Uitspraak
202101414/1/A3.
Datum uitspraak: 31 januari 2024
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
de stichting Koepel van DBC-vrije Praktijken van Psychotherapeuten en Psychiaters (hierna: stichting), gevestigd te Loenen, gemeente Apeldoorn,
appellante,
tegen de uitspraak van de rechtbank Amsterdam van 25 januari 2021 in zaak nr. 16/5329 in het geding tussen:
de stichting
en
de Autoriteit Persoonsgegevens (hierna: AP).
Procesverloop
Bij besluit van 8 februari 2016 heeft de AP een verzoek van de stichting om op grond van de Wet bescherming persoonsgegevens (hierna: de Wbp) handhavend op te treden tegen de Nederlandse zorgverzekeraars afgewezen.
Bij besluit van 11 juli 2016 heeft de AP het door de stichting daartegen gemaakte bezwaar ongegrond verklaard.
De stichting heeft hiertegen beroep ingesteld.
Bij besluit van 20 november 2019 heeft de AP het besluit van 11 juli 2016 ingetrokken en het bezwaar van de stichting opnieuw ongegrond verklaard.
Bij uitspraak van 25 januari 2021 heeft de rechtbank het door de stichting tegen het besluit van 11 juli 2016 ingestelde beroep niet-ontvankelijk verklaard en het beroep tegen het besluit van 20 november 2019 ongegrond verklaard.
Tegen deze uitspraak heeft de stichting hoger beroep ingesteld.
De AP heeft een schriftelijke uiteenzetting gegeven.
De AP heeft stukken overgelegd en met verwijzing naar artikel 8:29 van de Algemene wet bestuursrecht (hierna: Awb) medegedeeld dat uitsluitend de Afdeling kennis zal mogen nemen van deze stukken.
De Afdeling heeft in andere samenstelling beslist dat beperkte kennisneming van deze stukken gerechtvaardigd is.
De stichting heeft de Afdeling geen toestemming gegeven om mede op grondslag van deze stukken uitspraak te doen.
De stichting en de AP hebben nadere stukken ingediend.
De Afdeling heeft de zaak ter zitting behandeld op 20 december 2023, waar de stichting, vertegenwoordigd door [voorzitter], en de AP, vertegenwoordigd door mr. O.S. Nijveld en mr. J.M.A. Koster, zijn verschenen.
Overwegingen
Inleiding
1. Op 29 december 2010 hebben de zorgverzekeraars verzocht om afgifte van een verklaring als bedoeld in artikel 25 van de Wbp voor de Gedragscode Verwerking persoonsgegevens Zorgverzekeraars. De AP heeft de verzochte verklaring van goedkeuring afgegeven. Een belanghebbende heeft tegen dit besluit tot goedkeuring beroep ingesteld. De rechtbank Amsterdam heeft in haar uitspraak van 13 november 2013, ECLI:NL:RBAMS:2013:7480, geoordeeld dat de AP niet tot goedkeuring van de Gedragscode heeft kunnen overgaan, omdat deze bepalingen bevat waardoor de bescherming van de persoonsgegevens op een aantal punten niet voldeed aan de Wbp, artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: EVRM) en het Handvest van de grondrechten van de Europese Unie (hierna: het Handvest).
2. Bij besluit van 19 december 2013 heeft de AP het eerdere besluit tot goedkeuring herzien en het verzoek van de zorgverzekeraars tot afgifte van een goedkeurende verklaring voor de Gedragscode alsnog afgewezen. Het besluit is gepubliceerd op de website van de AP. Tegen dit besluit zijn geen rechtsmiddelen aangewend. De zorgverzekeraars hebben geen nieuw verzoek om goedkeuring van een gedragscode ingediend.
3. Per 8 juli 2010 is de Regeling zorgverzekering gewijzigd en bevat deze niet langer de verplichting voor de zorgverzekeraars om een gedragscode op te stellen en ter goedkeuring voor te leggen aan de AP.
Handhavingsverzoek
4. De stichting heeft de AP verzocht handhavend op te treden tegen: - de bij de Zorgverzekeraars Nederland (hierna: ZN) aangesloten zorgverzekeraars die medische gegevens van verzekerden onrechtmatig verwerken volgens procedures en bedrijfsprocessen die geen juiste uitwerking vormen van de Wbp en het EVRM - ZN als opsteller van regels en procedures voor de verwerking van medische gegevens zoals vastgesteld in de Gedragscode.
Besluitvorming
Besluit van 11 juli 2016, waarbij het besluit van 8 februari 2016 is gehandhaafd
5. De AP heeft dit verzoek afgewezen. Daartoe is onder meer overwogen dat er geen wettelijke verplichting voor de zorgverzekeringsmaatschappijen bestaat om te werken met een door de AP goedgekeurde gedragscode. Zorgverzekeraars handelen bij de uitvoering van formele en materiële controle niet onrechtmatig, omdat een door de AP goedgekeurde gedragscode ontbreekt, aangezien deze controles worden uitgevoerd op grond van de Zorgverzekeringswet en de Regeling zorgverzekering. Er is niet gebleken van een overtreding van de Wbp of internationale of Unierechtelijke bepalingen.
