Uitspraak
201011851/1/H3.
Datum uitspraak: 30 november 2011
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
de raad van bestuur van het Universitair Medisch Centrum Groningen (hierna: UMCG),
appellant,
tegen de uitspraak van de rechtbank Groningen van 3 november 2010 in zaak nr. 09/1155 in het geding tussen:
[wederpartij], wonend te Ulrum, gemeente De Marne
en
het UMCG.
1. Procesverloop
Bij besluit van 11 augustus 2009 heeft het UMCG het verzoek van [wederpartij] om op grond van de Wet bescherming persoonsgegevens (hierna: Wbp) kennis te nemen van de namen van de zorgverleners die inzage in haar medisch patiëntendossier hebben genomen, afgewezen.
Bij besluit van 9 november 2009 heeft het UMCG het door [wederpartij] daartegen gemaakte bezwaar ongegrond verklaard.
Bij uitspraak van 3 november 2010, verzonden op dezelfde dag, heeft de rechtbank het door [wederpartij] daartegen ingestelde beroep gegrond verklaard en bepaald dat het UMCG een nieuw besluit dient te nemen op het bezwaar van [wederpartij] met inachtneming van hetgeen in de uitspraak is overwogen. Deze uitspraak is aangehecht.
Tegen deze uitspraak heeft het UMCG bij brief, bij de Raad van State ingekomen op 8 december 2010, hoger beroep ingesteld.
Bij besluit van 9 december 2010 heeft het UMCG, gevolg gevend aan de aangevallen uitspraak, opnieuw beslist op het bezwaar van [wederpartij].
[wederpartij] heeft een verweerschrift ingediend.
De Afdeling heeft de zaak ter zitting behandeld op 20 juni 2011, waar het UMCG, vertegenwoordigd door mr. P. van der Hart, advocaat in dienst van het UMCG, vergezeld door mr. J.W. Hendriksen, werkzaam bij het UMCG, en [wederpartij], in persoon, zijn verschenen.
2. Overwegingen
2.1. Ingevolge artikel 1 van Pro de Wbp wordt in deze wet en de daarop berustende bepalingen verstaan onder:
a. persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;
b. verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
c. bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen;
d. verantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;
(…);
f. betrokkene: degene op wie een persoonsgegeven betrekking heeft;
g. derde: ieder, niet zijnde de betrokkene, de verantwoordelijke, de bewerker, of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of de bewerker gemachtigd is om persoonsgegevens te verwerken;
h. ontvanger: degene aan wie de persoonsgegevens worden verstrekt;
(…);
n. verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van persoonsgegevens;
(…).
Ingevolge artikel 35, eerste lid, heeft de betrokkene het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt.
Ingevolge het tweede lid bevat, indien zodanige gegevens worden verwerkt, de mededeling een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.
Ingevolge het derde lid stelt een verantwoordelijke voordat hij een mededeling doet als bedoeld in het eerste lid, waartegen een derde naar verwachting bedenkingen zal hebben, die derde in de gelegenheid zijn zienswijze naar voren te brengen indien de mededeling gegevens bevat die hem betreffen, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost.
Ingevolge artikel 43, aanhef en onder e, voor zover hier van belang, kan de verantwoordelijke artikel 35 buiten Pro toepassing laten voor zover dit noodzakelijk is in het belang van de bescherming van de betrokkene of van de rechten en vrijheden van anderen.
Ingevolge artikel 45, voor zover hier van belang, geldt een beslissing op een verzoek als bedoeld in artikel 35 voor Pro zover deze is genomen door een bestuursorgaan als een besluit in de zin van de Algemene wet bestuursrecht.
Ingevolge artikel 7:454, eerste lid, van het Burgerlijk Wetboek (hierna: BW) richt de hulpverlener een dossier in met betrekking tot de behandeling van de patiënt. Hij houdt in het dossier aantekening van de gegevens omtrent de gezondheid van de patiënt en de te diens aanzien uitgevoerde verrichtingen en neemt andere stukken, bevattende zodanige gegevens, daarin op, een en ander voor zover dit voor een goede hulpverlening aan hem noodzakelijk is.
Ingevolge artikel 7:456 verstrekt Pro de hulpverlener aan de patiënt desgevraagd zo spoedig mogelijk inzage in en afschrift van de bescheiden, bedoeld in artikel 454. De verstrekking blijft achterwege voor zover dit noodzakelijk is in het belang van de bescherming van de persoonlijke levenssfeer van een ander. De hulpverlener mag voor de verstrekking van het afschrift een redelijke vergoeding in rekening brengen.
