Regeling van de Minister van Volksgezondheid, Welzijn en Sport van 10 november 2015, kenmerk 865607-143589-MC, houdende wijziging van de Regeling zorgverzekering in verband met het aanleveren van de zorgvraagzwaarteindicator aan zorgverzekeraars (Regeling aanlevering zorgvraagzwaarte cGGZ)

De Minister van Volksgezondheid, Welzijn en Sport,

Gelet op de artikelen 87 en 88 van de Zorgverzekeringswet;

Gezien de Regeling zorgvraagzwaarte cGGZ (Stcrt.2013, nr. 30961);

Gezien de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte cGGZ (Stcrt. 2015, 6779);

Overwegende dat het wenselijk is persoonsgegevens, waaronder medische gegevens, met betrekking tot de levering van geestelijke gezondheidszorg te verwerken ten behoeve van formele en materiële controle en kwaliteit van zorg voor zorgverzekeraars en zorgaanbieders en ten behoeve van de uitvoering van de risicoverevening door het Zorginstituut Nederland;

Overwegende dat GGZ Nederland, de Landelijke Vereniging van Vrijgevestigde Psychologen en Psychotherapeuten (LVVP), de Nederlandse Vereniging voor Psychiatrie (NVvP), het Nederlands Instituut voor Psychologen (NIP), het Landelijk Platform GGZ, Zorgverzekeraars Nederland en de Nederlandse Zorgautoriteit een verwerking van het gegeven zorgvraagzwaarte kunnen realiseren die zo min mogelijk inbreuk maakt op de persoonlijke levenssfeer van de verzekerde;

Gezien het advies van het College bescherming persoonsgegevens van 15 september 2015, kenmerk z2015-00360;

Besluit:

ARTIKEL I

De Regeling zorgverzekering wordt als volgt gewijzigd:

A

In artikel 1, eerste lid, komt onderdeel cc. te luiden:

• cc. rapport zorgvraagzwaarte: algemeen aanvaard rapport over zorgvraagzwaarte;

B

Artikel 7.2 wordt als volgt gewijzigd:

In artikel 7.2 vervallen het tweede, derde en vierde lid.

Het nummer voor het eerste lid vervalt.

C

Na artikel 7.2 worden drie nieuwe artikelen ingevoegd, luidende:

Artikel 7.2a (declareren via VECOZO B.V.)

• 1. Dit artikel is van toepassing indien een zorgaanbieder de kosten van gespecialiseerde geestelijke gezondheidszorg door tussenkomst van VECOZO B.V. in rekening brengt bij een zorgverzekeraar.

• 2. Mits vermeld in een declaratieregeling die van toepassing is voor een zorgaanbieder, bedoeld in het eerste lid, beschikt de zorgverzekeraar, met inachtneming van het bepaalde bij of krachtens dit artikel, over het gegeven zorgvraagzwaarte van de verzekerde voor de analyses en controles als bedoeld in de artikelen 7.6 tot en met 7.9, met het oog op de uitvoering van formele en materiële controle ten behoeve van de in artikel 7.1, tweede lid, aangegeven doelen en voor zover dat noodzakelijk is voor de zorgverzekeraar om te voldoen aan zijn verplichting om gegevens te leveren aan het Zorginstituut ten behoeve van de uitvoering van de Zorgverzekeringswet.

• 3. De zorgaanbieder, bedoeld in het eerste lid, verstrekt de gegevens die op grond van het bij of krachtens artikel 38 van de Wet marktordening gezondheidszorg bepaalde moeten worden verstrekt, aan de zorgverzekeraar door tussenkomst van VECOZO B.V.

• 4. Het gegeven zorgvraagzwaarte, bedoeld in het tweede lid, wordt door VECOZO B.V. gemaskeerd alvorens VECOZO B.V. dat gemaskeerde gegeven, met de overige gegevens bedoeld in het derde lid, aan de zorgverzekeraar verstrekt.

• 5. De zorgverzekeraar ontvangt de door de zorgaanbieder verstrekte gegevens, bedoeld in het derde lid, van VECOZO B.V., waarbij het gegeven zorgvraagzwaarte van de verzekerde is gemaskeerd.

