ECLI:NL:RBMNE:2019:3442

Uitspraak

RECHTBANK MIDDEN-NEDERLAND

Zittingsplaats Utrecht

Bestuursrecht

zaaknummer: UTR 16/4199

uitspraak van de meervoudige kamer van 23 juli 2019 in de zaak tussen

[eiseres] te [vestigingsplaats] , eiseres

(gemachtigde: J.M.T. Wijnberg),

de Autoriteit Persoonsgegevens, verweerster,

(gemachtigden: mr. J.M.A. Koster, mr. O.S. Nijveld en mr. W. van Steenbergen),

Als derde-partijen hebben aan het geding deelgenomen:

de Nederlandse Zorgautoriteit, te Utrecht, (gemachtigden: mr. R.N. van Donk, mr. I. Van Houten en drs. I. Seinen)

het Centraal Planbureau, te Den Haag,

en de Staat der Nederlanden, (de Minister voor Rechtsbescherming).

Procesverloop

Eiseres heeft aan het College bescherming persoonsgegevens (Cbp), de rechtsvoorganger van verweerster, op 3 mei 2015 verzocht om handhavend op te treden tegen het verzamelen, verwerken en het aan derden verstrekken van gegevens door de overheid via het Diagnose-behandelcombinatie-informatiesysteem (het DIS).

Bij besluit van 18 januari 2016 (het primaire besluit) heeft verweerster dit verzoek afgewezen.

Bij besluit van 22 juni 2016 (het bestreden besluit) heeft verweerster het bezwaar van eiseres ongegrond verklaard.

Eiseres heeft tegen het bestreden besluit beroep ingesteld.

Verweerster heeft een verweerschrift ingediend. De Nederlandse Zorg autoriteit (NZa) heeft een uiteenzetting over de zaak ingediend.

De eerste zitting heeft plaatsgevonden op 10 maart 2017. Eiseres heeft zich laten vertegenwoordigen door haar gemachtigde en mr. A. van Eldijk. Verweerster heeft zich toen laten vertegenwoordigen door mr. H.A.H.D. de Vries en mr. F.E. van Beek. De NZa heeft zich laten vertegenwoordigen door R.N. van Donk, [A] , [B] en mr. [C] .

In de tussenuitspraak van 7 juli 2017 (de tussenuitspraak) heeft de rechtbank verweerster in de gelegenheid gesteld om binnen acht weken na verzending van de tussenuitspraak, met inachtneming van wat in de tussenuitspraak is overwogen, de geconstateerde gebreken in het bestreden besluit te herstellen^[1].

In de tweede tussenuitspraak van 21 augustus 2017 (de verlengingsuitspraak) heeft de rechtbank de termijn die zij verweerster heeft gegeven om de gebreken te herstellen, verlengd tot 26 weken na verzending van de tussenuitspraak.

Verweerster heeft in reactie op de tussenuitspraak bestreden besluit 2 genomen..

Eiseres heeft hierop een schriftelijke zienswijze (de zienswijze) gegeven.

Een tweede zitting heeft plaatsgevonden op 15 februari 2019. Eiseres heeft zich laten vertegenwoordigen door haar gemachtigde en mr. A. van Eldijk. Verweerster en NZa hebben zich laten vertegenwoordigen door hun gemachtigden.

Overwegingen

Inleiding

Voor de leesbaarheid van deze uitspraak heeft de rechtbank de relevante wet- en regelgeving opgenomen in een aparte bijlage, die onderdeel uitmaakt van deze uitspraak.

Verweerster heeft op 28 mei 2018 nadere stukken ingediend die gaan over het onderzoek dat zij naar aanleiding van de tussenuitspraak heeft verricht. Daarbij heeft zij de rechtbank verzocht om beperkte kennisneming van een deel van deze stukken. Dit betekent dat zij heeft verzocht om deze stukken geheim te houden voor eiseres (en eventuele anderen), maar dat zij wel wil dat de rechtbank kennisneemt van deze stukken en deze bij de beoordeling van het beroep van eiseres betrekt. Zo’n verzoek om beperkte kennisneming kan alleen worden toegewezen als er gewichtige redenen bestaan waarom eiseres en eventuele anderen de inhoud van deze stukken niet zouden mogen kennen. Dit is geregeld in artikel 8:29, eerste lid, van de Algemene wet bestuursrecht (Awb). Verweerster heeft gemotiveerd waarom zij vindt dat de stukken voor eiseres en anderen geheim zouden moeten blijven. Bij beslissing van 25 juni 2018 heeft de rechtbank beslist dat zulke zwaarwegende redenen aanwezig zijn. Het verzoek om beperkte kennisneming is daarom toegewezen. Eiseres heeft de rechtbank daarna toestemming gegeven als bedoeld in artikel 8:29, vijfde lid, van de Awb om de voor haar dus onbekende stukken bij de beoordeling van haar beroep te betrekken.
De rechtbank heeft kennis genomen van deze stukken.

Deze procedure is begonnen met een verzoek van 3 mei 2015 van eiseres aan het Cbp Waar de rechtbank het hierna heeft over verweerster, bedoelt zij ook het Cbp. Eiseres heeft verzocht om handhavend op te treden tegen het verzamelen, verwerken en het aan derden verstrekken van gegevens door de overheid via het DIS. NZa is sinds 1 mei 2015 verantwoordelijk voor het DIS en verweerster heeft het verzoek om handhaving dan ook mogen opvatten als gericht tegen de werkwijze van de NZa. In het DIS worden (bijzondere) persoonsgegevens verwerkt.
Tot 2014 werd algemeen aangenomen dat de gegevens in het DIS geen persoonsgegevens waren, omdat zij door een dubbele versleuteling geanonimiseerd waren. Volledig geanonimiseerde gegevens, dat wil zeggen niet meer tot de persoon te herleiden, zijn namelijk niet aan te merken als persoonsgegevens en daarop is de tot 25 mei 2018 geldende Wet bescherming persoonsgegevens (Wbp) dan ook niet van toepassing. Dit standpunt is gewijzigd toen de Artikel 29-Werkgroep van Europese privacytoezichthouders in 2014 tot de conclusie kwam dat de gegevens in het DIS toch niet volkomen anoniem waren, omdat de versleuteling van die gegevens ongedaan kon worden gemaakt. Dit betekende dat de verwerking van de gegevens in het DIS, anders dan steeds was aangenomen, wèl onder de reikwijdte van de Wbp viel.

Verweerster heeft naar aanleiding van het handhavingsverzoek van eiseres onderzoek gedaan naar de verwerking van de gegevens in het DIS door de NZa. Zij heeft geconstateerd dat de NZa op grond van artikel 70 van de Wet marktordening gezondheidszorg (Wmg) en de Regeling categorieën Wmg (de Regeling) bepaalde medische persoonsgegevens mag verstrekken aan de Autoriteit Consument en Markt (ACM), het Centraal Bureau voor de Statistiek (CBS) en het Zorginstituut Nederland (ZiNL). De Wmg en de Regeling bieden volgens haar echter geen mogelijkheid om medische persoonsgegevens te verstrekken aan de Minister van Volksgezondheid, Welzijn en Sport (Minister van VWS) en aan het Centraal Planbureau (CPB), zoals wel is gebeurd. De NZa is daarom gestopt met de verstrekking van de medische persoonsgegevens aan deze laatste twee instanties. Omdat NZa is gestopt met de verstrekking, is volgens verweerster geen sprake meer van een overtreding en is er dus ook geen reden meer om handhavend op te treden. Zij heeft dit standpunt neergelegd in het bestreden besluit, waartegen het beroep is gericht.
De tussenuitspraak

4. In de tussenuitspraak heeft de rechtbank eiseres gedeeltelijk gelijk gegeven, in die zin dat verweerster onvoldoende heeft onderzocht of de gegevens die de NZa verzamelt en zelf verwerkt, ook echt noodzakelijk zijn voor de uitvoering van haar wettelijke taken. Ook heeft verweerster onvoldoende onderzocht of het verstrekken van gegevens aan de ACM, het CBS en ZiNL noodzakelijk is voor de uitoefening van hun wettelijke taak of taken. De rechtbank vindt dat verweerster onvoldoende onderzoek heeft gedaan naar de vraag of voor de uitvoering van sommige wettelijke taken zou kunnen worden volstaan met geanonimiseerde gegevens. Tot slot vindt de rechtbank dat verweerster had moeten onderzoeken en moeten motiveren waarom zij niet handhavend heeft opgetreden in de richting van de NZa vanwege de onrechtmatige vestrekking van bijzondere persoonsgegevens aan de Minister van VWS en het CPB. Zij had ook moeten onderzoeken en motiveren waarom zij geen handhavingsinstrumenten heeft ingezet om de aan de Minister van VWS en het CPB onrechtmatig verstrekte gegevens terug te laten sturen of te laten vernietigen. De rechtbank heeft verweerster in de gelegenheid gesteld om deze gebreken te herstellen.
Standpunt van verweerster

