Uitspraak
201605875/1/A3.
Datum uitspraak: 23 augustus 2017
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
de minister van Volksgezondheid, Welzijn en Sport,
appellant,
tegen de uitspraak van de rechtbank Rotterdam van 22 juni 2016 in zaak nr. 15/7329 in het geding tussen:
[wederpartij]
en
de minister.
Procesverloop
Bij besluiten van 13 april 2015 en 9 juli 2015 heeft de minister het verzoek van [wederpartij] om verwijdering van haar persoonsgegevens bij de Inspectie voor de Gezondheidszorg (hierna: de IGZ) en het Landelijk Meldpunt Zorg (hierna: het LMZ) afgewezen.
Bij besluit van 9 oktober 2015 heeft de minister het door [wederpartij] daartegen gemaakte bezwaar ongegrond verklaard.
Bij uitspraak van 22 juni 2016 heeft de rechtbank het door [wederpartij] daartegen ingestelde beroep gegrond verklaard, het besluit van 9 oktober 2015 vernietigd, het bezwaar van [wederpartij] gegrond verklaard, de besluiten van 13 april 2015 en 9 juli 2015 herroepen, de minister opgedragen om de persoonsgegevens van [wederpartij] die bij de IGZ en het LMZ worden bewaard te verwijderen binnen zes weken nadat de uitspraak onherroepelijk is geworden en bepaald dat de uitspraak in de plaats treedt van het vernietigde besluit. Deze uitspraak is aangehecht.
Tegen deze uitspraak heeft de minister hoger beroep ingesteld.
[wederpartij] heeft een schriftelijke uiteenzetting gegeven.
[wederpartij] heeft een nader stuk ingediend.
De Afdeling heeft de zaak ter zitting behandeld op 25 juli 2017, waar de minister, vertegenwoordigd door mr. J.M. Janson, bijgestaan door mr. K.M. Mulder, advocaat te Utrecht, en [wederpartij], zijn verschenen.
Overwegingen
1. De relevante bepalingen van de Wet bescherming persoonsgegevens (hierna: de Wbp) zijn opgenomen in de bijlage bij deze uitspraak. De bijlage maakt deel uit van de uitspraak.
2. Op 29 december 2014 heeft [wederpartij] een klacht over een fysiotherapeut ingediend bij de IGZ. De IGZ heeft de klacht als melding doorgestuurd aan het LMZ. Nadat stukken van [wederpartij] waren ontvangen, heeft het LMZ de melding aan de IGZ voorgelegd. Op 5 februari 2015 heeft de IGZ aan [wederpartij] medegedeeld dat haar melding niet in behandeling wordt genomen. Daarop heeft [wederpartij] bij brief van 18 februari 2015 verzocht om alle brieven en informatie die zij heeft opgestuurd zowel bij het LMZ als bij de IGZ te vernietigen.
De minister heeft het verzoek afgewezen, omdat de van [wederpartij] verwerkte persoonsgegevens volgens hem niet feitelijk onjuist zijn, niet onvolledig of niet ter zake dienend zijn en niet op andere wijze in strijd met een voorschrift van de Wbp of een andere wet zijn verwerkt. Dossiers van meldingen worden standaard tien jaar bewaard, aldus de minister.
3. De rechtbank heeft geoordeeld dat de minister het verzoek van [wederpartij] niet had mogen afwijzen, nu haar persoonsgegevens in strijd met wettelijke voorschriften zijn verwerkt. Daartoe heeft zij overwogen dat niet aannemelijk is geworden dat het noodzakelijk is om de dossiers van meldingen zowel bij het LMZ als de IGZ te bewaren. Het voor tien jaar bewaren van het dossier op beide locaties is daarom volgens de rechtbank in strijd met artikel 11, eerste lid, van de Wbp. Verder heeft het LMZ noch de IGZ [wederpartij] volledig geïnformeerd over de verwerking van haar persoonsgegevens, hetgeen in strijd is met artikelen 6 en 33 van de Wbp. De gegevensverwerking naar aanleiding van de melding van [wederpartij] ziet op persoonsgegevens betreffende haar gezondheid. Ingevolge artikel 16 van de Wbp is verwerking daarvan verboden behoudens het bepaalde in paragraaf 2 van hoofdstuk 2. Volgens de rechtbank heeft de minister zich ten onrechte op het standpunt gesteld dat verwerking van die gegevens op grond van het in paragraaf 2 van hoofdstuk 2 opgenomen artikel 21, eerste lid, aanhef en onder f, van de Wbp is toegestaan. De gegevens betreffende de gezondheid van [wederpartij] zijn derhalve ook in strijd met artikel 16 van de Wbp verwerkt, aldus de rechtbank.
4. De minister betoogt dat de rechtbank ten onrechte heeft geconcludeerd dat de persoonsgegevens van [wederpartij] in strijd met wettelijke voorschriften zijn verwerkt.
