DIS valt onder de verantwoordelijkheid van de NZa, die daarom is aangemerkt als belanghebbende bij het handhavingsverzoek. Verweerster heeft aanvankelijk bij brief van 26 november 2015 op het verzoek gereageerd. Zij heeft in deze brief toegelicht hoe de verwerking van de gegevens door de NZa in het DIS juridisch is geregeld. Er zijn de NZa ook nadere vragen gesteld over deze kwestie en die zijn beantwoord. In de op die manier verkregen informatie heeft verweerster aanleiding gezien om een onderzoek te starten als bedoeld in artikel 60 van de Wet bescherming persoonsgegevens (Wbp). Afhankelijk van de uitkomst van dit onderzoek beoordeelt verweerster of zij handhavend zal optreden in de richting van de NZa en zo ja, in welke vorm dat dan zal zijn.
Eiseres heeft bij brief van 28 december 2015 laten weten dat zij een nader onderzoek niet nodig vindt, omdat volgens haar volstrekt duidelijk is dat sprake is van overtredingen, waartegen verweerster onmiddellijk zou moeten optreden. Verweerster heeft deze brief van eiseres opgevat als een ingebrekestelling en heeft daarom het primaire besluit genomen, waarin zij het verzoek om handhaving heeft afgewezen. Deze afwijzing berust op het gegeven dat het artikel-60-onderzoek van verweerster nog niet was afgerond en dus nog niet vaststond of NZa een overtreding had begaan. Handhaving was in dit stadium dus (nog) niet aan de orde.

2. Op 13 april 2016 heeft verweerster een definitief rapport uitgebracht van het artikel-60-onderzoek. Hierin heeft zij geconcludeerd dat in het DIS persoonsgegevens worden verwerkt. Verweerster dacht hier aanvankelijk anders over, maar heeft haar standpunt gewijzigd naar aanleiding van de uitleg van de Groep Gegevens Bescherming Artikel 29 (de Artikel-29-werkgroep) in haar advies van 10 april 2014 (5/2014) van het begrip persoonsgegevens. De Artikel-29-werkgroep hanteert een ruimere definitie van dit begrip dan verweerster aanvankelijk deed. Een belangrijke factor bij het anonimiseren van gegevens (waardoor het niet langer meer persoonsgegevens zijn) is dat de verwerking van deze gegevens onomkeerbaar moet zijn. De verstrekking van zorgaanbieders aan het DIS vindt plaats via een dubbele versleuteling: de zorgaanbieders leveren versleutelde data aan een Trusted Third Party (TTP) en de TTP voert nog een versleuteling uit voordat de gegevens in het DIS worden gezet. De in het DIS opgenomen gegevens zijn zo bewerkt dat de herleidbaarheid tot het individu wordt beperkt. Maar dit leidt er niet toe dat de herleidbaarheid tot het individu voorgoed onmogelijk wordt gemaakt en dat maakt dat de in het DIS opgenomen gegevens anders dan verweerster voorheen aannam toch moeten worden aangemerkt als persoonsgegevens in de zin van artikel 1, onder a, van de Wbp en dat de verwerking ervan valt onder de werking van de Wbp en andere privacywetgeving. Verweerster heeft er verder op gewezen dat de NZa op grond van de Wet marktordening gezondheidszorg (Wmg) en de Regeling categorieën Wmg (de Regeling) voor zover naar het oordeel van de NZa noodzakelijk medische persoonsgegevens mag verstrekken aan de Autoriteit Consument en Markt (ACM), het Centraal Bureau voor de Statistiek (CBS) en het Zorginstituut Nederland (ZiNL). De Wmg en de Regeling bieden echter geen mogelijkheid om deze medische persoonsgegevens te verstrekken aan de Minister van Volksgezondheid, Welzijn en Sport (Minister van VWS) en aan het Centraal Planbureau (CPB), zoals wel is gebeurd. De NZa is daarom gestopt met de verstrekking van de medische persoonsgegevens aan deze laatste twee instanties. Er is dus geen sprake meer van een overtreding, aldus verweerster, en handhaving is dus niet mogelijk en ook niet opportuun. Bij het bestreden besluit heeft verweerster, onder verwijzing naar het artikel-60-onderzoek, het bezwaar van eiseres ongegrond verklaard.