5. Verweerster heeft naar aanleiding van de tussenuitspraak opnieuw onderzoek gedaan. Zij heeft daarbij gewezen op de publieke taak van de NZa, die in de Wmg is neergelegd. In de Wmg is ook geregeld dat de NZa medische persoonsgegevens aan andere instanties kan verstrekken. De NZa heeft op verzoek van verweerster voorbeelden gegeven van de concrete uitwerking van haar taken, waarbij zij gebruik maakt van medische persoonsgegevens uit het DIS. Voor de verschillende taken van de NZa is van belang dat er een koppeling blijft bestaan tussen de individuele verzekerde en de aan die verzekerde verleende medische zorg in de vorm van diagnose behandelcombinaties (dbc’s), zodat een compleet behandeltraject van de verzekerde in beeld wordt gebracht. Met geheel geanonimiseerde gegevens kan dat niet worden bereikt, omdat daar de koppeling tussen de verzekerde en de genoten zorg ontbreekt. De NZa heeft toegelicht dat het voor de uitvoering van haar taken kan verschillen of zij kan volstaan met minder medische persoonsgegevens. Sinds begin 2016 beoordeelt zij per taak of voor een bepaald doel noodzakelijk is dat er medische persoonsgegevens uit het DIS worden gebruikt. Deze beoordeling vindt plaats aan de hand van een Privacy Impact Assessment (PIA), die, voorzien van een nota van toelichting, wordt voorgelegd aan de functionaris gegevensbescherming (fg) van de NZa. Verweerster vindt op basis van deze toelichting aannemelijk dat de NZa bij de uitvoering van haar wettelijke taken in de meeste gevallen niet kan volstaan met volledig geanonimiseerde gegevens. De NZa waarborgt verder met de procedure van de PIA met nota van toelichting dat alleen gebruik wordt gemaakt van gegevens als dat ook echt noodzakelijk is.

Voor de verstrekking van medische persoonsgegevens aan ZiNL, de ACM en het CBS heeft NZa gewezen op de wettelijke taken van deze bestuursorganen en op de artikelen 60, 65 en 70 van de Wmg die de basis vormen voor het verstrekken van de medische persoonsgegevens aan deze instanties. Met de medische persoonsgegevens kunnen deze instanties hun wettelijke taken uitvoeren. Verweerster heeft verschillende voorbeelden gegeven van mogelijke verwerkingsdoelen, die passen binnen de wettelijke taak van deze instanties. Daarbij hebben deze instanties medische persoonsgegevens nodig. De NZa volgt, net als bij interne verzoeken om gegevensverstrekking, de PIA-procedure om de noodzakelijkheid van de gegevensverstrekking per verstrekking te toetsen. Verweerster vindt de gegevensverstrekking van de NZa aan deze instanties gelet hierop rechtmatig.

In het verleden heeft de NZa tot twee keer toe medische persoonsgegevens uit het DIS aan de Minister van VWS verstrekt. De gegevensverstrekking van de NZa aan de Minister van VWS ten behoeve van het onderzoek naar hoofdbehandelaarsschap in de geestelijke gezondheidszorg (GGZ) is achteraf bezien onrechtmatig, omdat daarvoor geen wettelijke basis bestaat. De NZa heeft dus een overtreding begaan maar, omdat de Minister de aan hem verstrekte medische persoonsgegevens heeft laten vernietigen, en de NZa geen nieuwe overtredingen heeft begaan, vindt verweerster dat er geen aanleiding bestaat om handhavend op te treden. Voor het verstrekken van medische persoonsgegevens aan de Minister van VWS voor de vaststelling van de risicovereveningsbijdrage ziet verweerster, anders dan zij eerder heeft aangenomen, een wettelijke grondslag in artikel 32, vierde lid, aanhef en onder c, in samenhang bezien met de artikelen 88 en 89 van de Zorgverzekeringswet (Zvw). Volgens de NZa kan de Minister bij de vaststelling van de risicovereveningsbijdrage geen gebruik maken van anonieme gegevens en moet hij gebruikmaken van de brongegevens uit het DIS. Verweerster vindt dit aannemelijk en vindt verder van groot belang dat de risicoverevening, zoals deze is vormgegeven, blijft bestaan om de solidariteit in de zorg te behouden. De Europese commissie heeft het systeem van berekening, zoals die nu plaatsvindt, goedgekeurd. Deze berekening moet nauwkeurig plaatsvinden, omdat, als er naar verhouding teveel compensatie wordt verstrekt, deze compensatie een vorm van ongeoorloofde staatssteun zal zijn.

Over de verstrekking van medische persoonsgegevens aan het CPB heeft de NZa toegelicht dat zij tot drie keer toe in strijd met de wet datasets aan het CPB heeft verstrekt. Het CPB heeft de datasets die zij in 2010 en 2013 heeft ontvangen, vernietigd. Het CPB maakt nog steeds gebruik van de dataset die hij in 2015 heeft ontvangen. Per 1 september 2017 is de Regeling aangepast en is de NZa wel bevoegd om medische persoonsgegevens aan het CPB te verstrekken. Het CPB heeft de gegevens uit de dataset van 2015 inmiddels zelf bewerkt en als hij deze bewerkte set gegevens eerst moet vernietigen en daarna opnieuw moet opvragen bij de NZa, gaat er veel werk verloren. Verweerster vindt handhaving om die reden onevenredig.

Verweerster komt samenvattend tot de conclusie dat er geen aanleiding bestaat om tot handhaving over te gaan.

Standpunt van eiseres

6. De kern van het beroep van eiseres is dat zij vindt dat het onderzoek van verweerster niet op de juiste wijze is uitgevoerd, dat niet de juiste vragen zijn gesteld en dat de conclusie die verweerster heeft getrokken ook niet deugt. Primair stelt eiseres zich op het standpunt dat
uitgangspunt van het DIS was dat er geen persoonsgegevens verwerkt zouden worden. De situatie die nu is ontstaan, waarbij dus wel met medische persoonsgegevens wordt gewerkt, staat haaks op en is onverenigbaar met dit uitgangspunt. Verweerster heeft zich volgens eiseres verder ten onrechte op het standpunt gesteld dat geen sprake is van een overtreding door de NZa; die is er volgens eiseres namelijk wel. Volgens eiseres wordt onvoldoende getoetst of het verwerken van medische persoonsgegevens door de NZa en de verstrekking daarvan aan derden, voldoet aan de vereisten van noodzakelijkheid, subsidiariteit en proportionaliteit, in relatie tot welbepaalde doelstellingen zoals bedoeld in artikel 7 van de Wbp. Volgens eiseres zijn de door de NZa genoemde wettelijke doelstellingen veel te breed geformuleerd om op basis daarvan de verwerking van medische persoonsgegevens te rechtvaardigen. De doelbinding is daarmee volgens eiseres dus niet in orde. De meeste instanties hebben volgens eiseres de medische persoonsgegevens ook helemaal niet nodig om beleidsondersteunend onderzoek te doen en er zou kunnen worden volstaan met geaggregeerde of anonieme gegevens. Ook pleit eiseres ervoor dat de gegevens niet meer fysiek worden verstrekt aan derden, maar dat derden eventueel zoekopdrachten in de DIS database zelf kunnen doen en de resultaten daarvan kunnen gebruiken voor hun onderzoek. Eiseres wijst als voorbeeld op de werkwijze van het CBS. In veel gevallen kunnen derden zich overigens ook wenden tot het CBS in plaats van tot de Nza om de benodigde data te verkrijgen en er zou vaak ook kunnen worden volstaan met data uit Vektis, de database die wordt bijgehouden door de zorgverzekeraars. Eiseres vindt dat verweerster te weinig oog heeft gehad voor de vraag of het beleidsondersteunend onderzoek, waarvoor verzocht wordt om medische persoonsgegevens, wel past bij de wettelijke taak van de aanvrager en of dat onderzoek wel noodzakelijk is en of er niet op andere manieren onderzoek kan worden gedaan.
Bespreking van het beroepStand van zaken na de tussenuitspraak

7. De rechtbank zal in deze uitspraak beoordelen of de Nza een overtreding heeft begaan bij het verwerken van DIS-data en of verweerster hiertegen handhavend had moeten optreden. Deze uitspraak bouwt voort op de tussenuitspraak. De rechtbank blijft bij alles wat zij in de tussenuitspraak heeft overwogen en beslist, tenzij hierna uitdrukkelijk anders wordt overwogen. Het staat de rechtbank namelijk ook niet vrij om terug te komen van zonder voorbehoud gegeven oordelen in de tussenuitspraak. Dit is alleen anders in zeer uitzonderlijke gevallen. Het standpunt van eiseres over het aanvankelijke uitgangspunt van het DIS dat niet met persoonsgegevens gewerkt zou worden, heeft de rechtbank in de tussenuitspraak al besproken onder overweging 6. Zij komt niet terug van dit standpunt en verwijst kortheidshalve naar de tussenuitspraak.
Aanvullende motivering of nieuw besluit?