• 6. De zorgverzekeraar verstrekt gegevens bedoeld in het vijfde lid aan Vektis C.V. ten behoeve van het maken van analyses voor zorgaanbieders en zorgverzekeraars die noodzakelijk zijn voor de uitvoering van de zorgverzekering of de Zorgverzekeringswet en ten behoeve van het verrichten van controle of fraudeonderzoek, waarbij het gegeven zorgvraagzwaarte van de verzekerde is gemaskeerd.

• 7. Vektis C.V. ontvangt de door de zorgaanbieder verstrekte gegevens, bedoeld in het derde lid, van VECOZO B.V., waarbij het gegeven zorgvraagzwaarte van de verzekerde niet is gemaskeerd.

• 8. Vektis C.V. verstrekt op verzoek van een zorgverzekeraar aan die zorgverzekeraar het gegeven zorgvraagzwaarte indien en voor zover dat noodzakelijk is voor de zorgverzekeraar om te voldoen aan zijn verplichting om gegevens te leveren aan het Zorginstituut ten behoeve van de uitvoering van de Zorgverzekeringswet, nadat het gegeven zorgvraagzwaarte door Vektis C.V. is versleuteld.

• 9. De zorgverzekeraar verstrekt op verzoek van het Zorginstituut aan deze het gegeven zorgvraagzwaarte, zoals dat gegeven door Vektis C.V. is versleuteld, ten behoeve van de uitvoering van de Zorgverzekeringswet door het Zorginstituut.

• 10. Vektis C.V. verstrekt op verzoek van het Zorginstituut aan deze de sleutel om het door Vektis C.V. versleutelde gegeven zorgvraagzwaarte te ontsleutelen ten behoeve van de uitvoering van de Zorgverzekeringswet door het Zorginstituut.

Artikel 7.2b

• 1. VECOZO B.V. en Vektis C.V. dragen zorg voor passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen bij de verwerkingen, bedoeld in artikel 7.2a, tegen verlies of tegen enige vorm van onrechtmatige verwerking.

• 2. De door Vektis C.V. aan zorgaanbieders en zorgverzekeraars te verstrekken analyses, bedoeld in artikel 7.2a, bevatten geen tot individuele verzekerden te herleiden zorgvraagzwaartegegevens.

• 3. Voor VECOZO B.V. en Vektis C.V. gelden dezelfde wettelijke voorschriften inzake geheimhouding van de verwerkte gegevens, bedoeld in artikel 7.2a, als voor de zorgverzekeraar.

• 4. Personen werkzaam bij of ten behoeve van VECOZO B.V. en Vektis C.V. voor wie niet reeds uit hoofde van ambt of beroep een geheimhoudingplicht geldt, zijn verplicht tot geheimhouding van de gegevens die zij op grond van artikel 7.2a verwerken, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht.

• 5. De zorgverzekeraar beschikt niet over de sleutel om het versleutelde gegeven zorgvraagzwaarte, bedoeld in artikel 7.2a te ontsleutelen.

• 6. De zorgverzekeraar beschikt, met inachtneming van het bepaalde in de artikelen 7.5 tot en met 7.11 inzake de uitvoering van materiële controle, over het gegeven zorgvraagzwaarte indien op grond van analyse op basis van geaggregeerde gegevens of naar aanleiding van een ander signaal er reden is voor het instellen van nadere formele of materiële controles, met dien verstande dat indien en voor zover dat noodzakelijk is voor die controles, het gegeven zorgvraagzwaarte van de patiënt of de gegevens die noodzakelijk zijn voor het onderbouwen en afleiden van het gegeven zorgvraagzwaarte van de desbetreffende patiënt herleidbaar naar die individuele patiënt wordt, respectievelijk worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar.

• 7. De zorgautoriteit kan in een declaratieregeling, bedoeld in artikel 7.2a, tweede lid, en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen:

  • a. op welke wijze het gegeven zorgvraagzwaarte moet worden gemaskeerd en

  • b. dat de verplichting tot verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet van toepassing is.