Daartoe voert hij aan dat de rechtbank ten onrechte heeft overwogen dat gegevens betreffende de gezondheid van [wederpartij] in strijd met artikel 16 van de Wbp zijn verwerkt. Primair stelt de minister zich op het standpunt dat de uitzondering als bedoeld in artikel 23, eerste lid, aanhef en onder f, van de Wbp, welke bepaling is opgenomen in paragraaf 2 van hoofdstuk 2 van die wet, zich voordoet. De verwerking is geschied ten behoeve van een zwaarwegend belang. Het is de taak van de IGZ om toezicht te houden op en onderzoek te doen naar de kwaliteit en de veiligheid van de zorg. Ter behandeling en beoordeling van ontvangen meldingen is het noodzakelijk om persoonsgegevens betreffende de gezondheid van de melder te verwerken. Grondslagen daarvoor zijn gelegen in artikel 36 van de Gezondheidswet en in artikel 11, tweede lid, van de Wet kwaliteit, klachten en geschillen zorg (hierna: de Wkkgz). Voorts volgt volgens de minister uit de Archiefwet dat hij verplicht is om gegevens te bewaren. Subsidiair stelt de minister zich op het standpunt dat zich de uitzondering als bedoeld in artikel 23, eerste lid, aanhef en onder a, van de Wbp voordoet, omdat [wederpartij] uitdrukkelijk toestemming heeft gegeven voor verwerking van haar persoonsgegevens. De minister wijst op overgelegde notities van het contact tussen het LMZ en [wederpartij]. Het LMZ heeft haar geïnformeerd over de taken van de IGZ en de mogelijkheden die de IGZ heeft ten aanzien van haar klacht. Uit het op grond van de Archiefwet opgestelde Basisselectiedocument IGZ dat in de Staatscourant is gepubliceerd, volgt dat dossiers van meldingen tien jaar worden bewaard. Door desgevraagd en uit eigen beweging gegevens te verstrekken heeft [wederpartij] uitdrukkelijke toestemming gegeven om haar dossier tien jaar te bewaren, aldus de minister.
4.1. Ingevolge artikel 23, eerste lid, aanhef en onder f, van de Wbp is het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken niet van toepassing voor zover dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het College ontheffing heeft verleend. Uit de geschiedenis van de totstandkoming van deze bepaling blijkt dat de zinsnede «bij wet bepaald» met zich brengt dat de verwerking van een gevoelig gegeven alleen mogelijk is indien bij formele wet daarin is voorzien. Een zodanige verwerking moet in de Wbp of in een formele wet uitdrukkelijk zijn geregeld (Kamerstukken II 1997-1998, 25 892, nr. 3, p. 125).
4.1.1. Ingevolge artikel 36, eerste lid, van de Gezondheidswet is er een Staatstoezicht op de volksgezondheid dat bestaat uit bij algemene maatregel van bestuur aangewezen onderdelen en dat tot taak heeft het toezicht op de naleving en de opsporing van overtredingen van het bepaalde bij of krachtens wettelijke voorschriften op het gebied van de volksgezondheid, een en ander voor zover de ambtenaren van het Staatstoezicht daarmede zijn belast bij of krachtens wettelijk voorschrift. In die bepaling, noch in een andere bepaling van de Gezondheidswet is geregeld dat in verband met het voormelde toezicht op de volksgezondheid persoonsgegevens mogen worden verwerkt.
Ingevolge artikel 11, tweede lid, van de Wkkgz verstrekken de zorgaanbieder en de zorgverleners die zorg verlenen aan zijn cliënten, bij en naar aanleiding van een melding als bedoeld in het eerste lid aan de ingevolge deze wet met toezicht belaste ambtenaar de gegevens, daaronder begrepen persoonsgegevens, gegevens betreffende de gezondheid en andere bijzondere persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens, die voor het onderzoeken van de melding noodzakelijk zijn. Ingevolge het eerste lid doet de zorgaanbieder bij het Staatstoezicht op de volksgezondheid onverwijld melding van iedere calamiteit die bij de zorgverlening heeft plaatsgevonden, geweld in de zorgrelatie en de opzegging, ontbinding of niet-voortzetting van een overeenkomst met een zorgverlener op grond van het oordeel dat de zorgverlener ernstig tekort is geschoten in zijn functioneren. Zoals ter zitting namens de minister is bevestigd, betreft deze bepaling meldingen door zorgaanbieders en derhalve niet een melding als door [wederpartij] is gedaan. Artikel 11, tweede lid, van de Wkkgz kan daarom geen grondslag vormen voor het bewaren van het door [wederpartij] in het kader van haar melding overgelegde dossier.