8. Verweerster heeft nader onderzoek gedaan zoals omschreven in artikel 60 van de Wbp. Daarbij heeft zij zich niet beperkt tot een beoordeling van de stand van zaken op het moment van het handhavingsverzoek van eiseres of de datum van het bestreden besluit, te weten 22 juni 2016. Verweerster heeft bijvoorbeeld, bij haar beoordeling, of zij handhavend zou moeten optreden tegen de onrechtmatige gegevensverstrekking aan het CPB, betrokken dat de NZa sinds de wijziging van de Regeling per 1 september 2017 de gevraagde bijzondere persoonsgegevens aan het CPB nu wel zou mogen verstrekken. Ook heeft zij bij de vraag of handhaving evenredig is, betrokken dat de NZa sinds 2016 geen overtredingen meer heeft begaan. Het feit dat verweerster een onderzoek heeft gedaan naar de periode van ná het bestreden besluit en daarop haar huidige standpunt baseert, maakt dat zij feitelijk een nieuw besluit op het bezwaar van eiseres heeft genomen. Dat de rechtsgevolgen van dat besluit niet anders zijn, namelijk dat zij niet overgaat tot handhaving, maakt daarvoor geen verschil. Daarom volgt de rechtbank verweerster niet in haar standpunt dat de reactie van 9 januari 2018 alleen een aanvullende motivering is op het bestreden besluit, maar merkt zij deze aanvullende motivering aan als een nieuw besluit op het bezwaar van eiseres. Het besluit op bezwaar van 22 juni 2016 noemt de rechtbank voor de leesbaarheid van deze uitspraak verder het bestreden besluit 1 en het besluit van 9 januari 2018 noemt zij het bestreden besluit 2.

9. Het beroep van eiseres, gericht tegen het bestreden besluit 1 wordt, gelet op artikel 6:19 van de Awb, geacht ook gericht te zijn tegen het bestreden besluit 2. Uit de formulering en de inhoud van het bestreden besluit 2 volgt verder dat dit besluit het bestreden besluit 1 vervangt. Aan het bestreden besluit 1 komt geen zelfstandige betekenis meer toe. Daarbij heeft de rechtbank gekeken of het verschil in periodes waarover bestreden besluit 1 en 2 gaan, vraagt om ook een toetsing van bestreden besluit 1. Gelet op de aard van het bestreden besluit 2 en de wijze waarop na de tussenuitspraak het onderzoek is verricht en de reikwijdte van besluit 2, ziet de rechtbank daar geen aanleiding toe en ziet zij ook geen procesbelang voor eiseres bij die beoordeling. Het beroep van eiseres tegen het bestreden besluit 1 is daarom niet-ontvankelijk. De rechtbank zal in deze uitspraak verder ingaan op de beroepsgronden die zijn gericht tegen het bestreden besluit 2.
Toetsing ex-nunc of ex-tunc?

10. Hoofdregel in het bestuursrecht is dat de heroverweging in de bezwaarprocedure plaatsvindt met inachtneming van de feiten en omstandigheden die zich dan voordoen en de op dat moment geldende rechts- en beleidsregels (ex-nunc). Bij het heroverwegen van een besluit tot het opleggen van een last onder dwangsom kan dit in specifieke situaties anders zijn. Dat is bijvoorbeeld het geval bij handhavingszaken, waarbij de situatie kan spelen dat voorafgaand aan het besluit op bezwaar de overtreding is beëindigd.^[2]In dit soort zaken beoordeelt het bestuursorgaan een moment in het verleden, namelijk het moment van het handhavingsverzoek. Een wijziging van wet- en regelgeving moet het bestuursorgaan echter wel bij de heroverweging van zijn handhavingsbesluit betrekken^[3], zoals verweerster hier ook terecht heeft gedaan.
De rechtbank ziet, ondanks dat het hier om een verzoek om handhaving gaat, in dit geval geen aanleiding om af te wijken van de hoofdregel dat de heroverweging in bezwaar plaatsvindt naar de stand van zaken op het moment van de beslissing op bezwaar. Hierbij heeft de rechtbank betrokken dat het handhavingsverzoek van eiseres zeer ruim geformuleerd is en het, anders dan in veel andere handhavingssituaties, niet om één concrete eenmalige overtreding gaat die naar het verleden beoordeeld zou kunnen worden. Verweerster heeft naar aanleiding van de tussenuitspraak vervolgens zelf haar onderzoek verruimd en heeft zich gericht op feiten en omstandigheden die dateren van na het handhavingsverzoek. Verweerster heeft de heroverweging zoals neergelegd in het bestreden besluit 2 dus op goede gronden niet gedaan naar het moment waarop het handhavingsverzoek is gedaan. De rechtbank toetst zoals gebruikelijk naar het moment waarop bestreden besluit 2 is genomen, te weten 9 januari 2018.
Beoordelingskader

11. Persoonsgegevens mogen op grond van artikel 7 van de Wbp alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Deze doeleinden zijn alleen gerechtvaardigd als zij met inachtneming van artikel 8 van de Wbp kunnen worden bereikt^[4]. Ook als de gegevensverwerking in beginsel is toegestaan op één van de in artikel 8 van de Wbp limitatief opgesomde gronden, blijft de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. Dit volgt ook uit het door eiseres genoemde arrest van de Hoge Raad van 9 september 2011^[5]. De verwerking van medische persoonsgegevens is ingevolge artikel 16 van de Wbp in beginsel verboden, maar de artikelen 21 en 23 van de Wbp geven uitzonderingen op deze hoofdregel. De kern van de uitzonderingen is dat er voor de verwerking van de medische persoonsgegevens een wettelijke basis moet zijn en dat het verwerken van de medische persoonsgegevens noodzakelijk moet zijn voor het uitvoeren van een wettelijke taak. De rechtbank moet zonder terughoudendheid beoordelen of voor de verwerking van de NZa van medische persoonsgegevens en de verstrekking van deze gegevens aan andere instanties een wettelijke grondslag bestaat. Bij de beoordeling van de vereiste noodzakelijkheid, door beoordeling van de subsidiariteit en proportionaliteit van de verwerking (waaronder de verstrekking aan derden), zal de rechtbank minder indringend moeten toetsen, omdat de NZa en verweerster, als toezichthoudster, op dat vlak een zekere beoordelingsruimte toekomt.

Verzamelen persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven doeleinden