3. De eerste beroepsgronden van eiseres richten zich tegen verweersters standpunt dat er op dit moment geen sprake meer is van overtredingen van de Wbp en van andere privacywetgeving. Ten onrechte stelt verweerster dat er voldoende wettelijke basis is voor de verzameling, de verwerking en de verstrekking aan derden van de medische persoonsgegevens in het DIS. Eiseres stelt zich op het standpunt dat het DIS als zodanig een grootschalige en systematische inbreuk op de privacy is. Bij de start van het systeem is namelijk gezegd dat er geen sprake zou zijn van verwerking van medische persoonsgegevens. Dat was dus het uitgangspunt. Vervolgens heeft de NZa toch medische persoonsgegevens verzameld, deze verwerkt en ter beschikking gesteld aan anderen. Eiseres stelt dat de levering van de medische persoonsgegevens door de zorgverleners aan de NZa op zichzelf al onrechtmatig is en dat ook alle verstrekkingen van de gegevens aan derden onrechtmatig is. De kern van het betoog van eiseres is dat de noodzaak voor zowel de verzameling, als de verwerking, als de verstrekking aan derden ontbreekt. De NZa en de derden aan wie zij gegevens verstrekt, kunnen hun taak ook uitoefenen met geanonimiseerde gegevens of gegeneraliseerde en geaggregeerde gegevens. De verwerking van de medische persoonsgegevens moet volgens eiseres uitsluitend plaatsvinden bij de zorgverlener. De verwerking van de medische persoonsgegevens moet verder bij formele wet zijn geregeld en daarvan is hier ook geen sprake. Hierdoor handelt NZa in strijd met de kernwaarden van de Wbp en artikel 8 van het (Europees) Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM), aldus eiseres.

4. Artikel 65, van de Wmg bepaalt dat de Minister van VWS bij ministeriële regeling vastlegt:

a. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens noodzakelijk zijn voor de uitoefening van de in die regeling aangewezen taken en bevoegdheden van de NZa;

b. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens de NZa mag verstrekken aan de in artikel 70 genoemde instanties ten behoeve van de uitoefening van hun taken en bevoegdheden.

Artikel 70, tweede lid, van de Wmg bepaalt dat de NZa desgevraagd aan de Autoriteit Consument en Markt, de Nederlandsche Bank, de Stichting Autoriteit Financiële Markten, het College bescherming persoonsgegevens en de FIOD-ECD die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken verstrekt.

Op grond van artikel 70, derde lid, van de Wmg verstrekt de NZa desgevraagd aan de Gezondheidsraad, het Rijksinstituut voor de volksgezondheid en milieu, de Raad voor de Volksgezondheid en Zorg, de Raad voor gezondheidsonderzoek, het Centraal Planbureau, het Centraal Bureau voor de Statistiek en het Sociaal Cultureel Planbureau in verband met de beperking van administratieve lasten die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

Op grond van artikel 70, vierde lid, van de Wmg wordt bij de verstrekkingen als bedoeld in het eerste tot en met derde lid artikel 65 in acht genomen.

Artikel 2 van de Regeling regelt kort gezegd dat de NZa voor de uitvoering van bepaalde concreet genoemde taken persoonsgegevens verwerkt indien en voor zover deze gegevens naar het oordeel van de NZa voor die uitvoering noodzakelijk zijn en voor zover zij behoren tot de bepaalde in artikel 2 vermelde categorieën.

In artikel 4 van de Regeling is kort gezegd weergegeven welke categorieën persoonsgegevens (identificerend, strafrechtelijk, medisch) aan welke instantie genoemd in artikel 70 van de Wmg mogen worden verstrekt, als dit naar het oordeel van de NZa noodzakelijk is.

5. De rechtbank stelt vast dat artikel 65 van de Wmg de wettelijke basis is voor de verzameling en verwerking van de persoonsgegevens door de NZa zelf. In de ministeriële regeling is de verantwoordelijkheid welke gegevens dan verzameld en verwerkt mogen worden door de NZa bij de NZa zelf gelegd: de NZa moet bepalen welke gegevens noodzakelijk zijn voor de uitvoering van haar eigen taken.

