Vragen van de leden Leijten en Hijink (beiden SP) aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties en de Minister van Volksgezondheid, Welzijn en Sport over de Nederlandse Zorgautoriteit die ongevraagd gegevens van honderdduizenden patiënten in de geestelijke gezondheidszorg opvraagt (ingezonden 22 juli 2022).

Antwoord van Minister Kuipers (Volksgezondheid, Welzijn en Sport), mede namens de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties (ontvangen 14 september 2022). Zie ook Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 3680.

Vraag 1

Klopt het dat patiënten geen toestemming gevraagd wordt om hun medische gegevens te delen met de Nederlandse Zorgautoriteit (NZa)?¹

Antwoord 1

Ik wil in de eerste plaats opmerken dat de NZa informatie uitvraagt bij zorgaanbieders om te zorgen voor een toegankelijke en betaalbare geestelijke gezondheidszorg (ggz) in Nederland. Dit doen zij als zelfstandig bestuursorgaan (ZBO), waarbij zij primair zelf gaan over de invulling van hun rol als toezichthouder en in dit kader de mogelijkheid hebben om de hiertoe benodigde informatie te vergaren en verwerken. Daarbij moeten zij vanzelfsprekend voldoen aan de privacy- wet- en regelgeving. De kaders voor uitvraag van gegevens en verwerking door de NZa liggen in de Wet marktordening gezondheidszorg (Wmg) en Algemene verordening gegevensbescherming (AVG). Patiënten hebben altijd de mogelijkheid om via een privacyverklaring bij hun behandelaar aan te geven dat zij bezwaar hebben tegen het aanleveren van informatie.

Het klopt dat patiënten niet om toestemming gevraagd wordt om hun medische gegevens te delen met de NZa en dat is ook niet noodzakelijk, omdat de NZa een wettelijke grondslag heeft om deze gegevens op te vragen. Belangrijk hierbij zijn de eerdergenoemde AVG en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). In artikel 6 en artikel 9 van de AVG is onder andere geregeld in welke gevallen het verwerken van persoonsgegevens gerechtvaardigd is. Hieronder valt het verwerken van bijzondere persoonsgegevens om redenen van algemeen belang en omdat verwerking van deze bijzondere persoonsgegevens noodzakelijk is voor het in stand houden van onder meer het gezondheidszorgstelsel (artikel 9 lid 2 aanhef en onder g en h AVG).

Vraag 2

In welk opzicht verschilt het initiatief van de NZa met het genoemde initiatief uit 2019, waarbij de Autoriteit Persoonsgegevens aangaf dat medische gegevens onder bijzondere persoonsgegevens vallen en er toestemming moet worden gevraagd aan de patiënt?

Antwoord 2

In 2019 heeft de Autoriteit Persoonsgegevens (AP) de Alliantie kwaliteit in de geestelijke gezondheidszorg (private stichting, Akwa ggz) een berisping gegeven voor het verwerken van persoonsgegevens over de gezondheid, omdat de verwerking van deze persoonsgegevens niet kon worden gebaseerd op één van de wettelijke uitzonderingsgronden. Deze gegevens mogen dan alleen worden verwerkt nadat patiënten daar uitdrukkelijk mee hadden ingestemd.

De NZa heeft echter in tegenstelling tot Akwa ggz een publieke taak op het gebied van markttoezicht en marktontwikkeling op het terrein van de gezondheidszorg. Om deze taak uit te kunnen voeren, is de verwerking van gegevens noodzakelijk. De verwerking is gebaseerd op de wettelijke uitzonderingsgronden van artikel 9 lid 2 aanhef en onder g en h van de AVG. De taken van de NZa volgen uit de Wmg en in de Regeling categorieën persoonsgegevens is per taak van de NZa bepaald welke categorieën van persoonsgegevens ten behoeve van die taak mogen worden verwerkt.

In de brief van de NZa gericht aan de voormalig Staatssecretaris van VWS d.d. 28 oktober 2021 (kenmerk 0412002/1050507) heeft de NZa de betrokkenheid van de AP met betrekking tot het zorgprestatiemodel en de zorgvraagtypering omschreven. De NZa heeft alle relevante stukken verstuurd aan de AP en deze heeft geen voorwaarden of kritiekpunten meegegeven. Het staat een ieder vrij om een klacht in te dienen bij de AP.

Met betrekking tot de aanlevering van gegevens ten behoeve van de doorontwikkeling van de zorgvraagtypering heeft de AP aangegeven dat zij de onderbouwing van de gegevensaanlevering aan de NZa alsnog goed wil bekijken. De NZa heeft bekend gemaakt dat zij de verplichte aanlevering van gegevens in verband met de doorontwikkeling van de zorgvraagtypering zal uitstellen tot 1 januari 2023.

De NZa heeft inmiddels een aanvullende toelichting gegeven aan branchepartijen met betrekking tot de doorontwikkeling van de zorgvraagtypering (informatiekaart informatiestromen in het zorgprestatiemodel en privacy versie 2 – Nederlandse Zorgautoriteit (overheid.nl).

Vraag 3

Begrijpt u dat behandelaars en patiënten zich zorgen maken over het delen van deze zeer gevoelige persoonsinformatie, en dat dit de band tussen behandelaar en patiënt onder druk kan zetten? Zo nee, waarom niet? Zo ja, waarom is er gekozen om geen toestemming vooraf te vragen?

Antwoord 3

Ik heb begrip voor het feit dat behandelaars en patiënten zich zorgen maken over het delen van gevoelige persoonsinformatie en ook ik hecht heel sterk aan een zorgvuldige omgang met persoonsinformatie. Het is belangrijk om terughoudend om te gaan met uitvraag en verwerking van dergelijke gegevens en dit is alleen mogelijk binnen hiervoor geldende strenge wettelijke kaders.