Besluit van 20 november 2019
6. Het besluit van 11 juli 2016 is ingetrokken en het besluit van 8 februari 2016 is weer gehandhaafd. De AP heeft in het kader van een onderzoek naar de verwerking van persoonsgegevens door zorgverzekeraars in een andere zaak vastgesteld dat de zorgverzekeraars niet alleen werken met de Gedragscode, maar in aanvulling daarop ook werken met de Uniforme Maatregelen van ZN. De zorgverzekeraars gebruiken allemaal ten minste Privacy Statement (02), Informatie verstrekken aan verzekerden en verzekeringsnemer (03), Direct Marketing (04), Privacy afhandeling declaraties (06), Informatie-uitwisseling zorgverzekeraars bij controle en fraude beheersing (08) en Gebruik authenticatiemiddelen bij internetapplicaties (09). Daarnaast hanteren zorgverzekeraars uitgebreide sets aan documenten waarin zij hun privacybeleid uiteenzetten en ook de controle op dat beleid. Er is bij de zorgverzekeraars volgens de AP actief aandacht voor het naleven van de wet- en regelgeving op het gebied van privacy. Voorts actualiseren zorgverzekeraars hun privacybeleid regelmatig en hechten zij belang aan het creëren van bewustzijn op dat gebied onder hun werknemers. Zo hanteren zij bijvoorbeeld (aanvullende) geheimhoudingsverklaringen. De enkele omstandigheid dat de zorgverzekeraars op hun website vermelden dat zij werken met een gedragscode die niet is goedgekeurd, betekent onder deze omstandigheden volgens de AP niet dat de zorgverzekeraars in strijd met de Wbp handelen. In het besluit heeft de AP verder per - naar aanleiding van de uitspraak van de rechtbank Amsterdam van 13 november 2013 heeft de rechtbank Midden-Nederland in de uitspraak van 7 juli 2017 knelpunten vastgesteld - knelpunt beschreven hoe de zorgverzekeraars feitelijk werken en geconcludeerd dat deze feitelijke werkwijze, op één onderdeel na, te weten de autorisaties, in overeenstemming is met de Wbp. Omdat bij twee van de vier zorgverzekeraars de autorisaties van medewerkers niet in orde waren, heeft de AP tegen die twee zorgverzekeraars handhavend opgetreden. Nu deze lasten niet zijn opgegeven kan de AP in deze procedure niet nogmaals overgaan tot handhaving. Ook voor verdere handhaving ziet de AP geen aanleiding.
7. De stichting heeft hiertegen gronden aangevoerd. Volgens de stichting ontbreken ten onrechte welbepaalde verwerkingsdoelstellingen voor de werkwijzen en de procedures bij de verwerking van medische persoonsgegevens. De enkele verwijzing naar de uitzondering op het verbod om medische persoonsgegevens te verwerken, namelijk dat het noodzakelijk is voor de uitvoering van een verzekeringsovereenkomst, is niet genoeg. Toetsing aan de noodzakelijkheid, proportionaliteit en subsidiariteit kan alleen als een verwerkingsdoel is bepaald, aldus de stichting.
Uitspraak van de rechtbank
8. De rechtbank heeft vastgesteld dat het handhavingsverzoek van de stichting inhoudelijk overeenstemt met het verzoek dat bij de rechtbank Midden-Nederland onderwerp van geschil was. In de tussenuitspraak van 7 juli 2017, ECLI:NL:RBMNE:2017:3421, in die zaak is geconstateerd dat de AP onvoldoende heeft gemotiveerd of de werkwijze van de zorgverzekeraars in overeenstemming is met de Wbp, artikel 8 van het EVRM en het Handvest van de grondrechten van de Europese Unie. Op hun website geven de zorgverzekeraars namelijk aan nog steeds met dezelfde gedragscode te werken die in een andere procedure niet is goedgekeurd door de AP. De AP is in de gelegenheid gesteld het gebrek te herstellen. Naar aanleiding van de tussenuitspraak van 7 juli 2017 van die rechtbank heeft de AP onderzoek gedaan naar vijf knelpunten die verband houden met (1) digitale declaratie zonder diagnose-informatie bij psychische klachten, (2) doelbindingsbeginsel in relatie tot marketingdoeleinden, (3) ongeautoriseerde toegang tot persoonsgegevens, (4) bewerkers en (5) medisch beroepsgeheim. De AP heeft onderzoek gedaan naar deze knelpunten in de gedragscode en naar het privacybeleid van de zorgverzekeraars en vastgesteld dat de zorgverzekeraars niet alleen werken met de gedragscode, maar in aanvulling daarop ook werken met de Uniforme Maatregelen van ZN. De AP komt tot de conclusie dat de feitelijke werkwijze van de zorgverzekeraars, op één onderdeel na, te weten de autorisaties, in overeenstemming is met de Wbp. Omdat bij twee van de vier