zondag, 04 februari 2024 14:36

Uitspraak Raad van State in DIS zaak gebaseerd op onjuiste aannames

Afbeelding van Mohamed Hassan via Pixabay, Aanpassing afbeelding W.J. Jongejan Afbeelding van Mohamed Hassan via Pixabay, Aanpassing afbeelding W.J. Jongejan

Update 06-02-2024 Vrijbit heeft over onderstaande RvS uitspraak een klacht ingediend bij de Raad voor de Rechtspraak betreffende de onderbouwing daarvan met onjuiste gegevens. Ook de Nationale Ombudsman werd verwittigd over dit zoveelste voorbeeld van het gebrek aan eerlijke en betrouwbare omgang tussen burger en overheid.

Op 17 januari 2024 deed de Raad van State(RvS) uitspraak in de hoger beroepszaak van Burgerrechtenvereniging Vrijbit tegen de Autoriteit Persoonsgegevens(AP). Zaak nr 16/4199 ECLI:NL:RVS:2024:149 .

Het oordeel luidde ‘ongegrond’. Waarmee na ruim 8 ¾ jaar juridische strijd van Vrijbit, tegen zowel het jarenlang onwettig gebruik van de grootste medische databank door de NZa als tegen het systematisch weigeren van de AP om daar onderzoek naar te doen en tegen op te treden, zodat deze instanties niet door de hoogste bestuursrechtbank werden veroordeeld en afgestraft.

Deze teleurstellende uitspraak bevestigt opnieuw * dat deze hoogste bestuursrechter liever overheidsinstanties – in deze de NZa en AP- de handen boven het hoofd houdt (letterlijke betekenis: Iemand beschermen, ook al weet je dat hij misschien niet helemaal onschuldig is) dan rechtsbescherming te bieden aan de burger.

Een opstelling die onverenigbaar is met de fundamentele taak van de Afdeling rechtspraak van de RvS om de belangen van burgers te beschermen waar sprake is van onjuiste bestuurs­handelingen van overheidsinstellingen.Een opstelling die   helaas ook alle gelijkenis vertoond met de wijze waarop deze in het  toeslagen-drama tot zulke desastreuze gevolgen leidde voor talloze burgers.

De Raad van State schuwde het in deze DIS-procedure zelfs niet om haar uitspraak in deze procedure te baseren op aantoonbaar onjuiste informatie. Informatie namelijk aangaande de harde wettelijke voorwaarde dat de NZa enkel gerechtigd is tot het verzamelen, verwerken en doorgeven van uiterst gevoelige medische persoonsgegevens indien er vooraf onderzoek is gedaan naar de noodzaak en effectieve inzet daarvan voor een welomschreven bepaald doel, evenals naar de proportionaliteit en subsidiariteit van deze dataverwerkingen.

Dataverwerkingen waarvan de NZa staande houdt dat daarvoor de zogenaamde Privacy Impact Assessments(PIA’s) systematisch standaard worden uitgevoerd. Maar waarvan in de door Vrijbit aangeleverde processtukken, verkregen via de Woo verzoeken in de Honoszaak, is aangetoond dat er geen PIA’s zijn uitgevoerd en er ook geen beleidskader of controleerbare procedures voor zijn binnen de NZa voor het gebruik en doorlevering van DIS data op noodzakelijkheid, proportionaliteit en subsidiariteit. Sterker nog: in deze aangeleverde stukken valt letterlijk te lezen dat de NZa, ook nadat men intern erkende dat er meer data dan noodzakelijk werden opgevraagd (in de ‘minimale’ dataset) formeel besloot vast te houden aan het ‘eerder ingenomen standpunt in de Vrijbitzaak’ dat verwerking van deze data wel noodzakelijk zou zijn.

Het gaat in deze zaak om informatieverwerking door het DIS waarvan de AP als toezichthouder (toen nog CBP) in 2006 *al aangaf dat wegens de inbreuk die het DIS vormde op het recht van privacy van patiënten en het medisch beroepsgeheim dit al op uiterst gespannen voet stond met de Wet Bescherming persoonsgegevens en enkel geoorloofd kon worden mits stringent vastgehouden zou worden aan de toetsing op doelbinding, proportionaliteit en subsidiariteit zoals vereist door het Europees Verdrag voor de Rechten van de Mens (EVRM)- en zolang het zou gaan om niet tot de persoon herleidbare persoonsgegevens.