Artikel 70 van de Wmg biedt de wettelijke basis voor de verstrekking van persoonsgegevens door de NZa aan bepaalde derden. In artikel 70 van de Wmg zijn onder andere de ACM, ZiNL, het CPB en het CBS genoemd. In artikel 4 van de Regeling is uitgewerkt aan wie welke categorie gegevens mag worden verstrekt. Aan ACM, ZiNL en CBS mogen medische persoonsgegevens worden verstrekt als deze noodzakelijk zijn voor de uitoefening van hun taak. Artikel 4 van de Regeling biedt geen ruimte om aan het CPB de medische persoonsgegevens te verstrekken. Ook in artikel 4 van de Regeling ligt de verantwoordelijkheid om te bepalen of de medische persoonsgegevens noodzakelijk zijn voor de uitoefening van de taak van degene aan wie persoonsgegevens worden verstrekt, bij de NZa.

6. Verweerster heeft in reactie op het handhavingsverzoek van eiseres verwezen naar de artikelen 65 en 70 van de Wmg in samenhang bezien met de artikelen 2 en 4 van de Regeling als grondslag voor de verwerking van de gegevens. In deze artikelen is volgens verweerster voldoende duidelijk neergelegd dat de NZa de gegevens mag verzamelen en verwerken en is ook duidelijk geregeld aan wie zij welke gegevens mag verstrekken.
De rechtbank geeft verweerster gelijk in haar standpunt dat er in beginsel een wettelijke basis is voor het verzamelen, verwerken en verstrekken van medische persoonsgegevens in het DIS. Dat bij de aanvang van het systeem is gezegd dat er geen gebruik gemaakt zou worden van persoonsgegevens, maakt op zichzelf anders dan eiseres meent nog niet dat het onrechtmatig is dat dit wel gebeurt. De hiervoor genoemde wettelijke bepalingen geven die basis namelijk wel. Wat aan deze discussie ten grondslag ligt, is de gewijzigde opvatting over wat precies persoonsgegevens zijn. De rechtbank moet echter de wet toepassen en zich niet laten afleiden door de aanvankelijke opvatting dat de wijze van verwerken geen persoonsgegevens opleverde. Deze beroepsgrond slaagt niet.

7. Uit het artikel-60-onderzoek en het bestreden besluit blijkt echter niet dat verweerster nader heeft onderzocht of de gegevens die de NZa verzamelt en verwerkt noodzakelijk zijn voor de aan de NZa opgedragen taak of taken. Verweerster heeft verder niet onderzocht of de gegevens die de NZa verstrekt aan de derden die zijn genoemd in artikel 70 van de Wmg noodzakelijk zijn voor de uitoefening van de taak of taken van die derden. Verweerster heeft deze toetsing niet nodig gevonden. De rechtbank is van oordeel dat verweerster hiermee heeft miskend dat het haar taak is om op grond van artikel 8 van de Wbp in samenhang bezien met artikel 51, eerste lid, van die wet toezicht te houden op de rechtmatigheid van de verwerking van persoonsgegevens en zo nodig handhavend op te treden tegen een onrechtmatige gegevensverwerking. Door niet verder te onderzoeken of de gegevens die de NZa verzamelt en verwerkt noodzakelijk zijn voor de uitoefening van haar eigen taken en door evenmin te onderzoeken of de doorlevering van die gegevens aan derden noodzakelijk is voor de uitoefening van de taken van die derden, heeft verweerster niet zorgvuldig gehandeld. Eiseres heeft zich op het standpunt gesteld dat voor de uitoefening van de taken van de NZa en de derden zou kunnen worden volstaan met volledig geanonimiseerde gegevens, dat wil zeggen gegevens die niet meer te herleiden zijn tot de persoon en dus geen persoonsgegevens meer zijn. De noodzaak om persoonsgegevens te verwerken ontbreekt, volgens eiseres. Hier had verweerster in het kader van haar toezichthoudende taak onderzoek naar moeten doen. Op dit punt is het bestreden besluit onvoldoende zorgvuldig voorbereid en onvoldoende gemotiveerd. Er is sprake van een schending van artikel 3:2 van de Algemene wet bestuursrecht (Awb) en artikel 7:12, eerste lid, van die wet. Wat hiervan het gevolg moet zijn, bespreekt de rechtbank later in deze uitspraak.

