Uitspraak
RECHTBANK MIDDEN-NEDERLAND
uitspraak van de meervoudige kamer van 10 januari 2020 in de zaak tussen
[eiseres] , te [vestigingsplaats 1] , eiseres
Autoriteit Persoonsgegevens, verweerder
Als derde-partijen hebben aan het geding deelgenomen:
1. [derde-partij 1] , te [vestigingsplaats 2] ,
2. [derde-partij 2] , te [vestigingsplaats 3] , gemachtigden: [gemachtigde 1] en [gemachtigde 2]
3. de Vereniging Zorgaanbieders voor Zorgcommunicatie (VZVZ), te Den Haag, gemachtigden: [gemachtigde 3] en [gemachtigde 4] .
Procesverloop
Overwegingen
Inleiding
Het verzoek om handhaving van eiseres
- het structureel onjuist aanmelden van personen zonder dat deze personen daarvoor de vereiste geldige toestemming hebben verleend;
- het ontbreken van uniforme procedures voor het verkrijgen, valideren, registreren en doorgeven (voor vermelding in verwijsindex) van geldige toestemming voor het opvragen van medische gegevens in het LSP;
- het structureel ontbreken van procedures voor het opvragen van informatie over verleende toestemmingen.
Bespreking van het beroep van eiseres
Over de [derde-partij 2] en de [derde-partij 1] heeft verweerder toegelicht dat hij VZVZ om een reactie heeft gevraagd. VZVZ heeft uiteengezet dat het aan de zorgverleners, in dit geval de apothekers, zelf is om te zorgen dat patiënten alleen worden aangemeld als zij daarvoor uitdrukkelijk toestemming hebben verleend. VZVZ heeft contractueel laten vastleggen dat apothekers de patiënt, voorafgaand aan het vragen toestemming, zullen informeren over onder meer de reikwijdte van de toestemming. Daarbij moeten de apothekers ter voorlichting van de patiënt gebruik maken van informatiemateriaal van VZVZ of informatie van gelijke inhoud. VZVZ heeft als voorbeeld informatiemateriaal bijgevoegd.
Verweerder heeft naar aanleiding van het bureauonderzoek vastgesteld dat [derde-partij 1] in de periode van februari tot en met september 2017 een ‘opt-out’-regeling hanteerde in plaats van een ‘opt-in’- regeling zoals voorgeschreven. Patiënten zijn als gevolg daarvan aangemeld bij het LSP zonder dat zij daarvoor expliciet hun toestemming hebben gegeven. Dit is in strijd met artikel 9, tweede lid, van de AVG. Daarom is aan deze apotheek een last opgelegd. Over de [derde-partij 2] heeft verweerder toegelicht dat op basis van alle informatie is vastgesteld dat het bij het handhavingsverzoek meegestuurde toestemmingsformulier inderdaad onvoldoende specifiek is om als voldoende informatie te kunnen worden gezien. Uit de reactie van de [derde-partij 2] blijkt echter dat er geen patiënten zijn aangemeld op basis van alleen dit formulier. Daarbij gebruikt de [derde-partij 2] inmiddels ook een ander formulier. Niet gebleken is dat de werkwijze van deze apotheek in strijd is (geweest) met de AVG, op grond waarvan handhavend moet worden opgetreden.
Het betoog slaagt niet.
kunnenis in dit verband misleidend; het moet
mogenzijn. Dit staat volgens eiseres ook onjuist vermeld op pagina 3 onder het kopje “Hoe kunnen zorgverleners jouw medische gegevens bekijken?”. VZVZ heeft de folder later zelf ook aangepast en heeft volgens eiseres daarmee erkend dat de folder onjuist is en dus vergezeld moet gaan met een mondelinge toelichting waaruit blijkt dat de zorgverleners de informatie wel zouden kunnen inzien, maar dat zonder toestemming dus niet mogen. VZVZ heeft nagelaten te controleren of die mondelinge toelichting in alle gevallen is gegeven. Ook vindt eiseres dat via de folders van VZVZ ontoelaatbare druk op patiënten wordt uitgeoefend. De daarin opgenomen voorbeelden lijken de indruk te wekken dat iemand die niet staat aangemeld in het LSP in een noodsituatie niet de benodigde medische zorg kan krijgen.