Artikel 7.2c (declareren ‘op papier’/ niet via VECOZO)

• 1. Dit artikel is van toepassing indien de verzekerde of de zorgaanbieder namens de verzekerde de kosten van gespecialiseerde geestelijke gezondheidszorg zonder tussenkomst van VECOZO B.V. in rekening brengt bij diens zorgverzekeraar.

• 2. De zorgverzekeraar beschikt, met inachtneming van het bepaalde bij of krachtens dit artikel, niet over het tot een individuele verzekerde te herleiden zorgvraagzwaartegegeven.

• 3. De zorgaanbieder, bedoeld in het eerste lid, verstrekt de gegevens, die op grond van het bij of krachtens artikel 38 van de Wet marktordening gezondheidszorg bepaalde moeten worden verstrekt aan de verzekerde of namens een verzekerde aan diens zorgverzekeraar, zonder tussenkomst van VECOZO B.V.

• 4. Het zesde en zevende lid van artikel 7.2b zijn van overeenkomstige toepassing.

D

Artikel 7.3 wordt als volgt gewijzigd:

1. In het eerste lid wordt na ‘verplicht’ ingevoegd: tenzij bij of krachtens deze regeling anders wordt bepaald;

2. In het eerste lid komt de zinsnede ‘artikel 7.2, eerste lid, onderdeel a tot en met g, en tweede lid’ te luiden: artikel 7.2, onderdeel a tot en met g;

3. In het tweede lid komt de zinsnede ‘artikel 7.2, eerste lid, onderdeel i, en tweede lid’ te luiden: artikel 7.2, onderdeel i.

E

In het eerste lid van artikel 7.4 wordt de zinsnede ‘de artikelen 7.2, derde lid en 7.5 tot en met 7.9’ vervangen door: de artikelen 7.2a tot en met 7.2c en 7.5 tot en met 7.9.

ARTIKEL II

• 1. Artikel II van de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte cGGZ vervalt.

• 2. De zorgaanbieder is verplicht de zorgvraagzwaarteindicator, die wordt afgeleid uit brongegevens die de zorgaanbieder heeft geregistreerd met betrekking tot zorg waarop het vierde lid van artikel 7.2 is toegepast in de jaren 2014 of 2015, aan de zorgverzekeraar te leveren op de wijze die de Nederlandse Zorgautoriteit in een regeling op grond van de Wet marktordening gezondheidszorg kan vaststellen.

ARTIKEL III

• 1. Het tweede lid van artikel 7.2 van de Regeling zorgverzekering, zoals dat artikel luidde voor de inwerkingtreding van deze regeling, blijft van toepassing op het gegeven zorgzwaarte van de verzekerde dat aan een zorgverzekeraar is verstrekt op basis van een declaratieregeling als bedoeld in dat lid.

• 2. De leden 3 tot en met 5 van artikel 7.2a en artikel 7.2b zijn van overeenkomstige toepassing indien een zorgaanbieder abusievelijk via VECOZO het gegeven zorgvraagzwaarte aanlevert voordat dat gegeven verplicht op de bij artikel 7.2a bepaalde wijze moet worden aangeleverd.

ARTIKEL IV

Deze regeling treedt in werking op 1 januari 2016 en werkt voor wat betreft Artikel II, tweede lid, en Artikel III, eerste lid, terug tot en met 1 januari 2014.

ARTIKEL V

Deze regeling wordt aangehaald als: Regeling aanlevering zorgvraagzwaarte cGGZ.

Deze regeling wordt met de bijhorende toelichting en de bijlage in de Staatscourant geplaatst.