12. Voordat de rechtbank toekomt aan de vraag of verweerster de in de tussenuitspraak geconstateerde gebreken heeft hersteld, gaat zij eerst in op de voornaamste beroepsgrond van eiseres dat NZa de gegevens in DIS verzamelt zonder dat aan het doelbindingsbeginsel van artikel 7 van de Wbp is voldaan.
Verweerster heeft toegelicht dat de NZa een wettelijke taak heeft die is neergelegd in onder meer artikel 16, aanhef en onder a, van de Wmg. De NZa is volgens dit artikel belast met marktoezicht, marktontwikkeling en tarief- en prestatieregulering op het terrein van de gezondheidszorg. Verweerster heeft verder verwezen naar de artikelen 60 tot en met 71 van de Wmg en naar artikel 3 van de Regeling, als verdere basis voor de gegevensverwerking. Verweerster zich op het standpunt gesteld dat NZa gegevens in DIS verzamelt voor de verschillende doelen die voortvloeien uit haar wettelijke taak, zoals die nader omschreven zijn in de Wmg. Als voorbeelden daarvan zijn onder andere genoemd het onderhoud van prestatiebeschrijvingen en tarieven van de medisch specialistische zorg, de geestelijke gezondheidszorg en forensische zorg en daarmee verband houdende kostenontwikkelingen (artikelen 50 tot en met 56b van de Wmg) en analyses die nodig zijn voor de monitoring van kostenontwikkelingen (artikel 32 van de Wmg).
In het bestreden besluit 2 heeft verweerster het belang benadrukt van het vaste pseudoniem dat via de versleuteling van de medische persoonsgegevens per verzekerde wordt verkregen. Pas als dit vaste pseudoniem wordt gekoppeld aan de concrete dbc’s die de NZa van de verzekeraars ontvangt, kan zij een compleet behandeltraject van een persoon in beeld krijgen, waarmee zij de aan haar opgedragen publiekrechtelijke taken, zoals hiervoor genoemd, naar behoren kan uitvoeren. Ter uitvoering van de aan haar opgedragen taken voert NZa onder andere verschillende onderzoeken uit.
Als voorbeeld van een onderzoek dat hoort bij de prestatie- en tariefregulering heeft de NZa gewezen op het onderzoek dat is gedaan naar de kosten van GGZ-jeugdzorg na de overheveling van deze vorm van zorg naar de verschillende gemeenten. Per postcodegebied is onderzoek gedaan naar patiënten die jonger zijn dan 18 jaar en GGZ-zorg hebben ontvangen. Aan de hand van de verschillende dbc’s kon het effect worden berekend van de overheveling op de door NZa vast te stellen maximumtarieven en kon de Minister van VWS worden geadviseerd over het naar de gemeenten over te hevelen bedrag voor zorg. Een ander voorbeeld van onderzoek dat de NZa heeft uitgevoerd binnen de haar opgedragen taak van tarief- en prestatieregulering is een onderzoek naar transplantatiezorg, waarbij specifiek onderzoek is gedaan naar het verschil in kosten tussen zorgproducten voor kinderen en volwassenen. In het kader van haar taak om de marktontwikkelingen te monitoren, voert NZa marktscans uit voor het evalueren van het zorgstelsel en van bepaald ingezet beleid. Hierbij maakt zij gebruik van gegevens uit het DIS, waarbij zij bij de te maken scans alle vormen van zorg (zowel basis- als gespecialiseerde zorg) betrekt om inzicht te verkrijgen in de ontwikkelingen in de zorg. Ter uitvoering van haar toezichthoudende en handhavende taken voert NZa onderzoeken uit naar onder meer het declaratiegedrag bij zorginstellingen. Zo kan bijvoorbeeld worden gecontroleerd of een zorginstelling niet meer dan het maximum aantal te vergoeden behandelingen per patiënt declareert en of de gemiddelde behandelduur overeenkomt met de ingediende declaraties.
De rechtbank komt tot de conclusie dat de doeleinden waarvoor NZa de medische persoonsgegevens verzamelt in de Wmg welbepaald en uitdrukkelijk zijn omschreven als bedoeld in artikel 7 van de Wbp. De voorbeelden illustreren dat het verzamelen van deze gegeven nodig is om de wettelijke taak van de Nza uit te voeren. Het verzamelen van de gegevens, een vorm van gegevensverwerking, is in overeenstemming met artikel 8 van de Wbp omdat het verzamelen van de gegevens door de NZa in DIS noodzakelijk is voor de goede vervulling van haar publiekrechtelijke taak.
De rechtbank volgt eiseres niet in haar betoog dat de doelen te breed zijn omschreven om als welbepaald doel te kunnen worden aangemerkt en dat de onderzoeken die NZa vervolgens met de medische persoonsgegevens uitvoert onrechtmatig zijn. Anders dan eiseres wil, kan namelijk niet vooraf al precies worden vastgelegd welke onderzoek de NZa in het kader van haar wettelijke taken zal gaan uitvoeren. Het doelbindingsbeginsel strekt ook niet zo ver dat dit vereist is. Het gaat er om dat de doelen waarvoor de medische persoonsgegevens worden gebruikt, passen binnen de wettelijke taak van de NZa en de instanties aan wie zij deze gegevens verder verstrekt. Het doelbindingsbeginsel van artikel 7 van de Wbp is, anders dan eiseres betoogt, dan ook niet geschonden. Deze beroepsgrond van eiseres slaagt dus niet.

Noodzakelijkheid verwerking persoonsgegevens

13. Ook als de gegevensverwerking in beginsel is toegestaan blijft de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. De noodzakelijkheidstoets betekent dat moet worden voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dit brengt met zich dat de inbreuk op de belangen van de betrokkenen niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dat dit doel in redelijkheid niet op een andere, voor de betrokkenen minder nadelige, wijze kan worden verwerkelijkt.

14. Verweerster heeft bij de beoordeling van de vraag of het verwerken van medische persoonsgegevens noodzakelijk is, gewezen op de PIA-beoordeling die sinds begin 2016 per verwerking plaatsvindt. Het PIA-toetsmodel, dat als voorbeeld bij de gedingstukken is gevoegd, heeft de vorm van een vragenlijst dat zowel feitelijke- en technische vragen bevat die gebaseerd zijn op nationale en Europese juridische vereisten. Onder I van de vragenlijst staan vragen die gaan over de noodzaak van de gegevensverwerking en de mogelijkheid van gegevensminimalisering. I.3 en I.3a stellen aan de orde de kwestie of de gevraagde persoonsgegevens onontbeerlijk zijn voor het bereiken van de beleidsdoelstellingen. Daarbij wordt betrokken het punt wat er niet inzichtelijk zou worden als er voor wordt gekozen bepaalde gegevens niet te verwerken. I.4 en I.4a stellen vervolgens aan de orde de vraag of, als het om gevoelige persoonsgegevens gaat, hetzelfde beleidseffect of technische resultaat bereikt kan worden door het (gecombineerd) gebruik van normale persoonsgegevens of door gebruik van geanonimiseerde of gepseudoanonimiseerde gegevens. Verweerster heeft aannemelijk mogen vinden dat de NZa met de procedure van de PIA met nota van toelichting waarborgt dat alleen gebruik wordt gemaakt van medische persoonsgegevens als dat ook echt noodzakelijk is. Eiseres heeft zich bij herhaling op het standpunt gesteld dat er te weinig controle zou zijn op de noodzakelijkheid van de gegevensverwerking van de NZa en dat als het ware sprake zou zijn van een zogenaamde ‘blanco cheque’ om aan wie daar ook maar om vraagt medische persoonsgegevens te verstrekken. Dit beeld komt niet overeen met de geschetste werkwijze van de NZa, waarbij zorgvuldig met medische persoonsgegevens wordt omgegaan. Verweerster heeft zich onder verwijzing naar de wettelijke taken van de NZa en degene aan wie verder medische persoonsgegevens worden verstrekt, in combinatie met de keer op keer te verrichten PIA-beoordeling, op het standpunt mogen stellen dat NZa waarborgt dat er geen overmatig en onbeperkt gebruik gemaakt kan worden van de medische persoonsgegevens. De NZa beoordeelt per verwerking of deze verwerking noodzakelijk is en daarbij vindt keer op keer een concrete belangenafweging plaats. Zoals ook volgt uit het eerder aangehaalde arrest van de HR^[6]geldt als uitgangspunt bij deze belangenafweging, dat van de verwerker alleen een belangenafweging verlangd mag worden aan de hand van de beschikbare gegevens. Dit is belangrijk om de Wbp praktische hanteerbaar te houden. De rechtbank vindt dat de NZa het proces zo heeft ingekleed dat per gegevensverstrekking relevante gegevens worden ingewonnen op basis waarvan de NZa een zorgvuldige afweging kan maken of de gegevens noodzakelijk zijn.
Verweerster heeft in het bestreden besluit 2 kunnen concluderen dat de NZa niet in strijd met het noodzakelijkheidsbeginsel handelt. De beroepsgrond van eiseres faalt dan ook.

Voorgestelde alternatieven

15. Eiseres betoogt dat de NZa geen gebruik zou hoeven maken van het DIS, maar dat de database van het CBS of het declaratiesysteem van de zorgverzekeraars Vektis ook de benodigde gegevens zouden kunnen opleveren. Bovendien zou de NZa ervoor kunnen kiezen om gegevens niet langer aan anderen te verstrekken, maar derden zoekopdrachten kunnen laten uitvoeren op de locatie van de NZa. Eiseres verwijst naar de procedure die het CBS volgt bij het laten inzien van gegevens door derden.

16. De rechtbank overweegt dat verweerster aangedragen alternatieven in beginsel bij haar beoordeling van een handhavingsverzoek moet betrekken (ABRvS van 20 september 2017). Echter in dit geval heeft eiseres de genoemde alternatieven niet eerder aangedragen dan op de tweede zitting na de tussenuitspraak. Het onderzoek dat verweerster naar aanleiding van de tussenuitspraak heeft gedaan was toen al uitgevoerd. Verweerster heeft dus onmogelijk rekening kunnen houden met de aangedragen alternatieven en deze beroepsgrond valt daarmee vanwege strijd met de goede procesorde buiten de omvang van het geding.
Onderzoek naar privaatrechtelijke verstrekkingen

17. Eiseres betoogt dat verweerster ten onrechte de verstrekkingen die op basis van privaatrechtelijke contracten zijn gedaan, buiten het onderzoek heeft gehouden. Uit de brief van de NZa van 9 december 2015, met als onderwerp ‘Overeenkomst inzake levering van DIS-gegevens’, die door NZa als bijlage is gevoegd bij haar zienswijze van 7 november 2016, blijkt volgens eiseres dat NZa de levering van de gegevens alleen tijdelijk heeft opgeschort en dat zij in de toekomst alsnog aan de wensen van private partijen tegemoet wil komen. Eiseres vreest dat de verstrekking van de medische persoonsgegevens aan private partijen is hervat, of ieder moment weer zal kunnen worden hervat. Op de zitting heeft eiseres daaraan toegevoegd dat verweerster zich naar aanleiding van het handhavingsverzoek ook had moeten inzetten om de op basis van deze contracten onrechtmatig verstrekte gegevens terug te halen en te (laten) vernietigen.