Ingevolge artikel 16, vierde lid, van het Vrijstellingsbesluit Wbp worden de persoonsgegevens slechts verstrekt aan:
a. degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandeling van de patiënt alsmede degenen die optreden als vervanger van de voor de verwerking verantwoordelijke, voor zover de verstrekking noodzakelijk is voor de door hen in dat kader te verrichten werkzaamheden;
b. onderzoekers, als bedoeld in artikel 7:458 van Pro het Burgerlijk Wetboek;
c. zorgverzekeraars voor zover noodzakelijk met het oog op de verplichtingen uit de verzekeringsovereenkomst;
d. derden die zijn belast met het innen van vorderingen, voor zover de verstrekking daarvoor noodzakelijk is en geen medische gegevens betreft;
e. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d.
2.2. Bij brief van 6 juli 2009 heeft [wederpartij] op grond van de Wbp verzocht om kennis te nemen van de namen van de zorgverleners die via het Poliplus-systeem inzage hebben genomen in haar medisch dossier. Bij besluit van 11 augustus 2009 heeft het UMCG dat verzoek afgewezen. Daarbij heeft het UMCG aan [wederpartij] meegedeeld dat persoonsgegevens slechts worden verstrekt aan derden voor zover die verstrekking voortvloeit uit het doel van de betrokken persoonsregistratie. Degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandelovereenkomst en degene die optreedt als vervanger van de behandelaar worden in elk geval niet beschouwd als derden. Er is geen wettelijke omschrijving van wie er verder rechtstreeks betrokken zijn bij de uitvoering, maar het gaat, naast de behandelaars, ook om degenen die ingeroepen zijn als consulent, beheerders van dossiers en bij de financiële afwikkeling betrokken personen. Geen anderen dan zorgverleners en medewerkers van de zorgadministratie hebben inzage gehad in het in het Poliplus-systeem opgenomen medisch dossier van [wederpartij], aldus het UMCG.
2.3. Naar het oordeel van de rechtbank heeft [wederpartij] ingevolge artikel 35, tweede lid, van de Wbp in beginsel recht op een overzicht van degenen die haar medisch dossier in het Poliplus-systeem hebben ingezien, omdat deze personen als ontvanger, als bedoeld in artikel 1, aanhef en onder h, van de Wbp, kunnen worden aangemerkt. De rechtbank heeft het UMCG niet gevolgd in zijn standpunt dat de informatie waar artikel 35, tweede lid, van de Wbp op doelt, uitsluitend samenhangt met het recht op correctie en aanvulling van de inhoud van het dossier. Verder brengt het bepaalde in artikel 7:454 van Pro het BW volgens de rechtbank niet met zich dat de reikwijdte van het bepaalde in artikel 35, tweede lid, van de Wbp is beperkt tot de in artikel 7:454 van Pro het BW genoemde groep ontvangers. Het UMCG heeft verder onvoldoende gemotiveerd dat met het verstrekken van de verzochte informatie een disproportionele inbreuk wordt gemaakt op de rechten en vrijheden van anderen en dat artikel 35 van Pro de Wbp, ingevolge artikel 43, aanhef en onder e, van die wet daarom buiten toepassing moet worden gelaten, aldus de rechtbank. Nu het UMCG zich ten onrechte op het standpunt heeft gesteld dat artikel 35, tweede lid, van de Wbp zich niet uitstrekt over de door [wederpartij] verzochte informatie, berust het besluit op bezwaar van 9 november 2009 volgens de rechtbank op een onjuiste juridische grondslag.
2.4. Het UMCG betoogt dat de rechtbank ten onrechte heeft geoordeeld dat het bij het besluit op bezwaar de uitleg van het begrip ontvangers in de zin van de Wbp heeft beperkt tot de bij de behandeling betrokken personen als genoemd in artikel 7:454, tweede lid, van het BW.
Verder betoogt het UMCG dat artikel 35, tweede lid, van de Wbp hem de keuze laat om de ontvangers of de categorieën van ontvangers te vermelden. Hij vindt steun voor dit standpunt in de uitspraak van het Gerechtshof 's-Hertogenbosch van 16 januari 2006. Het UMCG heeft er om hem moverende redenen voor gekozen om slechts de categorieën van ontvangers te vermelden. De rechtbank kan die keuze slechts marginaal toetsen.