Wanneer desondanks de band tussen behandelaar en patiënt onder druk komt te staan naar mening van een van beide, kan op initiatief van patiënt en zorgaanbieder gezamenlijk een privacyverklaring worden opgesteld en ondertekend. Hierdoor kunnen informatieverplichtingen zoals gesteld door de NZa buiten toepassing blijven.

Wat betreft het vragen van toestemming vooraf geldt dat voor gegevensverstrekkingen die bij wet zijn geregeld, geen voorafgaande toestemming gevraagd wordt van patiënten. Overheidsinstanties kunnen verwerkingen van persoonsgegevens (waaronder gegevens over de gezondheid) in de regel niet baseren op toestemming vanuit de patiënt, omdat wordt verondersteld dat die toestemming gelet op de hiërarchische verhoudingen niet in vrijheid kan worden gegeven.

Vraag 4

Kunt u aangeven waarom het acceptabel is dat door patiëntgegevens te versleutelen en te pseudonimiseren «de herleidbaarheid tot personen tot een minimum beperkt is», maar er daarmee dus nog altijd een risico bestaat dat deze gegevens wel degelijk herleidbaar zijn?

Antwoord 4

In de informatiekaart van de NZa, zie antwoord vraag 2, staat onder andere omschreven welke informatie de NZa ontvangt, hoe de gegevens worden gepseudonimiseerd en hoe wordt voorkomen dat gegevens niet meer te herleiden zijn naar de individuele patiënt. De NZa vernietigt de verzamelde gegevens na twee jaar.

Bij de uitvraag van gezondheidsgegevens van ggz-patiënten worden niet meer persoonsgegevens verwerkt dan strikt noodzakelijk is voor de uitvoering van taken door de NZa (artikel 5, eerste lid, aanhef onder c AVG). Om deze reden vraagt de NZa de informatie over de zorgvraagtypering ook uit via een aparte stroom, los van de declaratie stroom. Wanneer deze set aan informatie gekoppeld zou worden aan andere sets dan kan de informatie (deels) herleidbaar worden naar de patiënt. De NZa voert een dergelijke koppeling niet uit. Het verwerken van volstrekt geanonimiseerde gegevens is niet mogelijk omdat dan onvoldoende informatie beschikbaar komt om het model van de zorgvraagtypering verder te ontwikkelen.

Vraag 5

Waarom en hoe worden deze gegevens met zorgverzekeraars gedeeld?

Antwoord 5

De gegevens die worden uitgevraagd, worden alleen door de NZa geanalyseerd en worden niet gedeeld met zorgverzekeraars. In de «informatiekaart informatiestromen in het zorgprestatiemodel en privacy» van de NZa staat omschreven welke informatie de zorgverzekeraar ontvangt. Uit de informatiekaart volgt onder andere dat de zorgverzekeraar de antwoorden op de HoNOS+ vragenlijst die geregistreerd moeten worden ten behoeve van zorgvraagtypering niet ontvangt.

Vraag 6

Bent u bereid op z’n minst in te stellen dat patiënten altijd vooraf toestemming moeten geven voordat hun gegevens gedeeld mogen worden? Zo nee, kunt u uitgebreid toelichten waarom niet?

Antwoord 6

Voor gegevensverstrekkingen die bij wet zijn geregeld, wordt geen voorafgaande toestemming gevraagd van patiënten. Uit de Wmg volgt dat de NZa de wettelijke taak heeft om markttoezicht en marktontwikkeling uit te voeren en dat de NZa de bevoegdheid heeft om informatie op te vragen die van belang is voor de uitvoering van haar wettelijke taken. Op grond van de Wmg kan de NZa regels stellen over het verstrekken van gegevens en inlichtingen. De NZa neemt hierbij de ministeriële Regeling categorieën persoonsgegevens Wmg in acht. Voor de geestelijke gezondheidszorg en forensische zorg heeft de NZa in de Regeling geestelijke gezondheidszorg en forensische zorg voorschriften gegeven op het gebied van registratie, administratie, declaratie en informatie. In deze Regeling heeft de NZa ook de informatieverplichting opgenomen over de periodieke aanlevering zorgvraagtypering.

Vraag 7

Bent u bereid ervoor te zorgen dat behandelaars die weigeren mee te werken vanwege fundamentele bezwaren over hun beroepsgeheim, niet worden geconfronteerd met een boete vanuit de toezichthouder? Zo nee, kunt u uitgebreid toelichten waarom niet?

Antwoord 7

Ik begrijp de zorgen die er leven, maar ik zou nogmaals willen benadrukken dat de NZa informatie uitvraagt bij zorgaanbieders om te zorgen voor een toegankelijke en betaalbare geestelijke gezondheidszorg in Nederland. De NZa heeft inmiddels een aanvullende toelichting gegeven aan branchepartijen met betrekking tot de doorontwikkeling van de zorgvraagtypering.

Voorts is het aan de NZa, als ZBO, om al dan niet over te gaan tot handhaving wanneer men niet voldoet aan de informatieverplichtingen. De NZa zal per situatie een beleidsmatige afweging maken voordat zij haar handhavingsinstrumenten inzet. Het is niet aan mij om daarover te oordelen.

---

1 Trouw, «Toezichthouder verzamelt ongevraagd info over 800.000 ggz-patiënten», 21 juli 2022, https://www.trouw.nl/binnenland/toezichthouder-verzamelt-ongevraagd-info-over-800-000-ggz-patienten~b68a0bef/