8. Verweerster heeft bij het bestreden besluit erkend dat in het verleden sprake is geweest van onrechtmatige gegevensverstrekking aan derden. Ten onrechte zijn er medische persoonsgegevens verstrekt aan het CPB en de Minister van VWS. Hieraan is weliswaar een einde gekomen, maar eiseres maakt zich zorgen wat er met de verstrekte medische persoonsgegevens is gebeurd en nog kan gebeuren; immers de medische persoonsgegevens berusten nog bij het CPB en de Minister van VWS. Eiseres heeft zich verder op het standpunt gesteld dat zij ook vreest dat deze onrechtmatige gegevensverstrekking op enig moment zal worden hervat. Verweerster moet handhavend optreden op dit punt, aldus eiseres.

9. De rechtbank staat eerst voor de vraag of de verstrekking van de medische persoonsgegevens aan het CPB en de Minister van VWS een overtreding is. Eiseres en verweerster menen van wel. De NZa heeft echter betoogd dat verweerster pas bij de hiervoor genoemde brief van 26 november 2015 het standpunt heeft ingenomen dat de gegevens die de NZa verzamelt, verwerkt en verstrekt aan derden toch persoonsgegevens zijn. Dit heeft zij in navolging gedaan van de conclusies van de Artikel-29-werkgroep. Aanvankelijk nam verweerster het standpunt in dat het hier niet om persoonsgegevens ging. De NZa ging hier ook altijd van uit en heeft dit ook mogen doen, aldus de NZa. In dat verband wijst de NZa op de brief van het College Bescherming Persoonsgegevens (CBP), de rechtsvoorganger van verweerster, van 10 januari 2006 aan de Minister van VWS (kenmerk z2005-0814), waarin het CBP expliciet heeft gesteld dat het hier niet om persoonsgegevens ging. De NZa meent dat er dus geen sprake kan zijn van een overtreding, omdat de gegevens waar het hier om gaat tot aan 26 november 2015 niet zijn aan te merken als persoonsgegevens en de Wbp daarop dus niet van toepassing kan zijn.

10. De rechtbank onderschrijft dit standpunt van de NZa niet. De omstandigheid dat verweerster de gegevens waar het hier om gaat aanvankelijk niet heeft aangemerkt als medische persoonsgegevens, betekent niet dat het ook geen medische persoonsgegevens waren. Het gaat hier immers alleen om een duiding van verweerster van gegevens. Die duiding is gewijzigd, maar de gegevens zelf niet. Van meet af aan ging het om dezelfde gegevens (de zogenoemde minimale dataset) die dus, naar nu moet worden geconstateerd, moeten worden aanmerkt als medische persoonsgegevens. Daarop was achteraf bezien ook vóór november 2015 de Wbp onverkort van toepassing. Het verstrekken van de medische persoonsgegevens aan de Minister van VWS en aan het CPB berustte dus niet op een wettelijke grondslag en die doorlevering is daarmee in strijd met de Wbp. De rechtbank stelt vast dat de NZa hiermee overtredingen heeft begaan en dat er in beginsel handhavend moet worden opgetreden tegen deze overtredingen.

11.
Verweerster heeft betoogd dat de onrechtmatige incidentele verstrekkingen door de NZa onmiddellijk zijn gestaakt toen het onderzoek daarnaar startte. Verweerster stelt dat zij uitsluitend handhavend kan optreden als een overtreding voortduurt of als er een groot risico bestaat op een herhaling van de overtreding. Omdat de verstrekking is gestaakt en verweerster geen aanleiding heeft om aan te nemen dat deze verstrekking op enig moment zal worden hervat, heeft zij geen last onder dwangsom opgelegd aan de NZa. Een boete is in dit geval niet aan de orde, omdat de bevoegdheid tot het opleggen van een boete pas in werking is getreden op 1 januari 2016 en dus niet kan worden ingezet voor eventuele overtredingen van voor die datum.