De rechtbank heeft hem voorts ten onrechte niet gevolgd in zijn standpunt dat de informatie waar artikel 35, tweede lid, van de Wbp op ziet, uitsluitend samenhangt met het recht op correctie en aanvulling van de inhoud van het dossie[wederpartij] moet slechts kunnen controleren of persoonsgegevens juist zijn, op een juiste wijze worden verwerkt en indien nodig het correctie- of verwijderingsrecht kunnen uitoefenen. Zij heeft de informatie evenwel verzocht teneinde na te gaan of het UMCG het beroepsgeheim in acht neemt.
Het UMCG voert verder aan dat voor alle medewerkers geldt dat een inbreuk op de privacy moet zijn voorzien bij wet en moet voldoen aan de eisen van proportionaliteit en subsidiariteit. [wederpartij] heeft niet een zodanig belang gesteld dat een inbreuk op de privacy van de medewerkers van het UMCG is gerechtvaardigd. Het UMCG betoogt tot slot dat het aansprakelijk is voor fouten van ondergeschikten en dat het zonder wettelijke plicht niet is gehouden om feitelijk een verklaring tegen zichzelf af te leggen. Dit zou strijd opleveren met artikel 6 van Pro het Verdrag tot Bescherming van de rechten van de mens en de fundamentele vrijheden, aldus het UMCG.
2.4.1. Medische dossiers worden digitaal gevormd in het Poliplus-systeem. Dit systeem is volgens het UMCG zo ingericht dat geautoriseerde toegang tot gegevens betreffende patiëntenzorg mogelijk is. Behandelaars en de betrokkenen bij de uitvoering van het Poliplus-systeem hebben deze geautoriseerde toegang tot het Poliplus-systeem. Personen die niet geautoriseerd zijn, hebben slechts toegang tot het Poliplus-systeem door in te loggen waarbij de inloggegevens bewaard blijven. Het UMCG heeft aan [wederpartij] medegedeeld dat slechts geautoriseerde ontvangers, zijnde behandelaars in de categorieën zorgverleners en medewerkers zorgadministratie, toegang hebben tot haar digitale medische dossier in het Poliplus-systeem.
2.4.2. De rechtbank heeft terecht geoordeeld dat de Wbp op het in het Poliplus-systeem opgenomen medisch dossier van [wederpartij] van toepassing is, omdat het een gestructureerd geheel van gegevens is dat zodanig kenmerkend is voor [wederpartij] dat zij aan de hand van die gegevens direct of indirect kan worden geïdentificeerd. De rechtbank heeft verder met juistheid geoordeeld dat het raadplegen van het in het Poliplus-systeem gevormde digitale dossier is te kwalificeren als het verwerken van persoonsgegevens als bedoeld in artikel 1, aanhef en onder b, van de Wbp.
De Afdeling overweegt voorts met inachtneming van artikel 8:69, tweede lid, van de Algemene wet bestuursrecht (hierna: Awb), als volgt.
In artikel 1, aanhef en onder b, van de Wbp wordt ter definiëring van het begrip verwerken van persoonsgegevens, een opsomming gegeven van handelingen of een geheel van handelingen, die in ieder geval zijn te kwalificeren als verwerking van persoonsgegevens in de zin van die bepaling. In die opsomming wordt onderscheid gemaakt tussen het opvragen en raadplegen en het verstrekken van persoonsgegevens. Gelet hierop is naar het oordeel van de Afdeling het verstrekken van persoonsgegevens niet gelijk te stellen aan het raadplegen van persoonsgegevens dan wel het opvragen van die gegevens.
Ingevolge het bepaalde in artikel 1, aanhef en onder h, van de Wbp is slechts degene aan wie de gegevens worden verstrekt, ontvanger in de zin van die bepaling. Het via al dan niet geautoriseerde toegang tot het Poliplus-systeem raadplegen van het digitale medische dossier van [wederpartij], is naar het oordeel van de Afdeling, niet te kwalificeren als het verstrekken van persoonsgegevens, maar als het raadplegen dan wel opvragen van die persoonsgegevens.
Anders dan de rechtbank is de Afdeling dan ook van oordeel dat degenen die het medisch dossier van [wederpartij] in het Poliplus-systeem hebben geraadpleegd, geen ontvangers zijn in de zin van artikel 1, aanhef en onder h, van de Wbp.
2.4.3. Gelet op hetgeen onder 2.4.2 is overwogen, mocht het UMCG ingevolge het bepaalde in artikel 35, tweede lid, van de Wbp niet volstaan met het mededelen van categorieën van ontvangers. Het betoog van het UMCG dienaangaande faalt dan ook.