17. Het handhavingsverzoek van 3 mei 2015 was er, zo blijkt uit de formulering daarvan, op gericht om het verzamelen, verwerken en aan marktpartijen ter beschikking stellen van medische persoonsgegevens via de databank DIS van de overheid onmiddellijk stop te zetten. De NZa is vanaf mei 2015 het bestuursorgaan dat verantwoordelijk is voor het DIS. Sinds mei 2015 is het DIS niet langer in privaat beheer bij DBC-onderhoud maar een publieke verantwoordelijkheid geworden. Verweerster heeft onderzoek gedaan bij de NZa, als verantwoordelijk bestuursorgaan. Dit vindt de rechtbank in lijn met het handhavingsverzoek dat zich uitdrukkelijk richtte op de verstrekking van DIS-gegevens door de overheid en niet door een private partij, zoals DBC-onderhoud. De NZa heeft de verstrekking van gegevens aan private partijen op basis van contracten in november/december 2015 gestopt toen duidelijk werd dat de gegevens persoonsgegevens waren. Dat betekent dat zij in de periode tussen mei 2015 en november/december 2015 ten onrechte op contractuele basis medische persoonsgegevens heeft verstrekt aan derden. Verweerster heeft de verstrekkingen die in die periode hebben plaatsgevonden op basis van contracten echter niet nader onderzocht omdat de NZa deze verstrekkingen heeft stopgezet. Daarmee was NZa, zo heeft verweerster terecht aangenomen, al tegemoet gekomen aan het handhavingsverzoek van eiseres dat immers onmiddellijke stopzetting van de verstrekking aan derden beoogde. Anders dan eiseres aanneemt heeft NZa deze verstrekkingen op contractuele basis ook nooit hervat. Het gaat hier, ondanks de formulering van de brief van 9 december 2015, namelijk niet om een opschorting maar om een beëindiging van de verstrekking van medische persoonsgegevens.
Verweerster heeft ervoor gekozen om naar aanleiding van het handhavingsverzoek van eiseres onderzoek te doen naar de verstrekkingen die plaatsvinden op basis van de Wmg. Dit blijkt uit bijlage 3 van de Definitieve bevindingen van het onderzoeksverslag van 13 april 2016. De rechtbank vindt het belangrijk om te wijzen op de beleidsruimte die verweerster toekomt bij de keuze om al dan niet onderzoek in te stellen. De keuze om de contractuele leveringen in de periode tussen mei 2015 en november/december 2015 buiten de reikwijdte van het onderzoek te houden, vindt de rechtbank, gelet op de formulering van het handhavingsverzoek van eiseres en de beleidsruimte die verweerster op dit punt heeft, een aanvaardbare keuze.
Dat eiseres met haar handhavingsverzoek ook heeft beoogd om al eerder verstrekte medische persoonsgegevens te laten terugsturen of te laten vernietigen, blijkt niet uit dat verzoek en ook niet uit latere reacties van eiseres op de besluiten van verweerster. Zij heeft dit pas tijdens de tweede zitting naar voren gebracht. Verweerster heeft hiermee dus geen rekening hoeven houden en heeft binnen de haar toekomende beleidsruimte de keuze mogen maken om zich alleen te richten op de verstrekkingen die op basis van de Wmg plaatsvinden en plaatsvonden. Deze beroepsgrond slaagt dus niet.

Herstel gebrek: per taak van de NZa onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verzameld en verwerkt en niet kan worden volstaan met geanonimiseerde gegevens

19. De rechtbank heeft in de tussenuitspraak overwogen dat verweerster het bestreden besluit 1 heeft genomen in strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb (motiveringsbeginsel en zorgvuldigheidsbeginsel) en dat zij om deze gebreken te herstellen per taak van de NZa moet onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verzameld en verwerkt en dat niet kan worden volstaan met geanonimiseerde gegevens. Verweerster heeft in dat verband een nieuw artikel 60-onderzoek uitgevoerd, waarbij het de werkwijze van de NZa heeft weergegeven, zoals hiervoor onder 5 is beschreven. Die werkwijze komt er op neer dat de NZa per interne gegevensverstrekking een PIA-procedure uitvoert ter beoordeling van de noodzakelijkheid van de gegevensverstrekking in relatie tot het doel waarvoor deze gegevens worden gebruikt. Verweerster heeft een aantal concrete onderzoeken genoemd en daarbij uiteengezet waarom de NZa voor die onderzoeken gebruik heeft moeten maken van de medische persoonsgegevens in het DIS. Verweerster heeft zich daarbij naar het oordeel van de rechtbank op het standpunt kunnen stellen dat in die concrete gevallen van belang was dat een totaalbeeld van de verleende zorg zichtbaar werd, waarbij persoonsgegevens gekoppeld werden aan een concrete dbc en dus niet kon worden volstaan met anonieme gegevens. Met de gegeven procesbeschrijving, waarbij per verstrekking de proportionaliteit en subsidiariteit wordt beoordeeld, heeft verweerster naar het oordeel van de rechtbank voldoende gemotiveerd dat per taak van de NZa medische persoonsgegevens moeten worden verwerkt, waarbij niet kan worden volstaan met geanonimiseerde gegevens.

19. Eiseres heeft er op de zitting op gewezen dat de NZa per 15 april 2019 minder gegevens over diagnoses bij psychische klachten zal opnemen in het DIS. Dit blijkt uit de nieuwsbrief van de NZa van 23 november 2018, waarin informatie wordt gegeven over dataminimalisatie. Eiseres stelt zich op het standpunt dat, waar NZa per april 2019 met minder diagnose-informatie toe kan, vaststaat dat het in het verleden ook niet noodzakelijk was om deze informatie te verzamelen en te verwerken. Daaruit blijkt volgens eiseres dat er teveel gegevens worden verwerkt.

19. Verweerster heeft op de zitting toegelicht dat sprake is van een wijziging van het systeem van registreren van GGZ-zorg. Waar voorheen ook in de GGZ werd gekozen voor het algemene systeem van de dbc’s, wordt daar nu (gefaseerd) van afgestapt, omdat dit bij de GGZ niet goed genoeg werkt. Binnen de GGZ wordt gewerkt aan prestatieomschrijvingen om de geleverde zorg in beeld te brengen. Voor de toekomst kan worden volstaan met minder detailleerde medische persoonsgegevens.

22. De rechtbank volgt eiseres niet in haar standpunt dat deze ontwikkeling maakt dat de NZa al eerder kon volstaan met minder medische persoonsgegevens en dat die eerdere gegevensverwerking dus in strijd met de Wbp moet zijn. Deze redenering zou namelijk betekenen dat binnen het privacy-recht er geen enkele veranderingen mogelijk is, omdat dit automatisch tot gevolg heeft dat eerdere gegevensverwerkingen onrechtmatig zijn. Juist om de inbreuk op de privacy zo klein mogelijk te laten zijn, is ontwikkeling over de vraag of in de toekomst met minder gegevens kan worden volstaan essentieel.

22. Verweerster heeft de gegevensverwerking door de NZa alsnog voldoende onderzocht en heeft zich op het standpunt kunnen stellen dat de verwerking van de gegevens door NZa, zoals door haar onderzocht, in beginsel niet in strijd is met de Wbp. Verweerster heeft met het uitgevoerde onderzoek en de motivering in bestreden besluit 2 het geconstateerde gebrek hersteld.

Herstel gebrek: per taak van de ZiNL, de ACM en het CBS onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verstrekt door de NZa en niet kan worden volstaan met geanonimiseerde gegevens