zorgverzekeraars de autorisaties van medewerkers niet in orde waren, heeft de AP tegen die twee zorgverzekeraars handhavend opgetreden. Voor verdere handhaving ziet de AP echter geen aanleiding. In de einduitspraak van 23 juli 2019 heeft de rechtbank Midden-Nederland, ECLI:NL:RBMNE:2019:3448, geoordeeld dat de AP voldoende onderzoek heeft gedaan naar de in tussenuitspraak gesignaleerde knelpunten in de Gedragscode en zich terecht op het standpunt heeft gesteld dat de zorgverzekeraars feitelijk niet in strijd handelen met de Wbp. De rechtbank Midden-Nederland ziet verder geen aanleiding om te oordelen dat de implementatie van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (hierna: Privacyrichtlijn) en artikel 8 van het EVRM in de Wbp onjuist is. Door vast te stellen dat de zorgverzekeraars de Wbp niet hebben overtreden, hebben zij daarom ook artikel 8 van het EVRM en het later in werking getreden artikel 8 van het Handvest niet overtreden, aldus die rechtbank. De rechtbank ziet geen aanleiding over die beroepsgronden anders te oordelen dan de rechtbank Midden-Nederland heeft gedaan. De stichting heeft ter zitting, daarnaar gevraagd, niet kunnen uitleggen wat zij anders aanvoert dan waar de rechtbank Midden-Nederland al uitspraak over heeft gedaan. De rechtbank heeft verwezen naar die uitspraak en de overwegingen die gaan over de hierboven benoemde knelpunten tot de hare gemaakt.
Hoger beroep
9. De stichting betoogt dat de rechtbank ten onrechte is voorbijgegaan aan wat zij in beroep heeft aangevoerd. Haar beroepsgronden zijn niet bij de beoordeling van het beroep betrokken. Er heeft na beëindiging van de mediationprocedure geen hervatting van de behandeling ter zitting plaatsgevonden en voor de behandeling van haar gronden ten onrechte slechts verwezen naar de overwegingen van de rechtbank Midden-Nederland. Dit is het gevolg van de handelwijze van de AP in deze procedure.
10. Op dit geding is de Wbp van toepassing en niet de Algemene Verordening Gegevensbescherming (EU) 2016/679 (hierna: de AVG). De AVG is weliswaar in werking getreden op 25 mei 2016, maar in artikel 99 van de AVG is bepaald dat zij van toepassing is met ingang van 25 mei 2018. Het besluit op bezwaar is van voor die datum. Daarom is de Wbp nog van toepassing.
11. De Afdeling ziet geen grond voor het oordeel dat de rechtbank aan de beroepsgronden van de stichting is voorbijgegaan. De rechtbank heeft verwezen naar de uitspraak van de rechtbank Midden-Nederland, omdat de beroepsgronden van de stichting van dezelfde strekking zijn als beoordeeld in de einduitspraak van de rechtbank Midden-Nederland van 23 juli 2019. Zij heeft geen aanleiding gezien om over die beroepsgronden anders te oordelen dan de rechtbank Midden-Nederland heeft gedaan in haar door de Afdeling op 24 november 2021 bevestigde uitspraak. De Afdeling acht verder van belang dat de rechtbank bij die conclusie heeft betrokken dat de stichting tijdens de hervatting van de behandeling ter zitting op 8 december 2020 niet heeft kunnen uitleggen wat zij anders aanvoert dan waar de rechtbank Midden-Nederland uitspraak over heeft gedaan. Ook nu in hoger beroep heeft de stichting niet nader aangeduid welke beroepsgronden de rechtbank met verwijzing naar de uitspraak van de rechtbank Midden-Nederland niet heeft beoordeeld. De Afdeling voegt aan die uitspraak nog het volgende toe. De AP heeft onderzoek gedaan naar de vijf knelpunten, zoals vastgesteld door de rechtbank Midden-Nederland. Naar aanleiding van dit onderzoek heeft de AP handhavend opgetreden. Tot slot merkt de Afdeling op dat de AP zorgverzekeraars niet kan verplichten tot een uniforme werkwijze.
12. Het betoog slaagt niet.
Conclusie
13. De rechtbank heeft terecht geconcludeerd dat de AP op goede gronden het handhavingsverzoek van de stichting heeft afgewezen.
14. Het betoogt slaagt niet.
Slotsom
15. Het hoger beroep is ongegrond. De uitspraak voor zover aangevallen moet worden bevestigd.
16. De AP hoeft geen proceskosten te vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
bevestigt de uitspraak van de rechtbank voor zover aangevallen.
Aldus vastgesteld door mr. C.J. Borman, lid van de enkelvoudige kamer, in tegenwoordigheid van mr. R.F.J. Bindels, griffier.
w.g. Borman
lid van de enkelvoudige kamer
w.g. Bindels
griffier
Uitgesproken in het openbaar op 31 januari 2024
85-1050