De rechtbank heeft met juistheid geoordeeld dat artikel 35, tweede lid, van de Wbp, aan [wederpartij] in beginsel het recht toekent op een overzicht van namen van degenen die haar medisch dossier in het Poliplus-systeem hebben geraadpleegd. Met de rechtbank verwerpt de Afdeling het betoog van het UMCG dat de informatie waar artikel 35, tweede lid, van de Wbp op ziet, uitsluitend dient ter uitoefening van het recht op correctie en aanvulling van de inhoud van het dossier. Dat [wederpartij] de informatie zou hebben verzocht teneinde na te gaan of het UMCG het beroepsgeheim in acht neemt, kon derhalve geen grond zijn de door haar verzochte informatie niet mede te delen. Het recht op mededeling of persoonsgegevens worden verwerkt, als neergelegd in artikel 35 van Pro de Wbp, kan weliswaar ten dienste staan van aanwending van de mogelijkheid door een betrokkene om de verantwoordelijke te verzoeken deze persoonsgegevens te verbeteren of aan te vullen, voorzien in artikel 36 van Pro de Wbp, maar dat betekent niet dat de mededeling slechts behoeft te worden gedaan in zoverre dat doel kan worden gediend. Uit de tekst van artikel 35, tweede lid, van de Wbp volgt immers dat de verantwoordelijke een volledig overzicht van de verwerkte persoonsgegevens dient te verstrekken, los van het doel dat betrokkene met het verzoek voor ogen heeft. Zoals de rechtbank voorts met juistheid heeft overwogen, geeft de Wbp aan een ieder het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt en wordt het belang bij een zodanig verzoek door de Wbp verondersteld.
De betogen van het UMCG dat [wederpartij] niet een zodanig belang heeft gesteld dat een inbreuk op de privacy van de medewerkers van het UMCG is gerechtvaardigd en dat het aansprakelijk is voor fouten van ondergeschikten en het zonder wettelijke plicht niet is gehouden om een verklaring tegen zichzelf af te leggen, zijn niet gericht tegen de aangevallen uitspraak en leiden om die reden niet tot vernietiging van de uitspraak.
2.5. Gelet op het voorgaande heeft de rechtbank terecht geoordeeld dat het besluit van 9 november 2009 van het UMCG voor vernietiging in aanmerking komt. De rechtbank heeft in haar beslissing evenwel nagelaten dat besluit te vernietigen. De uitspraak dient te worden vernietigd voor zover de rechtbank heeft nagelaten het besluit 9 november 2009 te vernietigen. Het hoger beroep is in zoverre gegrond. De Afdeling zal doende hetgeen de rechtbank zou behoren te doen, het besluit van 9 november 2009 alsnog vernietigen. De aangevallen uitspraak dient, gelet op hetgeen onder 2.4.2 en 2.4.3 is overwogen, voor het overige te worden bevestigd onder verbetering van de gronden waarop deze rust.
2.6. Bij besluit van 9 december 2010 heeft het UMCG, gevolg gevend aan de aangevallen uitspraak, het bezwaar van [wederpartij] ongegrond verklaard. Dit besluit is een besluit als bedoeld in artikel 6:18, eerste lid, van de Awb en zal door de Afdeling op grond van artikel 6:19, eerste lid, gelezen in verbinding met artikel 6:24 van Pro de Awb, in de beoordeling worden betrokken.
2.7. Het UMCG heeft in het besluit van 9 december 2010 overwogen dat het gelet op de in artikel 35, tweede lid, van de Wbp neergelegde keuzemogelijkheid om ontvangers of categorieën van ontvangers mede te delen, mocht volstaan met het mededelen van categorieën van ontvangers. Het UMCG heeft die keuze gemotiveerd door te overwegen dat niet alleen voor patiënten, maar ook voor medewerkers van het UMCG een inbreuk op de privacy moet zijn voorzien bij wet en dient te voldoen aan de eisen van proportionaliteit en subsidiariteit en dat geen wettelijke plicht bestaat om de namen van degenen die het in het Poliplus-systeem opgenomen medische dossier hebben geraadpleegd, zonder toestemming van die personen te verstrekken. Hierbij heeft het UMCG voorts van belang geacht dat tegen een eventuele schending van het beroepsgeheim andere wegen openstaan.
2.8. [wederpartij] betoogt dat het UMCG ten onrechte heeft volstaan met het melden van de categorieën van ontvangers. De Wbp heeft volgens haar tot doel de privacy van de patiënt te waarborgen, zodat haar belang bij mededeling van namen van degenen die via toegang tot het Poliplus-systeem haar medisch dossier hebben geraadpleegd zwaarder weegt dan het belang van het UMCG bij het niet mededelen van die namen.