24. De rechtbank heeft in de tussenuitspraak verder overwogen dat verweerster per taak van de ZiNL, de ACM en het CBS moet onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verstrekt door de NZa en niet kan worden volstaan met geanonimiseerde gegevens. Verweerster heeft in het bestreden besluit 2 uiteengezet dat bij verstrekking aan derden in elk geval een wettelijke grondslag voor de verstrekking moet worden gevonden en dat voor de beoordeling of in het kader van de wettelijke taak van deze derde het verstrekken van medische persoonsgegevens uit het DIS noodzakelijk is, gebruik gemaakt wordt van de hiervoor beschreven PIA-beoordeling. In het bestreden besluit 2 heeft verweerster verwezen naar de publiekrechtelijke taken van ZiNL, de ACM en het CBS en voorbeelden gegeven van onderzoeken waarvoor zij gebruik moeten maken van medische persoonsgegevens uit het DIS.
Eiseres vindt de verstrekkingen aan deze instanties niet noodzakelijk en zij noemt de verstrekkingen die de NZa verricht opnieuw een ‘blanco cheque’. De rechtbank volgt haar niet in dit standpunt. Eiseres gaat eraan voorbij dat de NZa de noodzakelijkheid van de gegevensverstrekking per geval beoordeelt en dat zij daarbij expliciet de vraag betrekt of met minder gegevens kan worden volstaan. De rechtbank wijst nogmaals op vraag I4 en I4a van de PIA-beoordeling. Op de zitting heeft de NZa toegelicht dat de PIA-beoordeling ook zeker tot gevolg kan hebben dat minder gegevens worden verstrekt dan waar om is gevraagd, waarbij gedacht kan worden aan het verstrekken van minder specifieke gegevens over de leeftijd van personen of hun woonplaats, als dat voor een onderzoek niet noodzakelijk is. De NZa heeft hiervan ter zitting voorbeelden gegeven.
Eiseres heeft ook vragen gesteld over de voorzienbaarheid van de gegevensverstrekking. Deze komt echter ook in de PIA-beoordeling expliciet tot uitdrukking. Onder vraag V worden verschillende vragen gesteld over de transparantie en rechten van de betrokkenen.
Verweerster heeft naar het oordeel van de rechtbank voldoende onderzoek gedaan naar de verstrekking van de gegevens van de NZa aan de ZiNL, de ACM en het CBS en heeft in het bestreden besluit 2 voldoende gemotiveerd dat deze verstrekkingen van de medische persoonsgegevens niet in strijd zijn met de artikelen 7 en 8 van de Wbp. Zij heeft het op dat punt geconstateerde gebrek in de tussenuitspraak hersteld.

Herstel gebreken: onderzoeken en motiveren waarom er geen last onder dwangsom of andere handhavingsinstrumenten zijn ingezet in de richting van de NZa vanwege de onrechtmatige vestrekking van medische persoonsgegevens aan de Minister van VWS en het CPB en in de richting van de Minister van VWS en het CPB met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen

25. De rechtbank heeft in de tussenuitspraak verder overwogen dat verweerster moest onderzoeken en motiveren waarom er geen last onder dwangsom of andere handhavingsinstrumenten zijn ingezet in de richting van de NZa, vanwege de onrechtmatige verstrekking van medische persoonsgegevens aan de Minister van VWS en het CPB in het verleden. In het verlengde daarvan heeft zij verder overwogen dat verweerster moest onderzoeken en motiveren waarom er geen handhavingsinstrumenten zijn ingezet in de richting van de Minister van VWS en het CPB met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen.

25. Verweerster heeft in het bestreden besluit toegelicht dat een deel van de aan het CPB ten onrechte verstrekte gegevens is vernietigd en dat zij niet optreedt tegen het resterende deel, omdat het CPB nog onderzoek uitvoert op deze gegevens en het laten vernietigen of terugsturen van die gegevens volgens verweerster voor het CPB onevenredig uitpakt. De rechtbank verwijst naar de samenvatting van het standpunt van verweerster zoals dat onder 5 is gegeven. Met de gegeven motivering heeft verweerster naar het oordeel van de rechtbank aan de in de tussenuitspraak gegeven opdracht voldaan. Eiseres heeft hiertegen verder ook geen beroepsgronden gericht.
Dit geldt eveneens voor de onrechtmatige verstrekking van gegevens aan de Minister van VWS ten behoeven van onderzoek naar hoofdbehandelaarschap in de GGZ. Verweerster heeft toegelicht dat deze gegevens inmiddels zijn vernietigd en zij heeft in voldoende mate gemotiveerd waarom zij geen handhavingsinstrumenten heeft ingezet tegen deze onrechtmatige gegevensverstrekking in het verleden. Ook hiertegen heeft eiseres geen nadere beroepsgronden gericht.
Verweerster heeft in haar onderzoek vervolgens vastgesteld dat, anders dan zij in het bestreden besluit 1 heeft aangenomen, niet alle verstrekkingen van de NZa aan de Minister van VWS onrechtmatig zijn geweest. Zij ziet in de artikelen artikel 32, vierde lid, aanhef en onder c, in samenhang bezien met de artikelen 88 en 89 van de Zvw alsnog voldoende basis voor het verstrekken van medische persoonsgegevens ten behoeve van het vaststellen van de risicovereveningsbijdrage. Deze verstrekkingen zijn volgens verweerster dus rechtmatig geweest en daarom is er geen grondslag voor handhaving.

25. Verweerster heeft op de zitting toegelicht dat de systematiek die tot gegevensverstrekking leidt in dit geval anders is dan de hiervoor besproken verstrekkingen aan andere instanties. Die verstrekkingen vinden allemaal plaats op grond van de Wmg en hebben alleen betrekking op instanties die een wettelijke taak hebben. Vervolgens is in de Regeling neergelegd welke specifieke persoonsgegevens de NZa aan deze instanties mag verstrekken. Volgens verweerster is echter sprake van wederkerigheid bij de vaststelling van de publieke taak. In artikel 32, vierde lid, aanhef en onder c, van de Zvw is bepaald dat de Minister van VWS bij Ministeriële regeling statistisch onderbouwt hoe zij de risicovereveningsbijdrage vaststelt. De Minister van VWS heeft de medische persoonsgegevens uit het DIS dus nodig om die statistische onderbouwing vorm te geven. De artikelen 88 en 89 geven een grondslag voor de Minister van VWS om de NZa om persoonsgegevens te vragen en de NZa is volgens verweerster, gehouden deze dan te verstrekken. Dat het systeem anders is dan bij de andere verstrekkingen en niet op grond van de Wmg plaatsvindt, maakt volgens verweerster echter niet dat deze verstrekking in strijd met de Wbp is.

25. De rechtbank is van oordeel dat verweerster er ten onrechte aan voorbij gaat dat het hier om medische persoonsgegevens gaat. Verwerking van medische persoonsgegevens is op grond van artikel 16 van de Wbp in beginsel verboden. Artikel 23, eerste lid, van de Wbp biedt de mogelijkheid om een uitzondering op dit verbod te maken. De rechtbank stelt vast dat de artikelen 23, eerste lid, aanhef en onder a tot en met e, en g, van de Wbp niet van toepassing zijn. Voor de uitzondering op grond van onderdeel f is nodig dat een formele wet uitdrukkelijk voorziet in de verwerking van het bijzondere persoonsgegeven, zoals medische persoonsgegevens^[7]. De artikelen 88 en 89 van de Zvw regelen dat een ieder op verzoek van de Minister van VWS voor de uitoefening van zijn wettelijke taken inlichtingen verstrekt, waaronder persoonsgegevens. Deze bepalingen geven echter geen uitdrukkelijke bevoegdheid om een uitzondering te maken op het verbod om bijzondere persoonsgegevens te verwerken. De omstandigheid dat de Minister van VWS aangewezen is op de gegevens uit het DIS om de benodigde statistische onderbouwing voor de risicovereveningsbijdrage te kunnen vormgeven, doet er niet aan af dat de wettelijke grondslag voor de levering van die medische persoonsgegevens uit het DIS ontbreekt. Ook het belang dat verweerster schetst bij het behouden van de huidige door de Europese commissie goedgekeurde vaststelling van de risicovereveningsbijdrage, biedt zo’n wettelijke grondslag niet. Er is dus, zoals in het primaire besluit al was aangenomen en ook door de rechtbank is overwogen in de tussenuitspraak, geen grondslag voor de levering van de medische persoonsgegevens aan de Minister van VWS als bedoeld in artikel 8, aanhef en onder c, van de Wbp. Daarmee heeft de NZa gehandeld in strijd met artikel 16 van de Wbp door toch medische gegevens aan de Minister van VWS te verstrekken. Verweerster heeft dus nog steeds niet voldoende gemotiveerd waarom zij niet optreedt tegen de in de tussenuitspraak genoemde onrechtmatige verstrekking van medische persoonsgegeven van de NZa aan de Minister van VWS en waarom zij geen middelen inzet in de richting van de Minister van VWS om al verstrekte medische persoonsgegevens terug te halen. Zij heeft de in de tussenuitspraak geconstateerde gebreken op dit punt dan ook niet hersteld. De beroepsgrond van eiseres slaagt op dit punt. De rechtbank zal hierna uiteenzetten wat hiervan het gevolg moet zijn.
Overschrijding van de redelijke termijn

29. Eiseres heeft aanspraak gemaakt op schadevergoeding in verband met overschrijding van de redelijke termijn.

30. Gelet op het verzoek is de Staat der Nederlanden (hierna: de Staat) na sluiting van het onderzoek aangemerkt als derde-belanghebbende. Gelet op de Beleidsregel van de Minister van Veiligheid en Justitie van 8 juli 2014 (nr. 436935) heeft de rechtbank geen aanleiding gezien het onderzoek te heropenen.