Het CBP, gaf al in 2006 de minister schriftelijk *te verstaan dat het verankerde medisch beroepsgeheim in principe de verstrekking van diagnose informatie van patiënten voor financiering/declaratiesystemen in de weg zou staan indien het om herleidbare persoonsgegevens zou gaan. Waarmee in feite het DIS toen al als uiterst risicovolle databank werd aangemerkt. Die indien de zorgvuldige toetsing volgens de EVRM standaardvoorwaarden(art 8) niet zou worden doorstaan, als grootste systematische datalek in de medische zorgsector werd onderkend.

Maar noch het CBP noch de opvolger AP hebben uit zichzelf onderzocht of deze toetsing daadwerkelijk plaatsvond. Ook niet toen zij (en later ook de NZa) er niet meer onder uit kwamen om formeel te erkennen dat de gepseudonimiseerde DIS-data wel degelijk persoonsgegevens vormden* die tot een individu herleidbaar zijn. Terwijl de oorspronkelijke toestemming voor het gebruik van het DIS systeem gebaseerd was op de stelling dat de privacy inbreuk daarvan enkel acceptabel was omdat de pseudonimisering de onherleidbaarheid zou garanderen.  

Het handhavingsverzoek van Vrijbit waarmee dit onderzoek werd afgedwongen werd in eerste instantie niet eens ontvankelijk verklaard. Na bezwaar daartegen en een beroepszaak bij de rechtbank Midden-Nederland werd de AP daar alsnog toe verplicht, maar bleef het weigeren. De toezichthouder achtte het voldoende om de NZa beweringen simpelweg te geloven zonder nader onderzoek te doen. De Raad van State concludeert nu dat de AP ‘voldoende’ onderzoek heeft gedaan, ondanks dat ter zitting toegegeven werd dat de AP zich uitsluitend baseerde op een door de NZa geleverd standaard PIA formulier en de inbreng van NZa tijdens een hoorzitting dat dit protocol echt voor alle specifieke bewerkingsdoeleinden vooraf werd gevolgd.

De rechter stelt daarbij dat uit geheime stukken van de AP, die zij niet heeft ingezien,* zou blijken dat de PIA’s inderdaad uitgevoerd worden en dat de rechtbank er daarom op vertrouwd dat dit juist is.

Dit is een uiterst merkwaardig standpunt. Enerzijds omdat de rechter meent te weten wat inhoud en strekking is van geheime stukken die zij niet heeft kunnen inzien. En anderzijds omdat de Afdeling het als acceptabel beoordeelde dat de AP de stukken aangaande de controle procedures, die zijn ingesteld om de rechtmatigheid van de verwerkingen van medische persoonsgegevens van burgers te toetsen, te controleren, verzocht geheim  te houden.

Uit de processtukken aangeleverd door Vrijbit blijkt dat er tot op directieniveau, bij de NZa als verwerkingsverantwoordelijke rechtspersoon, geen sprake was van beleid in deze noch van een beleidskader, en er geen controleerbare procedures waren voor een te verantwoorden, legitieme toetsing van ontvangst, gebruik en doorlevering van DIS-data op noodzakelijkheid en proportionaliteit en subsidiariteit die het tegendeel bewijzen, wordt geen woord vuilgemaakt.

Opvallend is voorts dat, waar in 2014 eindelijk door de toezichthouders werd toegegeven dat het bij DIS-data gaat om de verwerking van medische persoonsgegevens, dit 10 jaar later door de RvS nog steeds niet wordt erkend.

Men redeneert daarbij dat aangezien de DIS-data dubbel gepseudonimiseerd worden (door de zorgaanbieders en ZorgTTP) deze niet herleidbaar zouden zijn ’omdat de NZa de sleutel van die encryptie’ niet heeft. Maar juist omdát er met deze dubbele pseudonimisering een uniek nummer ontstaat waarmee deze gegevens over zorggebruik kunnen worden gekoppeld aan één patiënt kon de NZa, middels de verzamelde zorgverzekeringsdata ondergebracht in Vektiz *waar NZa ook over beschikte, de encryptie ontsluiten.

Ook hier baseert men zich derhalve op onjuiste feiten.

Verder overweegt de RvS ook nog dat de beperkte omvang van het onderzoek van de AP niet verwijtbaar is. Dat betreft dan het uitsluiten van onderzoek naar het Dis van voor 2015, het niet nader onderzoeken van de voorheen verkochte Dis-data aan private partijen en het niet onderzoeken van de alternatieve mogelijkheden die NZa als minder belastende privacy inbreuk zou kunnen inzetten voor het uitoefenen van haar beleidstaken.