De Minister van Volksgezondheid, Welzijn en Sport, E.I. Schippers

TOELICHTING

Inhoud

Algemeen deel

• 1. Inleiding

• 2. Wijziging van de uitgangssituatie

• 3. Verkenning alternatieven

• 4. Alternatieve aanlevering van de zorgvraagzwaarteindicator

• 5. Uitwerking routes alternatieve declaraties

• 6. Groeimodel

• 7. Verwerking persoonsgegevens

• 8. Wettelijk kader bescherming persoonsgegevens

• 9. Advies CBP

• 10. Verwerking advies CBP

• 11. Fraudetoets

Artikelsgewijs

Algemeen deel

1. Inleiding

Op 30 oktober 2013 is de Regeling zorgvraagzwaarte cGGZ vastgesteld¹. Met die regeling werd de verplichting opgelegd aan zorgaanbieders om het gegeven zorgvraagzwaarte² op de factuur te vermelden indien de Nederlandse Zorgautoriteit, verder te noemen de zorgautoriteit, daartoe een declaratieregeling zou vaststellen. Met die regeling werd ook een definitie van zorgvraagzwaarte en een definitie van het rapport zorgvraagzwaarte, waarin de zorgvraagzwaarte werd beschreven, opgenomen in de Regeling zorgverzekering (Rzv). De onderhavige regeling heeft betrekking op die zorgvraagzwaarte, bedoeld in dat rapport en de opvolger(s) daarvan³. De verwerking van het gegeven zorgvraagzwaarte is noodzakelijk voor de uitvoering van de formele en materiële controle en voor de zorginkoop, beide uit te voeren door zorgverzekeraars, en voor de uitvoering van de risicoverevening door Zorginstituut Nederland, verder te noemen het zorginstituut⁴. De genoemde regeling beperkte het gebruik van het gegeven zorgvraagzwaarte voor de uitvoering van formele en materiële controle tot de in artikel 7.1, tweede lid, aangegeven doelen en tot de toepassing van artikel 7.4a. Daarbij is vastgesteld en in de toelichting bij die regeling opgenomen dat het enkele gegeven zorgvraagzwaarte, als bedoeld in het rapport zorgvraagzwaarte 1.0, onvoldoende zeggingskracht heeft om in individuele gevallen bij individuele verzekerden de rechtmatigheid van een ingediende declaratie te betwisten. In de toelichting bij die regeling is ook vastgesteld dat het gegeven zorgvraagzwaarte voor de materiële controle en zorginkoop bruikbaar kan zijn op geaggregeerd niveau per zorgaanbieder/praktijk. Aan het niveau van aggregatie en de daarover tussen zorgaanbieders en zorgverzekeraars te maken afspraken wordt in hoofdstuk 4 van deze toelichting nader aandacht besteed. Een concept van de genoemde Regeling zorgvraagzwaarte cGGZ is indertijd ter toetsing voorgelegd aan het College bescherming persoonsgegevens (CBP). Het CBP heeft op 4 september 2013 geadviseerd⁴.

In de toelichting bij die Regeling zorgvraagzwaarte cGGZ is ingegaan op de keuze voor de wijze waarop het gegeven zorgvraagzwaarte aan verzekeraars moest worden verstrekt en waarom er, bij gebrek aan een andere wijze die minder belastend zou zijn geweest voor de bescherming van persoonsgegevens van patiënten en verzekerden, voor verplichte vermelding van de zorgvraagzwaarteindicator (zvzi) op de factuur was gekozen.

In verband met de verkenning van een mogelijke alternatieve aanlevering van het gegeven zorgvraagzwaarte door zorgaanbieders aan zorgverzekeraars is de verplichting tot verstrekking van het gegeven zorgvraagzwaarte op de factuur bij regeling van 23 september 2014 tijdelijk opgeschort tot en met 31 december 2014⁶. Bij regeling van 5 maart 2015 is die tijdelijke opschorting verlengd tot en met 31 december 2015⁷. De Tweede Kamer der Staten-Generaal is bij brief van 16 december 2014 over de verlenging ingelicht⁸.

Inmiddels is een alternatieve wijze van verstrekking van het gegeven zorgvraagzwaarte ontwikkeld door GGZ Nederland, de Landelijke Vereniging van Vrijgevestigde Psychologen en Psychotherapeuten (LVVP), de Nederlandse Vereniging voor de Psychiatrie (NVvP), het Nederlands Instituut voor Psychologen (NIP), het Landelijk Platform GGZ (LPGGZ), Zorgverzekeraars Nederland en de zorgautoriteit. Deze nieuwe wijze van aanlevering is minder belastend voor de bescherming van de persoonlijke levenssfeer van de verzekerde patiënt dan de verplichte vermelding van de zvzi op de ggz-factuur.