30. De vraag of de redelijke termijn als bedoeld in artikel 6 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) is overschreden, moet worden beoordeeld aan de hand van de omstandigheden van het geval. De behandeling van zaken als deze, waarin van een bezwaar- en beroepsprocedure sprake is, mag maximaal twee jaar in beslag nemen. De te beoordelen periode begint met de datum waarop het bezwaarschrift is ingediend en loopt door tot de datum waarop de rechtbank (eind)uitspraak heeft gedaan. De omstandigheden van het geval kunnen maken dat een langere behandelduur gerechtvaardigd is. Als de redelijke termijn is overschreden, geldt voor de schadevergoeding als uitgangspunt, een tarief van € 500,- per half jaar waarmee die termijn is overschreden, waarbij het totaal van de overschrijding naar boven wordt afgerond. De rechtbank moet beoordelen op welke manier de termijnoverschrijding moet worden toegerekend aan de bezwaar- en aan de beroepsfase. De veroordeling tot vergoeding van die schade moet naar evenredigheid worden uitgesproken ten laste van het bestuursorgaan of, als de overschrijding van de termijn heeft plaatsgevonden in beroep, ten laste van de Staat der Nederlanden (de Staat).

30. De hoofdregel is dat de bezwaarfase een half jaar in beslag mag nemen en de beroepsfase anderhalf jaar. In een geval zoals dit, waarin na een tussenuitspraak einduitspraak wordt gedaan, wordt de overschrijding van de redelijke termijn in beginsel in zijn geheel aan het bestuursorgaan toegerekend. Maar als er in de loop van de procedure één of meer keren sprake is (geweest) van een langere behandelingsduur dan gerechtvaardigd in de rechterlijke fase, dan komt die overschrijding niet voor rekening van het bestuursorgaan maar van de Staat. Van een overschrijding in de rechterlijke fase is geen sprake als de periode tussen het instellen van beroep en de tussenuitspraak ten hoogste anderhalf jaar heeft geduurd en als de rechtbank vervolgens binnen één jaar na ontvangst van de mededeling van het bestuursorgaan van de wijze waarop de in de tussenuitspraak geconstateerde gebreken zijn hersteld, einduitspraak doet.^[8]

33. De rechtbank stelt vast dat er vanaf de ontvangst van het bezwaarschrift van eiseres op 1 maart 2016 tot deze (eind)uitspraak drie jaar en vier en halve maanden (40,5 maand) zijn verstreken. Er is geen aanleiding om deze lange behandelduur gerechtvaardigd te achten. Dit betekent dat de procedure (naar boven afgerond) één jaar en vijf maanden (17 maanden) te lang heeft geduurd. Uitgaande van deze overschrijding heeft eiseres recht op € 1.500,- schadevergoeding.

33. De bezwaarprocedure heeft – gerekend vanaf de ontvangst van het bezwaarschrift op 1 maart 2016 tot het bestreden besluit 1 op 22 juni 2016 (afgerond) drie maanden geduurd. De procedure bij de rechtbank heeft – gerekend vanaf de ontvangst van het beroepschrift op 5 augustus 2016 tot aan deze uitspraak – drie jaar geduurd (afgerond 18 maanden te lang). Op het moment van het toepassen van de bestuurlijke lus door de rechtbank op 7 juli 2017 waren er elf maanden verstreken en de rechtbank heeft dus binnen de hiervoor genoemde anderhalf jaar tussenuitspraak gedaan. Verweerster heeft vervolgens binnen zes maanden na de tussenuitspraak op 9 januari 2018 het bestreden besluit 2 genomen. De rechtbank had na dat besluit nog één jaar de tijd om een einduitspraak te doen. Dat heeft zij niet gehaald.
De overschrijding van de redelijke termijn in de periode ná 9 januari 2019, een periode van 6,5 maand, moet dan ook worden toegerekend aan de rechterlijke fase. De overige overschrijding wordt volgens vaste rechtspraak toegerekend aan het bestuursorgaan. Dat wil zeggen dat aan verweerster de overige 11,5 maand termijnoverschrijding wordt toegerekend, omdat dit deel van de langere behandelduur bij de rechtbank is veroorzaakt door de nieuwe besluitvorming van verweerster.
Dit betekent dat 11,5/18 deel moet worden toegerekend aan verweerster en 6,5/18 deel aan de rechtbank. Verweerster zal daarom tot betaling van € 958,- (11,5/18 deel van € 1.500,-) worden veroordeeld en de Staat zal tot betaling van € 542,- (6,5/18 deel van € 1.500,-) worden veroordeeld.
Conclusie

33. Zoals de rechtbank hiervoor onder 9 heeft overwogen is het beroep van eiseres gericht tegen het bestreden besluit 1 niet-ontvankelijk. Het beroep van eiseres gericht tegen het bestreden besluit 2 slaagt op het punt van de gegevensverstrekking aan de Minister van VWS. Het beroep is daarom gegrond. Het bestreden besluit 2 moet worden vernietigd, voor zover verweerster daarin niet heeft onderzocht en gemotiveerd waarom zij geen handhavingsinstrumenten heeft ingezet in de richting van de NZa vanwege onrechtmatige gegevensverstrekking aan de Minister van VWS en voor zover verweerster daarin niet heeft onderzocht en gemotiveerd waarom zij geen handhavingsinstrumenten heeft ingezet in de richting van de Minister van VWS met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen.
De rechtbank ziet geen aanleiding om een tweede bestuurlijke lus toe te passen, omdat dat naar het zich laat aanzien geen doelmatige en efficiënte afdoeningswijze zou inhouden omdat verweerster op precies ditzelfde punt al eerder de mogelijkheid heeft gehad om het gebrek te herstellen en dat dus niet is gelukt. Verweerster moet daarom een nieuw besluit nemen met inachtneming van deze uitspraak en de tussenuitspraak. Dat nieuwe besluit hoeft dan alleen te gaan over het gedeelte van het bestreden besluit 2 dat vernietigd is, namelijk de gegevensverstrekking aan de Minister van VWS. De rechtbank stelt hiervoor een termijn van acht weken na de dag van verzending van deze uitspraak.

33. Omdat de rechtbank hierboven heeft geconcludeerd dat de redelijke termijn is overschreden, wijst zij het verzoek om schadevergoeding toe in die zin dat zij verweerster veroordeelt tot vergoeding van € 958,- en de Staat tot betaling van € 542,-.

33. Omdat de rechtbank het beroep gegrond verklaart, bepaalt zij dat verweerster aan eiseres het door haar betaalde griffierecht vergoedt. De rechtbank is niet gebleken dat eiseres proceskosten heeft gemaakt.

Beslissing

De rechtbank:

verklaart het beroep tegen het besluit van 22 juni 2016 niet-ontvankelijk;
verklaart het beroep tegen het bestreden besluit van 9 januari 2018 gegrond;
vernietigt het bestreden besluit 9 januari 2018 voor zover verweerster daarin niet heeft onderzocht en gemotiveerd, waarom zij geen handhavingsinstrumenten heeft ingezet in de richting van de NZa vanwege onrechtmatige gegevensverstrekking aan de Minister van VWS en voor zover verweerster niet heeft onderzocht en gemotiveerd waarom zij geen handhavingsinstrumenten heeft ingezet in de richting van de Minister van VWS met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen;
draagt verweerster op binnen acht weken na de dag van verzending van deze uitspraak een nieuw besluit te nemen op het bezwaar met inachtneming van deze uitspraak en de tussenuitspraak;

veroordeelt verweerster tot het betalen van een schadevergoeding aan eiseres tot een bedrag van € 958,- (zegge negenhonderd achtenvijftig euro);
veroordeelt de Staat der Nederlanden tot het betalen van een schadevergoeding aan eiseres tot een bedrag van € 542,- (zegge vijfhonderd tweeënveertig euro);

- draagt verweerster op het betaalde griffierecht van € 334,- aan eiseres te vergoeden.

Deze uitspraak is gedaan door mr. J.J. Catsburg, voorzitter, en mr. M.C. Stoové en mr. H.H.L. Krans, leden, in aanwezigheid van mr. M.E.C. Bakker, griffier. De beslissing is in het openbaar uitgesproken op 23 juli 2019.

griffier mr. M.E.C. Bakker rechter mr. M.C. Stoové

De voorzitter is verhinderd de uitspraak mede te ondertekenen.

Afschrift verzonden aan partijen op:

Rechtsmiddel

Tegen deze uitspraak en de tussenuitspraak kan binnen zes weken na de dag van verzending van deze uitspraak hoger beroep worden ingesteld bij de Afdeling bestuursrechtspraak van de Raad van State.

Bijlage

Wet bescherming persoonsgegevens

Artikel 7

Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld.

Artikel 8

Persoonsgegevens mogen slechts worden verwerkt indien:

[…]

c. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is;

[…]

e. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, […].

Artikel 9

1. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.

2. Bij de beoordeling of een verwerking onverenigbaar is als bedoeld in het eerste lid, houdt de verantwoordelijke in elk geval rekening met:

a. de verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens zijn verkregen;

b. de aard van de betreffende gegevens;

c. de gevolgen van de beoogde verwerking voor de betrokkene;

d. de wijze waarop de gegevens zijn verkregen en

e. de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen.