Ingevolge artikel 3 van de Archiefwet zijn de overheidsorganen verplicht de onder hen berustende archiefbescheiden in goede, geordende en toegankelijke staat te brengen en te bewaren, alsmede zorg te dragen voor de vernietiging van de daarvoor in aanmerking komende archiefbescheiden. Naar het oordeel van de Afdeling vormt deze algemene bepaling niet een zelfstandige grondslag voor de verwerking van bijzondere persoonsgegevens als bedoeld in artikel 23, eerste lid, aanhef en onder f, van de Wbp, nu aan de bewaarplicht van de Archiefwet pas wordt toegekomen als gegevens in overeenstemming met de Wbp worden verwerkt.
Ter zitting is namens de minister toegelicht dat door het College bescherming persoonsgegevens geen ontheffing is verleend.
Uit het voorgaande volgt dat aan het vereiste van artikel 23, eerste lid, aanhef en onder f, van de Wbp dat een wettelijke grondslag voorhanden is dan wel het College ontheffing heeft verleend, niet is voldaan.
Reeds daarom kan de minister zich niet op die uitzondering beroepen.
4.2. Ingevolge artikel 23, eerste lid, aanhef en onder a, is het verbod om persoonsgegevens betreffende de gezondheid te verwerken niet van toepassing indien dit geschiedt met uitdrukkelijke toestemming van de betrokkene. Uit de geschiedenis van de totstandkoming van deze bepaling volgt dat de betrokkene expliciet zijn wil omtrent de verwerking moet hebben geuit in woord, geschrift of gedrag. Stilzwijgende of impliciete toestemming is onvoldoende (Kamerstukken II 1997-1998, 25 892, nr. 3, p. 123). Ingevolge artikel 1, aanhef en onder i, wordt in de Wbp onder toestemming verstaan: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt. Uit de geschiedenis van de totstandkoming van deze bepaling blijkt dat de wilsuiting betrekking moet hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerking. Duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden. Een zeer brede en onbepaalde machtiging tot verwerken van gegevens kan niet als toestemming worden aangemerkt. Evenmin kan van een rechtsgeldige toestemming worden gesproken wanneer de betrokkene geconfronteerd wordt met een geheel andere gegevensverwerking dan waarvoor hij toestemming had verleend (Kamerstukken II 1997-1998, 25 892, nr. 3, p. 65).
4.2.1. Bij brief van 29 december 2014 aan de IGZ heeft [wederpartij] aandacht gevraagd voor haar klacht over een fysiotherapeut. De IGZ heeft de brief doorgestuurd aan het LMZ. In notities van het LMZ van contact met [wederpartij] staat onder 16 januari 2015: "met mw afgesproken dat zij haar klachtbrief en uitspraak klachtencommissie naar ons toestuurt. Mw geeft aan dat zij wil dat het voorgelegd wordt aan de IGZ. Ik heb mw aangegeven dat wij dit zullen doen, maar dat het dan alsnog belangrijk is dat wij alle relevante informatie hebben. Mw zal de stukken toesturen". [wederpartij] heeft nadere stukken aan het LMZ toegestuurd. Onder 28 januari 2015 staat in de notities van het LMZ van contact met [wederpartij]: "meldster geeft toestemming en machtiging aan de IGZ, procedure uitgelegd. Daarnaast verwachtingsmanagement toegepast en duidelijk aangegeven dat het een mogelijkheid is dat de IGZ een melding niet in behandeling neemt".
Ter zitting van de rechtbank en ter zitting van de Afdeling heeft [wederpartij] verklaard dat zij met het LMZ niet heeft gesproken over het bewaren van haar gegevens.
Met het sturen van de brief van 29 december 2014 en het toesturen van nadere stukken heeft [wederpartij] toestemming gegeven voor het verwerken van haar persoonsgegevens in verband met de behandeling van haar melding. Uit die gedragingen blijkt immers dat zij wil dat haar klacht wordt behandeld en dat zij daartoe haar gegevens verstrekt. Uit de notities van het LMZ van het contact met [wederpartij] blijkt verder dat zij toestemming heeft gegeven om haar persoonsgegevens aan de IGZ te verstrekken ten behoeve van de behandeling van haar melding. Uit de notities van het contact met [wederpartij] blijkt niet dat zij toestemming heeft gegeven voor verwerking van haar persoonsgegevens door het bewaren van het dossier van haar melding voor tien jaar, noch dat zij over die bewaring is geïnformeerd. Ter zitting is toegelicht dat destijds evenmin op de website van het LMZ stond dat dossiers van meldingen tien jaar worden bewaard. Uit het Basisselectiedocument IGZ, dat in de Staatscourant is gepubliceerd, blijkt dat meldingen van zorginstellingen en van burgers, zowel die geen vervolg krijgen als die leiden tot nader onderzoek, in beginsel tien jaar worden bewaard. Naar het oordeel van de Afdeling kan echter uit de omstandigheid dat [wederpartij] de stukken heeft opgestuurd nadat het Basisselectiedocument IGZ was gepubliceerd geen uitdrukkelijke toestemming voor het bewaren van haar medische persoonsgegevens voor tien jaar worden afgeleid. Evenmin kan uit de toestemming van [wederpartij] voor verwerken van haar persoonsgegevens in verband met de behandeling van de melding een toestemming worden afgeleid voor het voor tien jaar bewaren van het dossier van haar melding nadat de IGZ heeft besloten de melding niet in behandeling te nemen. Uit de geschiedenis van de totstandkoming van de Wbp volgt immers dat de wilsuiting betrekking moet hebben op een bepaalde gegevensverwerking en duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden.