12. De rechtbank volgt verweerster in dit laatste standpunt: met het verzoek om handhaving kan niet worden bereikt dat er in dit geval een boete wordt opgelegd door verweerster, omdat zij hiertoe niet bevoegd was op het moment dat de overtredingen zijn begaan. De vraag die voorligt is dus of verweerster op andere wijze, bijvoorbeeld door het opleggen van een last onder dwangsom, had moet handhaven. Ten onrechte stelt verweerster zich op het standpunt dat zij alleen zou kunnen handhaven als de overtreding nog zou voortduren, omdat het anders geen herstelmaatregel zou zijn. De rechtbank wijst verweerster op de mogelijkheid om een last onder dwangsom op te leggen als bedoeld in artikel 5:32 van de Awb, waarmee zou kunnen worden voorkomen dat de NZa nogmaals een overtreding begaat. Het verschil met een zogenoemde preventieve last onder dwangsom, door verweerster ter zitting genoemd, is dat er in dit geval al een overtreding is begaan en verweerster er met een last onder dwangsom voor zou kunnen zorgen dat deze overtreding niet wordt herhaald. Van een preventieve last onder dwangsom is alleen sprake als er geen eerdere overtreding heeft plaatsgevonden; zo'n situatie doet zich hier dus niet voor.

13. Verweerster heeft ter zitting verklaard dat zij geen aanleiding ziet om in dit geval tot handhaving over te gaan, omdat zij niet het vermoeden heeft dat de NZa opnieuw onrechtmatig gegevens zal verstrekken aan derden. Het ging, zo stelt verweerster, bovendien om een incidentele verstrekking van medische persoonsgegevens.

14. De rechtbank vindt dit een te magere motivering waarom verweerster in dit geval afziet van enige vorm van handhaving. Op basis waarvan verweerster de overtuiging heeft gekregen dat de NZa niet opnieuw de fout in zal gaan, is niet voldoende toegelicht. Er zijn door de NZa geen waarborgen gegeven dat de medische persoonsgegevens niet opnieuw zullen worden verstrekt aan derden die daarvoor niet zijn aangewezen. De rechtbank zegt hiermee niet dat verweerster zonder meer handhavend zou moeten optreden in de richting van de NZa, maar wel dat zij de mogelijkheid tot handhaving moet onderzoeken en vervolgens afdoende moet motiveren waarom zij daar al dan niet van afziet. Er moeten voldoende garanties zijn dat de overtreding niet nogmaals door de NZa wordt begaan en dit moet zichtbaar zijn. Op dit punt heeft verweerster onvoldoende onderzoek gedaan en het bestreden besluit niet voldoende gemotiveerd. Er is sprake van strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb. De rechtbank licht aan het einde van deze uitspraak toe wat hiervan het gevolg moet zijn.

15. Verweerster heeft in reactie op de zorg van eiseres over de onrechtmatig verstrekte gegevens aan het CPB en de Minister van VWS ter zitting gesteld dat zij heeft onderzocht of de verantwoordelijke in de zin van de Wbp rechtmatig heeft gehandeld. De NZa is de verantwoordelijke en die moet doorgeven aan de derde (in dit geval dus de Minister van VWS en het CPB) dat sprake is geweest van een onrechtmatige gegevensverstrekking en dat de gegevens óf moeten worden teruggegeven óf moet worden vernietigd. Dat heeft de NZa volgens verweerster ook gedaan. Er ligt hier volgens verweerster geen verdere taak voor haar als toezichthoudster.

16. Eiseres heeft terecht opgemerkt dat de onrechtmatig verstrekte medische persoonsgegevens nog bij de Minister van VWS en het CPB zouden kunnen liggen en dat zij hiervan nog gebruik zouden kunnen maken. De rechtbank ziet niet goed in waarom verweerster, die als taak heeft om toezicht te houden op de persoonsgegevens, hier geen taak voor zichzelf ziet weggelegd, maar ervan uitgaat dat de NZa hier aan zet is. Verweerster stelt dat NZa de verantwoordelijke is, maar zij heeft onvoldoende toegelicht waarom de Minister van VWS en het CPB die de persoonsgegevens nu in bezit hebben en kunnen verwerken, niet worden aangemerkt als verantwoordelijken in de zin van artikel 1, aanhef en onder d, van de Wbp, en waarom zij niet in het kader van dit handhavingsverzoek door verweerster moeten worden aangesproken. Ook op dit punt oordeelt de rechtbank dat het bestreden besluit is genomen in strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb.

