Halfhartige AP staat VWS langdurig gebruik onrechtmatig verkregen zorgdata toe

halfhartigeOp de website van de burgerrechtenvereniging Vrijbit zag ik heden een interessant artikel staan over een jarenlange procedure tegen de Autoriteit Persoonsgegevens(AP). Het gaat om de zaak van Vrijbit die al  zeker vanaf 2014 speelt en die na behandeling door de bestuursrechter nu in hoger beroep dient bij de Raad van State(RvS). Het kernpunt in die zaak is de weigering van de AP om adequaat te handelen na onrechtmatig  doorleveren van gegevens uit het DBC-Informatie Systeem(DIS) door de Nederlandse Zorgautoriteit(NZa) aan het ministerie van VWS en het Cultureel Plan Bureau(CPB).  Na jarenlange traineren en weigeren van de AP om handhavend op te treden, blijkt dat de AP plotseling met een halfhartig handhavingsbesluit richting VWS komt. Daarin laat de AP VWS wegkomen met het gebruik van onrechtmatig verkregen data omdat VWS een beroep doet op de noodzaak deze data te moeten hebben/gebruiken.

Waar gaat het om?

Bij de DIS-data gaat het om een informatiesysteem waarin medische persoonsgegevens van alle Nederlanders op Diagnose-Behandel Combinatie(DBC)niveau centraal worden verzameld. Deze data zijn gepseudonimiseerd. Echter vanaf 2014 dient men die data als bijzondere persoonsgegevens te beschouwen. Dat komt omdat pseudonimiseren toch de mogelijkheid overlaat data data tot personen herleidbaar zijn.  Die zorgdata leverde de NZa zonder wettelijke grondslag, onrechtmatig aan VWS en het CPB. Los daarvan kregen ook andere instanties, zoals Zorginstituut Nederland(ZiNL) en de Autoriteit Consument en Markt(ACM), ook medische persoonsgegevens aangeleverd vanuit het DIS wanneer zij meenden dat deze nodig waren voor onderzoek ten behoeve van hun wettelijk taken. De AP heeft ondanks het verzoek ertoe nimmer willen kijken of deze doorgifte van grote bestanden medische persoonsgegevens voor beleidsondersteunend onderzoek wel noodzakelijk en verantwoord was waar dit  beleidsondersteunende onderzoek ook zonder doorlevering van grote bestanden met medische persoonsgegevens had kunnen plaatsvinden binnen het DIS, dan wel uitgevoerd had kunnen worden op basis van volledig geanonimiseerde data. Ook is niet duidelijk of instanties die deze bestanden met medische persoonsgegevens kregen aangeleverd deze ook hebben gebruikt voor andere doeleinden dan waarvoor deze werden verkregen en evenmin is duidelijk of deze instanties de medische persoonsgegevens die ze vanuit het DIS hebben verkregen hebben door geleverd aan andere instellingen die deze medische data op persoonsniveau ook kunnen gebruiken om geanonimiseerde medische data waarover zij beschikken te herleiden tot personen.

Wonderlijke draai en timing

De AP besloot in 2016 niet handhavend op te treden richting VWS en NZa en ook geen nader onderzoek te doen. Nadat in 2019 Vrijbit bij de RvS hoger beroep aangetekend had tegen het besluit van de bestuursrechter dat de AP niet handhavend hoefde op te treden, zag het er naar uit dat het hoger beroep van Vrijbit bij de RvS eind 2021 zou dienen. Maar wonder, o wonder, juist op 16 december 2021 herroept de AP haar eerdere afwijzing van het handhavingsverzoek. De AP komt met een bericht dat ze wel handhavend optreedt tegen VWS maar voor het overige de verzoeken tot handhaving afwijst.

Halfhartig

Daarbij is de term “het nu handhaven tegen VWS” nogal halfhartig. VWS moet op termijn de onrechtmatig verkregen data verwijderen. Als VWS de data niet meer zegt nodig te hebben. VWS moet de verwerking van de ruwe data in de retentieperiode “beperken”. Ook moet VWS tijdens die retentieperiode zorgen voor een goede versleuteling van back-ups. De preciese tekst van wat de AP van VWS wil is te lezen in de aanhef van de gepubliceerde reactie van Vrijbit richting de RvS over het nieuwe besluit van de AP. Het staat op pagina 1 onder A Bezwaar tegen het besluit tot handhaving.