Ook het feit dat Vrijbit er van uit gaat dat de AP niet alleen een handhavende taak heeft om ervoor zorg te dragen dat onrechtmatig gebruik van persoonsgegevens wordt tegengegaan maar ook de beginselplicht kent tot terugvordering en vernietiging van zodanig verkregen data wordt de vereniging tegengeworpen. Alsof deze opdracht niet voortkomt uit de eigen taakomschrijving, maar enkel van de toezichthouder verlangd zou kunnen worden als eiser daar specifiek om vraagt.

Conclusie

Vanaf het moment dat de NZa op 5 mei 2015 verantwoordelijk werd voor het DIS-systeem heeft deze overheidsinstantie daarbij alle wettelijke regels overtreden. Oorspronkelijk functioneerde het DIS zelfs zonder wettelijke grondslag. Maar ook nadat dit ontbreken van een grondslag en daarmee de flagrante schending van de privacy van patiënten en het medisch beroepsgeheim waren ‘gerepareerd’ , met de invoering van de Wet Marktordening Gezondheidszorg(WMG), ontsloeg dat de NZa (anders dan de AP in haar verweerschrift op 30-11-2023 nog betoogde) niet van de plicht om per specifieke publieke taak te toetsen of deze diagnose behandeldata daar noodzakelijk voor zijn en voldoen aan de toets op proportionaliteit en subsidiariteit.

Dat de NZa dat naliet maakt haar handelswijze niet alleen strijdig met geldende regelgeving maar ook ten principale verwijtbaar onzorgvuldig.

De AP heeft zich van meet af aan met alle mogelijke traineringspogingen verzet om daadwerkelijk onderzoek te doen naar het DIS en het dwingende Vrijbit verzoek om op te treden tegen de manier waarop de NZa bij het gebruik van dit systeem alle wettelijke regels aan de laars lapte.

De Raad van State laat de oren hangen naar de machtige overheidsinstituties. Waar deze persoonlijke medische gegevens in principe niet zonder toestemming van de betrokkenen zouden mogen worden gebruik dan uitsluitend binnen een specifieke behandelrelatie tussen een patiënt/cliënt en de zorgverlener(s) waarvoor deze data relevant zijn heeft de Raad van State lak aan het feit dat  kleine vrijwilligersorganisaties met goede en degelijk onderbouwde argumenten opkomen tegen het onwettige gebruik van de meest intieme persoonlijke medische persoonsgegevens voor beleidsdoeleinden. De pleitnota en het slotwoord van Vrijbit ter zitting van het Hoger beroep zijn hierover helder.

Tot Slot

In een breder kader gaat het in deze Dis zaak om een van de vele uitwassen die het gevolg zijn van de invoering van de markwerking van de Zorg. Waarbij de perverse werking van de zorgbekostiging (zoals o.a.) via de invoering van het Diagnose Behandel Combinatie(DBC-systeem), als bron voor de Dis-data, inmiddels algemeen erkend wordt.

Bronnen:

* Chronologisch verslag Vrijbit actie 'Stop DIS' 2004-2024

*30-01-2024 Artikel follow the money Kritiek op Raad van State om de toeslagenaffaire? Reken dan op een telefoontje of ‘boze brief’ https://www.ftm.nl/artikelen/is-de-raad-van-state-een-spreekbuis-van-de-politiek?utm_source=nieuwsbrief&utm_medium=email&utm_campaign=RaadvanState&share=mm9h%2BGQwJC7%2B7Lz8y5tD%2Bs2VYhNHfMpSVbld44KvqJB9YCn2orkJ%2FIFctR3CIWQ%3D#

* CPB brief ‘pseudonimisering DIS’ aan minister VWS (kenmerk z 2005-0814) & Brief CBP aan VWS DBC-declaratiestructuur in de GGZ(CZ/GGZ-2728372)

*Dat gespeudonimiseerde data wel degelijk persoonsgegevens betreffen als zij via datakoppeling op indirecte wijze tot de persoon herleidbaar zijn, was in wetenschappelijke kring al jaren voor de erkenning daarvan door het CBP in 2014 algemeen bekend.

* Vrijbit gaf na eindeloze traineerpogingen van de AP middels de inbreng van geheime stukken de rechtbank voortaan geen toestemming meer om op basis daarvan een oordeel te vellen nadat de AP ter zitting van de rechtbank Midden-Nederland nog met zogenaamd vertrouwelijke stukken kwam aanzetten en daar ter plekke toestemming van Vrijbit voor gevraagd werd.

*Vektis het datacentrum van alle zorgdata van de zorgverzekeraars in Nederland gaf de NZa tot 03-07-2018 integraal toegang tot alle stromen van declaratiegegevens vanuit zorgverzekeraars.