De nieuwe wijze van aanlevering bestaat uit een wijze waarbij de zorgaanbieder aan de zorgverzekeraar declareert door tussenkomst van VECOZO B.V., verder te noemen VECOZO, verder aangeduid als ‘digitale declaratie’, en een wijze van aanleveren die niet geschiedt door tussenkomst van VECOZO, verder aangeduid als ‘papieren declaratie’.

Door de digitale wijze van aanlevering via VECOZO – en de daarbij behorende maskering van de zvzi – beschikt de zorgverzekeraar niet over de tot de verzekerde patiënt herleidbare zvzi indien de kosten van gespecialiseerde geestelijke gezondheidszorg bij de zorgverzekeraar in rekening worden gebracht. Ten behoeve van de materiële controle krijgt de verzekeraar van Vektis C.V, verder te noemen Vektis, wel de beschikking over analyses op geaggregeerd niveau waarin de zorgvraagzwaarteindicatoren zijn verwerkt. VECOZO en Vektis treden bij de verwerkingen van de zvzi op als Trusted Third Party (TTP).

Het alternatief voor de papieren declaratie betreft het maskeren⁹ van de zvzi op de papieren declaratie. De reden dat het gegeven zorgvraagzwaarte op de papieren declaratie kan worden gemaskeerd ligt in de verwachting dat de stroom van papieren declaraties zal afnemen, het thans in relatieve zin geringe aandeel in de kosten voor gespecialiseerde ggz en het evenzeer relatief geringe aandeel van deze declaraties in het totaal aantal declaraties.

De nieuwe wijze van aanlevering is in de vorm van een concept van onderhavige regeling voor advies voorgelegd aan het CBP. In die regeling was de alternatieve aanlevering die in de onderhavige regeling als hoofdregel is opgenomen als tijdelijk aangemerkt, in afwachting van een definitieve vormgeving van de aanlevering, die naar toenmalige verwachting in werking zou treden op 1 januari 2017. Die inwerkingtreding wordt thans voorzien op een later tijdstip en wordt in overleg met alle betrokken partijen nader bepaald. Het CBP op 15 september 2015 positief geadviseerd heeft over zowel de voorgenomen definitieve vormgeving als over de tijdelijke vormgeving van de aanlevering ¹⁰. In hoofdstuk 9 is aangegeven hoe dat advies in de onderhavige regeling is verwerkt. Het advies is als bijlage bij deze toelichting gevoegd.

Inmiddels is een vervolgrapport over zorgvraagzwaarte vastgesteld waarin ook wordt ingegaan op het gebruik van de zvzi.

Alvorens de alternatieve aanleveringen van de zvzi nader te schetsen, wordt eerst de uitgangssituatie weergegeven voor de onderhavige regeling.

2. Uitgangssituatie

De verplichting de zvzi te verstrekken ten behoeve van de zorginkoop, materiële controle en risicoverevening voor de uitvoering van de zorgverzekering en de Zorgverzekeringswet geldt met ingang van 2014 op grond van de Regeling zorgvraagzwaarte cGGZ. Papieren verstrekking van de zvzi op de factuur is mogelijk per 1 januari 2014. Softwarematige verstrekking van de zvzi per elektronische factuur is mogelijk per 1 juli 2014. Er kunnen zorgaanbieders zijn die de zvzi in 2014 hebben verstrekt aan verzekeraars of patiënten.

Voor de verstrekking van medische persoonsgegevens als de zvzi door de zorgaanbieder, heeft deze een wettelijke grondslag nodig om het beroepsgeheim te doorbreken en de geheimhoudingsplicht op te heffen. De wettelijke grondslag bestaat uit de verplichtingen voor zorgaanbieders neergelegd in artikel 87 Zorgverzekeringswet (Zvw), hoofdstuk 7 van de Rzv en de declaratieregeling van de zorgautoriteit op grond van artikel 38 Wet marktordening gezondheidszorg (WMG). Zo nodig kunnen ook de artikelen 61, 62 en 68 WMG een wettelijke grondslag bieden.