[wederpartij] heeft dus geen uitdrukkelijke toestemming gegeven voor het bewaren van de gegevens betreffende haar gezondheid voor tien jaar, zodat de minister zich niet op de uitzondering als bedoeld in artikel 23, eerste lid, aanhef en onder a, van de Wbp kan beroepen.
4.3. Uit het voorgaande volgt dat de rechtbank terecht heeft overwogen dat de minister de gegevens betreffende de gezondheid van [wederpartij] in strijd met artikel 16 van de Wbp heeft verwerkt. Reeds hierom blijft het oordeel van de rechtbank, dat de minister het verzoek van [wederpartij] niet had mogen afwijzen, nu haar persoonsgegevens in strijd met wettelijke voorschriften zijn verwerkt, in stand. Hetgeen de minister overigens heeft aangevoerd behoeft dan ook geen bespreking meer.
Het betoog faalt.
5. Het hoger beroep is ongegrond. De aangevallen uitspraak dient te worden bevestigd.
6. Van proceskosten die voor vergoeding in aanmerking komen, is niet gebleken.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. bevestigt de aangevallen uitspraak;
II. bepaalt dat van de minister van Volksgezondheid, Welzijn en Sport een griffierecht van € 503,00 (zegge: vijfhonderddrie euro) wordt geheven.
Aldus vastgesteld door mr. D.A.C. Slump, voorzitter, en mr. A.B.M. Hent en mr. D.J.C. van den Broek, leden, in tegenwoordigheid van mr. H.E. Noordhoek, griffier.
w.g. Slump
voorzitter
De griffier is verhinderd de uitspraak te ondertekenen.
Uitgesproken in het openbaar op 23 augustus 2017
819. BIJLAGE
Wbp
Artikel 1
In deze wet en de daarop berustende bepalingen wordt verstaan onder:
a. persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;
b. verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
c. - h. (...);
i. toestemming van de betrokkene: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt;
j. - r. (...).
Artikel 6
Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt.
Artikel 11
1. Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn.
Artikel 16
De verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden behoudens het bepaalde in deze paragraaf.
Artikel 21
1. Het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door:
a. - e. (...),
f. bestuursorganen, pensioenfondsen, werkgevers of instellingen die te hunnen behoeve werkzaam zijn voor zover dat noodzakelijk is voor:
1°. een goede uitvoering van wettelijke voorschriften, pensioenregelingen of collectieve arbeidsovereenkomsten die voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene of
2°. de reïntegratie of begeleiding van werknemers of uitkeringsgerechtigden in verband met ziekte of arbeidsongeschiktheid.
Artikel 23
1. Onverminderd de artikelen 17 tot en met 22 is het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken niet van toepassing voor zover:
a. dit geschiedt met uitdrukkelijke toestemming van de betrokkene;
b. - d. (...);
f. dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het College ontheffing heeft verleend. Het College kan bij de verlening van ontheffing beperkingen en voorschriften opleggen;
g. (...).
Artikel 33
1. Indien persoonsgegevens worden verkregen bij de betrokkene, deelt de verantwoordelijke vóór het moment van de verkrijging de betrokkene de informatie mede, bedoeld in het tweede en derde lid, tenzij de betrokkene daarvan reeds op de hoogte is.
2. De verantwoordelijke deelt de betrokkene zijn identiteit en de doeleinden van de verwerking waarvoor de gegevens zijn bestemd, mede.
3. De verantwoordelijke verstrekt nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen.
Artikel 36
1. Degene aan wie overeenkomstig artikel 35 kennis is gegeven van hem betreffende persoonsgegevens, kan de verantwoordelijke verzoeken deze te verbeteren, aan te vullen, te verwijderen, of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt. Het verzoek bevat de aan te brengen wijzigingen.
Artikel 45
Een beslissing op een verzoek als bedoeld in de artikelen 30, derde lid, 35, 36 en 38, tweede lid, alsmede een beslissing naar aanleiding van de aantekening van verzet als bedoeld in de artikelen 40 of 41 gelden voor zover deze is genomen door een bestuursorgaan als een besluit in de zin van de Algemene wet bestuursrecht.