[…]

Artikel 11

1. Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn.

[…]

Artikel 16

De verwerking van persoonsgegevens betreffende iemands […] gezondheid […] is verboden behoudens het bepaalde in deze paragraaf. […].

Artikel 21

1. Het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door:

[…]

f. bestuursorganen, pensioenfondsen, werkgevers of instellingen die te hunnen behoeve werkzaam zijn voor zover dat noodzakelijk is voor:

1°. een goede uitvoering van wettelijke voorschriften, pensioenregelingen of collectieve arbeidsovereenkomsten die voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene of

[…]

5 Bij algemene maatregel van bestuur kunnen omtrent de toepassing van het eerste lid, onder b en f, nadere regels worden gesteld.

Artikel 23

1. Onverminderd de artikelen 17 tot en met 22 is het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken niet van toepassing voor zover:

a. dit geschiedt met uitdrukkelijke toestemming van de betrokkene;

[…]

f. dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het College ontheffing heeft verleend. Het College kan bij de verlening van ontheffing beperkingen en voorschriften opleggen;
[…]

2 Het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken ten behoeve van wetenschappelijk onderzoek of statistiek is niet van toepassing voor zover:

a. het onderzoek een algemeen belang dient,

b. de verwerking voor het betreffende onderzoek of de betreffende statistiek noodzakelijk is,

c. het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost en

d. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

[…]

Artikel 60

1. Het College kan ambtshalve of op verzoek van een belanghebbende, een onderzoek instellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan het bepaalde bij of krachtens de wet.

[…]

Wet marktordening gezondheidszorg

Artikel 16:
De zorgautoriteit is belast met:
a. markttoezicht, marktontwikkeling en tarief- en prestatieregulering, op het terrein van de gezondheidszorg;
[…].

Artikel 60

1. In dit hoofdstuk worden persoonsgegevens onderscheiden in:

a. identificerende persoonsgegevens,

b. medische persoonsgegevens,

c. strafrechtelijke persoonsgegevens.

2 Onder identificerende persoonsgegevens wordt verstaan:

a. naam, adres, woonplaats, postadres;

b. geboortedatum en geslacht;

c. administratieve gegevens, zoals nummers van bank-, giro- en creditcard, gegevens uit de basisregistratie personen en registratie ingevolge de Wet op de beroepen in de individuele gezondheidszorg.

3 Onder medische persoonsgegevens wordt in het kader van deze wet verstaan de persoonsgegevens betreffende de gezondheid als bedoeld in artikel 21 van de Wet bescherming persoonsgegevens.

[…]

Artikel 65

Onze Minister geeft bij Ministeriële regeling aan:

a. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens noodzakelijk zijn voor de uitoefening van de in die regeling aangewezen taken en bevoegdheden van de zorgautoriteit;

b. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens de zorgautoriteit mag verstrekken aan de in artikel 70 genoemde instanties ten behoeve van de uitoefening van hun taken en bevoegdheden.

Artikel 70

1. De zorgautoriteit, het Zorginstituut, het College sanering en het Staatstoezicht op de volksgezondheid verstrekken elkaar die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

2 De zorgautoriteit verstrekt desgevraagd aan de Autoriteit Consument en Markt, de Nederlandsche Bank, de Stichting Autoriteit Financiële Markten, het College bescherming persoonsgegevens en de FIOD-ECD die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

3 De zorgautoriteit verstrekt desgevraagd aan de Gezondheidsraad, het Rijksinstituut voor de volksgezondheid en milieu, de Raad voor de Volksgezondheid en Zorg, de Raad voor gezondheidsonderzoek, het Centraal Planbureau, het Centraal Bureau voor de Statistiek en het Sociaal Cultureel Planbureau in verband met de beperking van administratieve lasten die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

4 Bij de verstrekkingen als bedoeld in het eerste tot en met derde lid wordt het bepaalde krachtens artikel 65 in acht genomen.

5 De zorgautoriteit maakt bij de toepassing van het eerste tot en met derde lid geen gebruik van haar bevoegdheden, bedoeld in de artikelen 61 en 64.

Regeling categorieën persoonsgegevens WMG

Artikel 2

Voor de uitvoering van de hieronder aangegeven artikelen uit hoofdstuk 3 en 4 van de wet worden persoonsgegevens verwerkt indien en voor zover zij naar het oordeel van de zorgautoriteit voor die uitvoering noodzakelijk zijn en voor zover zij behoren tot de hieronder bij die artikelen vermelde categorieën van persoonsgegevens:
[…]

Artikel 3

Voor de uitvoering van de hieronder aangegeven artikelen uit hoofdstuk 5 van de wet worden persoonsgegevens verwerkt indien en voor zover zij naar het oordeel van de zorgautoriteit voor die uitvoering noodzakelijk zijn en voor zover zij behoren tot de hieronder bij die artikelen vermelde categorieën van persoonsgegevens:

[…]

Artikel 4

De zorgautoriteit verstrekt aan de in artikel 70 van de wet genoemde instanties persoonsgegevens indien en voor zover verwerking van die gegevens voor de uitoefening van hun taken en bevoegdheden noodzakelijk is en voor zover die gegevens behoren tot de hieronder bij die instanties vermelde categorieën van persoonsgegevens:

1. het Zorginstituut: persoonsgegevens behorend tot de categorieën identificerende en strafrechtelijke persoonsgegevens betreffende zorgaanbieders en bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars, dan wel een verzekeraar die verzekeringen als zorgverzekering aanbiedt of uitvoert die niet aan het bepaalde bij of krachtens de Zorgverzekeringswet voldoen en zorgkantoren als bedoeld in artikel 4.2.4 van de Wet langdurige zorg en persoonsgegevens behorend tot de categorieën identificerende, medische en strafrechtelijke persoonsgegevens van consumenten;

[…]

4. de Autoriteit Consument en Markt: persoonsgegevens behorend tot de categorie identificerende en strafrechtelijke persoonsgegevens betreffende consumenten, zorgaanbieders en bestuurders of medewerkers van zorgaanbieders, ziektekostenverzekeraars en zorgkantoren als bedoeld in artikel 4.2.4 van de Wet langdurige zorg en identificerende, medische en strafrechtelijke persoonsgegevens van consumenten;

[…]

7. de Gezondheidsraad, het Rijksinstituut voor de volksgezondheid en milieu, de Raad voor de Volksgezondheid en Zorg, de Raad voor gezondheidsonderzoek, het Centraal Planbureau en het Sociaal Cultureel Planbureau: persoonsgegevens behorend tot de categorie identificerende persoonsgegevens betreffende zorgaanbieders;

8. het Centraal Bureau voor de Statistiek: persoonsgegevens behorend tot de categorieën identificerende en strafrechtelijke persoonsgegevens betreffende zorgaanbieders en bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars, dan wel een verzekeraar die verzekeringen als zorgverzekering aanbiedt of uitvoert die niet aan het bepaalde bij of krachtens de Zorgverzekeringswet voldoen en zorgkantoren als bedoeld in artikel 4.2.4 van de Wet langdurige zorg en persoonsgegevens behorend tot de categorieën identificerende, medische en strafrechtelijke persoonsgegevens van consumenten.

Zorgverzekeringswet

Artikel 32
[…]

4 Bij Ministeriële regeling:

c. wordt statistisch onderbouwd aan elk criterium als bedoeld in het derde lid of aan een criterium als bedoeld in onderdeel b een bijdrage gekoppeld;

[…]

Artikel 88

1. Een ieder verstrekt op verzoek aan […] Onze Minister […] kosteloos alle inlichtingen en gegevens, waaronder persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens, die noodzakelijk zijn voor de uitvoering van de zorgverzekeringen of van deze wet.

2 De in het eerste lid bedoelde gegevens en inlichtingen worden op verzoek verstrekt in schriftelijke vorm of in een andere vorm die redelijkerwijs kan worden verlangd, binnen een termijn die schriftelijk wordt gesteld bij het in het eerste lid bedoelde verzoek.

[…]

Artikel 89

1. De in artikel 88, eerste lid, bedoelde zorgverzekeraars en instanties, alsmede de Wlz-uitvoerders, zijn bevoegd uit eigen beweging en verplicht op verzoek binnen een bij dat verzoek genoemde termijn, uit de onder hun verantwoordelijkheid gevoerde administratie, aan elkaar, aan een daartoe door of vanwege hen aangewezen persoon of aan een door Onze Minister aangewezen persoon, kosteloos, de gegevens, waaronder persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens, te verstrekken die noodzakelijk zijn voor de uitvoering van de zorgverzekeringen of van deze wet, of voor de onderlinge afstemming van op grond van de zorgverzekering verzekerde zorg en zorg die is verzekerd op grond van de Wet langdurige zorg.

[…]