2.8.1. Zoals onder 2.4.3 is overwogen mocht het UMCG, nu degenen die het medisch dossier van [wederpartij] in het Poliplus-systeem hebben geraadpleegd, geen ontvangers zijn in de zin van artikel 1, aanhef en onder h, van de Wbp, ingevolge het bepaalde in artikel 35, tweede lid, van de Wbp, niet volstaan met het mededelen van categorieën van ontvangers. Artikel 35, tweede lid, van de Wbp, kent aan [wederpartij] het recht toe op een volledig overzicht van namen van degenen die haar medisch dossier in het Poliplus-systeem hebben geraadpleegd. Het UMCG heeft artikel 35, tweede lid, van de Wbp op grond van artikel 43, aanhef en onder e, van de Wbp buiten toepassing gelaten in zoverre het verzoek van [wederpartij] strekt tot mededeling van de namen van degenen die het medisch dossier in het Poliplus-systeem hebben geraadpleegd. Het UMCG heeft echter niet deugdelijk gemotiveerd waarom het buiten toepassing laten van artikel 35, tweede lid, van de Wbp in dit geval noodzakelijk is in het belang van de bescherming van de rechten en vrijheden van anderen. Zoals onder 2.4.3 is overwogen, geeft de Wbp aan een ieder het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt in de zin van artikel 1, aanhef en onder b, van de Wbp. Het belang bij een zodanig verzoek wordt door de Wbp verondersteld. Daarom en omdat het in dit geval verwerking van persoonsgegevens in het kader van een digitaal medisch dossier betreft, staat het belang van [wederpartij] om haar rechten op grond van artikel 35 en Pro 36 van de Wbp uit te kunnen oefenen, zoals zij terecht betoogt, voorop. Met de enkele overweging in het besluit van 9 december 2010 dat ook een inbreuk op de privacy van medewerkers van het UMCG moet zijn voorzien bij de wet en moet voldoen aan de eisen van proportionaliteit en subsidiariteit heeft het UMCG niet een weging verricht die hieraan recht doet. Het betoog van [wederpartij] slaagt.
2.9. Het beroep tegen het besluit van 9 december 2010 van het UMCG is gegrond. De Afdeling zal dit besluit wegens strijd met artikel 7:12 van Pro de Awb vernietigen.
2.10. [wederpartij] heeft verzocht om vergoeding van de proceskosten die zij heeft gemaakt in verband met de procedure bij de rechtbank. Deze proceskosten komen evenwel niet voor vergoeding in aanmerking. De Afdeling overweegt daartoe dat [wederpartij] niet in hoger beroep is gekomen tegen de aangevallen uitspraak, de rechtbank het UMCG reeds tot vergoeding van die proceskosten heeft veroordeeld en de aangevallen uitspraak in zoverre is bevestigd. De Afdeling ziet daarom aanleiding het UMCG op na te melden wijze tot vergoeding van bij [wederpartij] in verband met de behandeling van het hoger beroep opgekomen proceskosten te veroordelen.
3. Beslissing
De Afdeling bestuursrechtspraak van de Raad van State
Recht doende in naam der Koningin:
I. verklaart het hoger beroep gegrond;
II. vernietigt de uitspraak van de rechtbank Groningen van 3 november 2010 in zaak nr. 09/1155, voor zover daarbij is nagelaten het besluit op bezwaar van 9 november 2009, kenmerk 239.472 te vernietigen;
III. vernietigt dat besluit;
IV. bevestigt de uitspraak voor het overige;
V. verklaart het beroep tegen het besluit van de raad van bestuur van het Universitair Medisch Centrum Groningen van 9 december 2010, kenmerk 252.092/RvB gegrond;
VI. vernietigt dat besluit;
VII. veroordeelt de raad van bestuur van het Universitair Medisch Centrum Groningen tot vergoeding van bij [wederpartij] in verband met de behandeling van het hoger beroep opgekomen proceskosten tot een bedrag van € 369,65 (zegge: driehonderdnegenenzestig euro en vijfenzestig cent).
Aldus vastgesteld door mr. M. Vlasblom, voorzitter, en mr. J.H. van Kreveld en mr. D. Roemers, leden, in tegenwoordigheid van mr. R. Grimbergen, ambtenaar van staat.
w.g. Vlasblom w.g. Grimbergen
voorzitter ambtenaar van staat
Uitgesproken in het openbaar op 30 november 2011
581.