Noodzakelijkheid?

In het normale dagelijkse verkeer is het zo dat als iets onrechtmatig gebeurt dat daar een sanctie op staat. Met de verplichting het onrechtmatige handelen te stoppen en de gevolgen ongedaan te maken. Dat blijkt niet voor het ministerie van VWS te gelden. Het oordeel van de AP dat VWS ruwe data slechts op langere termijn moet verwijderen is onder meer gebaseerd op een inbreng van de NZa waarbij wordt gesteld dat de onrechtmatig verkregen medische persoonsgegevens noodzakelijk waren en zijn voor de taakvervulling van VWS. Ook het ministerie van VWS beweert die data nodig te hebben. Maar noodzakelijkheid heft de onrechtmatige verstrekking door de NZa en het onrechtmatige verwerken door VWS niet op.

Taakvervulling

Waar gaat het dan om als het gaat om die “noodzakelijke” taakvervulling? Dat vermelden de stukken van Vrijbit op de website niet. Maar met een beetje logisch nadenken zou het best wel eens kunnen gaan om de risicoverevening van zorgverzekeraars. Immers waar zou je anders tot op persoon herleidbare gegevens voor nodig hebben? Zorgverzekeraars worden achteraf gecompenseerd voor een ongelijke mix van risicopatiënten middels de risicoverevening. Met de onrechtmatig verkregen data kan je zoiets berekenen. Als dit waar is dekt de AP het ministerie van VWS dat op haar beurt weer de zorgverzekeraars financieel dekt. Want, risicoverevening gaat om geld, heel veel geld.

Wat zegt Vrijbit er verder over?   

“De redenering die ten grondslag ligt aan de gedoogopstelling van de toezichthouder waar het gaat om verwijdering van onrechtmatig verkregen data, is dat het te belastend zou zijn om deze data te verwijderen, dit terwijl de problemen die bij verwerking van deze data zijn ontstaan geheel kunnen worden toegerekend aan de NZa die de data ten onrechte (zonder vereiste controle wettelijke grondslag) verstrekte, alsook aan VWS die willens en wetens onrechtmatig verkregen data verwerkte en bleef verwerken en last but not least ook aan de AP zelf omdat deze jarenlang bleef volhouden dat er niks onrechtmatigs aan de hand zou zijn”

Schandalig getreuzel AP ten dienste VWS

Het maar zeer beperkt handhaven wat de AP op 16-12-2021 bekend maakte kan ik niet anders zien dan als een noodsprong van de AP. Omdat ze anders van de RvS het verwijt van niet-handelen hadden gekregen. Maar ook als een berekenende truc om het hoger beroep bij de RvS te traineren. Immers, na bekendmaking van het gewijzigde standpunt van de AP heeft de RvS het hoger beroep van de rol gehaald omdat de AP zogenaamd toch opgetreden had tegen VWS. Daarop tekenden Vrijbit dan ook bezwaar aan. Het gevolg van het één en ander is weer vertraging. Het tijdrekken kan als gevolg hebben dat op enig moment VWS zegt de onrechtmatige verkregen data niet meer nodig te hebben. Voortzetten van de rechtsgang wordt dan lastig.

Het is natuurlijk te zot voor woorden dat iets wat VWS onrechtmatig verkreeg met een beroep op noodzakelijkheid toch mag gebruiken.

W.J. Jongejan, 5 januari 2022

Afbeelding van Mohamed Hassan via Pixabay

Over de rechtsgang bij de bestuursrechter schreef ik enkele malen op deze website, bijv. op 2 december 2016,  8 maart 2017, 15 maart 2017 en 14 februari 2019

05-01-2022: enkele tekstuele aanpassingen met meer preciese formulering in alinea “Waar gaat het om? “. Ook bleek bij navraag de stichting KDVP niet zelf actief geweest te zijn als procespartij.