De bevoegdheden van de verzekeraars met betrekking tot de zvzi zijn sinds 2014 onder andere gelimiteerd op basis van artikel 87 Zvw, hoofdstuk 7 van de Rzv en de declaratieregeling van de zorgautoriteit op grond van artikel 38 WMG.

De bevoegdheid van Zorginstituut Nederland, verder te noemen het zorginstituut, om de zvzi te verwerken voor de risicoverevening berust op de taken die dat instituut uitvoert op grond van de artikelen in paragraaf 4.2 Zvw.

De verplichting voor de zorgaanbieder bestaat uit het aanleveren van de in hoofdstuk 7 van de Rzv en de declaratieregeling van de zorgautoriteit op grond van artikel 38 WMG genoemde gegevens. Artikel 87 Zvw geeft de ruimte om in de Rzv nader te bepalen of een gegeven, waaronder ook kan worden verstaan een medisch persoonsgegeven, door zorgaanbieders op de factuur of op andere wijze aan de verzekeraars moet worden verstrekt. Een gedetailleerde beschrijving van de verhouding tussen artikel 87 Zvw, hoofdstuk 7 van de Rzv en de declaratieregeling van de zorgautoriteit op grond van artikel 38 WMG is opgenomen in de toelichting bij de Regeling zorgvraagzwaarte cGGZ.

3. Verkenning alternatieven

Voor de zorgverzekeraars en het zorginstituut, zijn de hoofdprocessen, die betrekking hebben op zorginkoop, declaratieafhandeling met formele en materiële controle en de risicoverevening, afhankelijk van informatie uit het declaratieverkeer en de gegevens die daarbij door zorgaanbieders worden aangeleverd. Omdat de meeste declaraties digitaal door zorgaanbieders worden aangeleverd via VECOZO aan de zorgverzekeraars is de aandacht bij de verkenning van mogelijkheden voor een alternatieve aanlevering van de zvzi naar dat traject uitgegaan. VECOZO is bereid gevonden de functie van TTP te vervullen en de zvzi, die tegelijkertijd met de andere declaratiegegevens moet worden aangeleverd, zodanig te maskeren dat enerzijds de zorgverzekeraars niet over de tot de individuele verzekerde patiënt herleidbare zvzi beschikken en anderzijds analyses gemaakt kunnen worden ten behoeve van materiële controle, risicoverevening en zorginkoop. Vektis, ook als TTP, is de gerede partij om voor zorgverzekeraars en zorgaanbieders binnen door hen te maken afspraken die analyses uit te voeren. Daarnaast is Vektis bereid gevonden om declaratiebestanden van verzekeraars aan te vullen met versleutelde zvzi’s, welke bestanden zorgverzekeraars bij het zorginstituut moeten aanleveren ten behoeve van de uitvoering van de risicoverevening. Doordat Vektis de sleutel op verzoek verstrekt aan het zorginstituut kan deze laatste de zvzi’s ontsleutelen en bewerkingen uitvoeren die noodzakelijk zijn voor de risicoverevening. Vektis is, als TTP, voor de GGZ-patiënten, zorgprofessionals, instellingen en verzekeraars,¹¹ aanvaardbaar als bewerker van de zvzi.

Naast de digitale declaratie vindt ook declaratie op papier plaats. Dat betreft een zeer gering deel van de schadelast van de gespecialiseerde geestelijke gezondheidszorg en een gering deel van het totaal aantal declaraties voor die zorg. Er zijn voor de papieren declaratiestroom verschillende varianten onderzocht waarop een aanlevering van de zvzi zou kunnen plaats vinden. Daarbij was het doel ook deze aanlevering zo min mogelijk belastend te laten zijn voor de persoonlijke levenssfeer van de verzekerde patiënt. Bij het in kaart brengen van varianten is gedacht aan een versleuteling van de zvzi bij de zorgaanbieder, handmatig dan wel softwarematig, aan een aanlevering van de papieren declaratie aan VECOZO die deze declaratie digitaliseert en de zvzi versleutelt, aan een aanlevering van de papieren declaratie met de verplichting voor de zorgaanbieder eerst de patiënt te informeren over de mogelijkheid een privacyverklaring te gebruiken en diens keuze af te wachten alvorens de geleverde zorg in rekening mag worden gebracht en tenslotte is gedacht aan een derde TTP die de declaraties ontvangt en de zvzi versleutelt en de declaratie terugstuurt naar de zorgaanbieder dan wel de verzekerde of die de declaratie namens de verzekerde doorstuurt aan de zorgverzekeraar, waarbij deze TTP dan de sleutel zou verstrekken aan Vektis en het zorginstituut ten behoeve van de relevante bewerkingen.