17. Zoals hiervoor is overwogen onder 7, 14, 16 is het bestreden besluit in strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb genomen. Op grond van artikel 8:51a, eerste lid, van Awb kan de rechtbank het bestuursorgaan in de gelegenheid stellen een gebrek in het bestreden besluit te herstellen of te laten herstellen. Op grond van artikel 8:80a van de Awb doet de rechtbank dan een tussenuitspraak. De rechtbank ziet aanleiding om verweerster in de gelegenheid te stellen de gebreken te herstellen. Dat herstellen kan hetzij met een aanvullende motivering, hetzij, voor zover nodig, met een nieuwe beslissing op bezwaar, na of tegelijkertijd met intrekking van het nu bestreden besluit. Om de gebreken te herstellen, moet verweerster:
- per taak van de NZa onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verzameld en verwerkt en niet kan worden volstaan met geanonimiseerde gegevens;

- per taak van de ZiNL, de ACM en het CBS onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verstrekt door de NZa en niet kan worden volstaan met geanonimiseerde gegevens;

- onderzoeken en motiveren waarom er geen last onder dwangsom of andere handhavingsinstrumenten zijn ingezet in de richting van de NZa vanwege de onrechtmatige vestrekking van medische persoonsgegevens aan de Minister van VWS en het CPB;
- onderzoeken en motiveren waarom er geen handhavingsinstrumenten zijn ingezet in de richting van de Minister van VWS en het CPB met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen.
De rechtbank bepaalt de termijn waarbinnen verweerster de gebreken kan herstellen op acht weken na verzending van deze tussenuitspraak.

18. Verweerster moet op grond van artikel 8:51b, eerste lid, van de Awb èn om nodeloze vertraging te voorkomen zo spoedig mogelijk, maar uiterlijk binnen twee weken, meedelen aan de rechtbank of zij gebruik maakt van de gelegenheid de gebreken te herstellen. Als verweerster gebruik maakt van die gelegenheid, zal de rechtbank eiseres in de gelegenheid stellen binnen vier weken te reageren op de herstelpoging van verweerster. In beginsel, ook in de situatie dat verweerster de hersteltermijn ongebruikt laat verstrijken, zal de rechtbank zonder tweede zitting uitspraak doen op het beroep.

19. Het geding zoals dat na deze tussenuitspraak wordt gevoerd, blijft in beginsel beperkt tot de beroepsgronden zoals die zijn besproken in deze tussenuitspraak, omdat het inbrengen van nieuwe geschilpunten over het algemeen in strijd met de goede procesorde wordt geacht. De rechtbank verwijst naar de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (ABRvS) 12 juni 2013 (ECLI:NL:RVS:2013:CA2877).

20. De rechtbank houdt iedere verdere beslissing aan tot de einduitspraak op het beroep. Dat laatste betekent ook dat zij over de proceskosten en het griffierecht nu nog geen beslissing neemt.

Beslissing

De rechtbank:

- draagt verweerster op binnen twee weken aan de rechtbank mee te delen of zij gebruik maakt van de gelegenheid de gebreken te herstellen;

- stelt verweerster in de gelegenheid om binnen acht weken na verzending van deze tussenuitspraak de gebreken te herstellen met inachtneming van de overwegingen en aanwijzingen in deze tussenuitspraak;
- houdt iedere verdere beslissing aan.

Deze uitspraak is gedaan door mr. D.A. Verburg, voorzitter, en mr. G.A. Bouter-Rijksen en mr. H.H.L. Krans, leden, in aanwezigheid van mr. M.E.C. Bakker, griffier. De beslissing is in het openbaar uitgesproken op 7 juli 2017.

griffier voorzitter

Afschrift verzonden aan partijen op:

Rechtsmiddel

Tegen deze tussenuitspraak staat nog geen hoger beroep open. Tegen deze tussenuitspraak kan hoger beroep worden ingesteld tegelijkertijd met hoger beroep tegen de (eventuele) einduitspraak in deze zaak.