Het door eiseres genoemde verschil in het werkwoord “mogen” en “kunnen” is in dit geval niet relevant. Het gaat erom dat in normaal spraakgebruik staat vermeld dat er toestemming moet worden gegeven voor het gebruik van de medische gegevens via het LSP. Bovendien wordt welke gegevens de zorgverlener wel en niet mag delen ook beheerst door artikel 457 van Pro Boek 7 van het Burgerlijk wetboek (de wet op de geneeskundige behandelovereenkomst). Zoals VZVZ terecht ter zitting heeft opgemerkt hoeft de folder die juridische informatie niet te bevatten. Uit de folder moet voldoende duidelijk blijken dat het gaat om de uitwisseling van gegevens in een behandelrelatie en dat daarvoor uitdrukkelijke toestemming nodig is. Dat is het geval. De twee in de folder beschreven voorbeelden waarin een uitwisseling van medische gegevens in de behandelrelatie nuttig, wellicht levensreddend, zijn geweest, zijn slechts een illustratie waar het LSP voor is bedoeld. De rechtbank ziet hierin, anders dan eiseres, geen ongeoorloofde druk om toestemming van patiënten te verkrijgen.
Dat apothekers in 2018 oudere folders hebben gebruikt, vindt de rechtbank geen probleem, omdat – zoals gezegd – deze folders geen onjuiste, onduidelijke of ongeoorloofde informatie bevatten. De apothekers mochten de oudere folders dus ook opmaken.
Dit betoog slaag niet.
Aanvankelijk heeft eiseres ook betoogd dat het LSP niet voorziet in een goed systeem van logging, zodat controle op de aanmeldingen niet kan, maar dit punt heeft zij naar aanleiding van mededelingen van VZVZ in de andere handhavingszaak, waarvan het beroep op dezelfde datum door deze rechtbank op een zitting is behandeld, laten vallen.
Anders dan eiseres betoogt, is het feit dat er ook fouten gemaakt kunnen worden, echter niet voldoende om nadere maatregelen dus noodzakelijk te vinden. De AVG vereist dat ook niet. In de overwegingen van de AVG staat onder 32 het volgende vermeld:
“Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt. […]”
De toestemming mag dus ook mondeling worden gegeven en uit de aard van die toestemming volgt dat dit achteraf minder goed te controleren valt. Met de beschreven werkwijze van steekproefsgewijze controle en voorlichting aan apothekers heeft VZVZ voorzien in een afdoende procedure van controle en er zijn geen aanwijzingen dat VZVZ hierop niet voldoende acteert. De rechtbank ziet in wat eiseres naar voren heeft gebracht geen aanleiding voor de conclusie dat de werkwijze van VZVZ niet adequaat is en verweerder had moeten optreden tegen de apothekers. Van een overtreding van de AVG is, behalve bij [derde-partij 1] , niet gebleken en een bevoegdheid tot handhaving ontbreekt dan ook. Het betoog slaagt niet.
Conclusie
Het beroep van eiseres slaagt niet.
Beslissing
mr. M.E.J. Sprakel, leden, in aanwezigheid van mr. M.E.C. Bakker, griffier. De beslissing is in het openbaar uitgesproken op 10 januari 2020.
Rechtsmiddel
Algemene verordening gegevensbeschermingArtikel 9Verwerking van bijzondere categorieën van persoonsgegevens1.Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.2.Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;[…].
[…]
2.Elk toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen:
[…]
d) de verwerkingsverantwoordelijke of de verwerker gelasten, waar passend, op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met de bepalingen van deze verordening;
[…]
[…]