De in voorgaande alinea kort beschreven varianten voor het aanleveren van de zvzi bij de papieren declaratiestroom zijn alle afgewezen op basis van de volgende argumenten:

• Het gaat hier om een zeer gering deel van de schadelast gespecialiseerde ggz;

• Het gaat hier om een gering deel van het totaal aantal declaraties voor gespecialiseerde ggz;

• De procedure van de versleuteling door een TTP van de zvzi die op papier moet worden aangeleverd aan de patiënt is administratief omslachtig en kostbaar;

• Het is niet wenselijk de bewijslast op te leggen aan de zorgaanbieder dat een verplichting is nageleefd de patiënt te informeren over een privacyverklaring (administratieve lasten).

Daar komt nog het volgende bij:

• Door de toename van digitaal declareren en afname van de papieren declaraties zouden de kosten voor versleuteling van de zvzi op de papieren declaratie door steeds minder betrokkenen moeten worden gedragen;

• De zorgverzekeraars kunnen digitaal declareren stimuleren door de daarvoor noodzakelijke overeenkomst niet te koppelen aan zorginhoudelijke aspecten;

• De zorgverzekeraars kunnen wellicht binnen de maximumtarieven die gelden voor gespecialiseerde ggz afspraken maken die stimuleren tot declareren via VECOZO.

Voor digitaal declareren moeten zorgaanbieders een declaratieovereenkomst sluiten met een zorgverzekeraar en een (gratis) certificaat aanvragen bij VECOZO. Voor digitaal declareren moeten zorgaanbieders zelf zorgen voor een daartoe geschikt softwarepakket.

In dit hiervoor in de toelichting geschetste samenstel van feiten en omstandigheden wordt aanleiding gezien om af te zien van de verplichting tot aanlevering van een versleutelde zvzi bij een papieren declaratie. Alles overwegende wordt het opleggen van een dergelijke verplichting als disproportioneel gezien. Daarnaast is het de verwachting dat steeds minder zorgaanbieders overblijven die een papieren declaratie indienen bij de verzekerde of bij de zorgverzekeraar namens de verzekerde, waardoor de disproportionaliteit van een dergelijke verplichting nog zal toenemen. In het licht van voorgaande overwegingen en conclusie is het daarnaast ook niet wenselijk dat een beroep op een privacyverklaring noodzakelijk is voor het niet vermelden van de zvzi. Daarom wordt in de regeling zelf opgenomen dat de verzekeraar ook bij een papieren declaratie niet de beschikking krijgt over tot de individuele verzekerde patiënt herleidbare zorgvraagzwaartegegevens. De zorgautoriteit kan daartoe in een declaratieregeling nadere regels voor vaststellen, waarmee bijvoorbeeld kan worden verplicht dat het gegeven zorgvraagzwaarte op de papieren declaratie wordt gemaskeerd, (bijvoorbeeld) door standaard de getallen ‘000’ te vermelden in het deel van de prestatiecode dat nu gereserveerd is voor de zvzi. De zorgautoriteit kan na overleg met het veld tot zodanige maskeringen verplichten dat nog onderscheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie met en zonder privacyverklaring en bij papieren declaratie ook met en zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor verwerkingen van de zvzi ten behoeve van de zorginkoop, formele en materiële controle en de risicoverevening.

4. Alternatieve aanlevering van de zorgvraagzwaarteindicator

De voorgaande verkenning van alternatieven heeft geleid tot het volgende model voor alternatieve aanlevering van de zvzi dat de basis vormt voor onderhavige regeling.

