34 104 Langdurige zorg

25 657 Persoonsgebonden Budgetten

Nr. 309 BRIEF VAN DE MINISTER VAN VOLKSGEZONDHEID, WELZIJN EN SPORT

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 23 november 2020

Tijdens het Algemeen Overleg over de Handreiking Kindzorg van 5 november jl. heb ik toegezegd om schriftelijk te reageren op de door het lid Bergkamp (D66) gestelde vraag ten aanzien van een wijziging in artikel 8.11 van een door een zorgverzekeraar opgesteld reglement Zvw-pgb. De wijziging gaat om de mogelijkheid van de zorgverzekeraar om het huisbezoek uit te besteden aan een derde partij. Lid Bergkamp (D66) stelde de vraag in hoeverre deze wijziging in strijd is met de Algemene Verordening Gegevensbescherming (AVG). Met deze brief informeer ik u hierover.

Het reglement Zvw-pgb

Het reglement Zvw-pgb is onderdeel van de polisvoorwaarden die de verzekerde met de zorgverzekeraar heeft afgesloten. De verzekerde wordt in dit reglement geïnformeerd over de voorwaarden die gelden voor het in aanmerking komen van een Zvw-pgb, de wijze waarop het Zvw-pgb kan worden aangevraagd en de wijze waarop declaratie en toetsing plaatsvindt.

Rolverdeling ten aanzien van AVG

De AVG is van toepassing op alle verwerkingen van persoonsgegevens die zorgverzekeraars doen. De zorgverzekeraars zijn zelf verwerkingsverantwoordelijk op basis van de AVG. Zij moeten ervoor zorgen dat hun gegevensverwerking voldoet aan de relevante wet- en regelgeving, met inbegrip van de AVG en dat zij hierover duidelijk communiceren naar hun verzekerden. Het is niet aan mij om te treden in de beoordeling van een specifieke gegevensverwerking. Dit is aan de Autoriteit Persoonsgegevens. Zij houden toezicht op de naleving van de privacywetgeving en de AVG. Ik ga wel met zorgverzekeraars in gesprek om te horen hoe zij de privacy rondom dit artikel geborgd hebben en hen te stimuleren om hun verzekerden hier ten alle tijden duidelijk over te informeren.

Toelichting op verwerkingsverantwoordelijkheid volgens AVG

Voor elke verwerking van persoonsgegevens dient een grondslag als opgesomd in artikel 6 AVG aanwezig te zijn. Voor de verwerking van bijzondere persoonsgegevens moet voldaan zijn aan een uitzondering op het verbod om bijzondere persoonsgegevens te verwerken. Deze uitzonderingen zijn opgesomd in artikel 9, tweede lid, AVG. In het geval dat een verwerkingsverantwoordelijke gegevens doorgeeft aan een derde die zelf ook verwerkingsverantwoordelijk is, dan moet de verwerkingsverantwoordelijke zich ervan vergewissen dat hij hiervoor een grondslag heeft op basis van de AVG. Voor elke grondslag (bijvoorbeeld expliciete toestemming) gelden eigen randvoorwaarden. Naast de grondslag dient een verwerkingsverantwoordelijke zich ook te houden aan de andere uitgangspunten van de AVG. Zo mogen enkel de gegevens verwerkt worden die strikt noodzakelijk zijn voor het vastgestelde doel en mogen gegevens niet langer bewaard worden dan noodzakelijk. De verwerkingsverantwoordelijke moet tevens de mogelijkheid hebben voor betrokkene om zijn rechten onder de AVG, recht van inzage, wissing en zo verder te kunnen uitoefenen. Het staat de verwerkingsverantwoordelijke vrij om een verwerker in te huren die ten behoeve van de verwerkingsverantwoordelijke gegevens verwerkt. Deze verwerker voert dit dan uit ten behoeve van en onder volledige verantwoordelijkheid van de verwerkingsverantwoordelijke. De verwerker heeft geen eigen grondslag nodig.

Mogelijkheden voor verzekerden

Het staat verzekerden altijd vrij om klachten over een mogelijke inbreuk op de AVG kenbaar te maken bij hun zorgverzekeraars en zich eventueel te wenden tot de Autoriteit Persoonsgegevens voor een formele beoordeling.

Ik ga er vanuit dat ik u hiermee voldoende heb geïnformeerd en daarmee voldaan heb aan mijn toezegging.

De Minister van Volksgezondheid, Welzijn en Sport, H.M. de Jonge