De hoofddoelen

Gezamenlijk overleg tussen vertegenwoordigers van de eerdergenoemde betrokken partijen over de wijze waarop moet en kan worden omgegaan met zorgvraagzwaartegegevens in het declaratieverkeer, levert het volgende beeld op:

• Doel is dat verzekeraars niet anders dan in geaggregeerde vorm de beschikking krijgen over de zvzi;

• De opzet om dat te bewerkstelligen moet zo veel mogelijk aansluiten bij de gangbare praktijk;

• De uitwerking moet een zo laag mogelijke regeldruk en zo laag mogelijke administratieve lasten met zich brengen;

• De verzekeraars moeten kunnen voldoen aan hun verplichtingen in het kader van de risicoverevening.

De zekerheden

In de regeling zijn de volgende zekerheden/waarborgen vastgelegd:

• De zorgverzekeraar beschikt niet over de sleutel om een versleutelde zvzi te kunnen ontsleutelen;

• De verwerking van zorgvraagzwaartegegevens door VECOZO en Vektis geschiedt als Trusted Third Party (TTP);

• Voor VECOZO en Vektis gelden dezelfde wettelijke voorschriften inzake geheimhouding van de verwerkte gegevens als voor de zorgverzekeraar;

• De verwerking van zorgvraagzwaartegegevens door VECOZO en Vektis, als TTP, moet voldoen aan passende technische standaarden en verantwoordingen;

• De door Vektis aan zorgaanbieders en zorgverzekeraars te verstrekken analyses bevatten geen tot individuele verzekerden te herleiden zorgvraagzwaartegegevens;

• De door Vektis te maken analyses zijn gebonden aan afspraken die daarover tussen zorgaanbieders en verzekeraars zijn gemaakt (zie de volgende paragraaf over de randvoorwaarden rond aggregatie);

• De basisgegevens waaruit de zvzi wordt afgeleid zijn opgenomen in de administratie van de zorgaanbieder;

• De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi moeten, herleidbaar naar de betreffende individuele patiënt en de zorgaanbieder, worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar, indien op grond van analyse van de zorgverzekeraar (op basis van geaggregeerde gegevens), of naar aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. De normale regels met betrekking tot de uitvoering van materiële controle blijven daarbij voor de zorgverzekeraar en de zorgaanbieder van kracht.

De randvoorwaarden rond aggregatie

Met een uniforme maatregel bij de Gedragscode goed verzekeraarschap wordt geborgd dat de zorgvraagzwaartegegevens door de zorgverzekeraar uitsluitend in geaggregeerde vorm worden gebruikt voor risicoanalyse in het materiële controleproces en bij zorginkoop. De zvzi heeft volgens het rapport zorgvraagzwaarte alleen voldoende zeggingskracht op voldoende aggregatieniveau. De zvzi moet echter wel bij elke declaratie worden aangeleverd ten behoeve de uitvoering van de risicoverevening door het zorginstituut. Het tussen zorgaanbieders en zorgverzekeraars overeengekomen niveau van aggregatie voor het maken van analyses heeft dus geen invloed op de aanlevering van de zvzi, maar enkel op het verwerken daarvan ten behoeve van materiële controle en zorginkoop¹².

In die bedoelde uniforme maatregel zullen zorgverzekeraars ook vastleggen dat de zvzi bij analyses gebruikt zal worden overeenkomstig het beoordelingskader, zoals dat nu is ontwikkeld ten behoeve van de opvolger van het eerste rapport over de zvzi. Dat laat een latere aanpassing van het niveau van aggregatie en de uniforme maatregel in verband met verdere doorontwikkeling van de zvzi en de vastlegging daarvan in nieuwe rapportages onverlet.

De hoofdlijnen van de alternatieve aanleveringen

Bij de alternatieve wijzen van aanlevering van de zvzi wordt aangesloten bij de bestaande gegevensstromen met betrekking tot declaraties van zorgaanbieders. Daarbij wordt zowel in de praktijk als in deze regeling het onderscheidend criterium gehanteerd of de zorgaanbieder wel of niet door tussenkomst van VECOZO aan de zorgverzekeraar de kosten voor geneeskundige geestelijke gezondheidszorg in rekening brengt.

Wordt door tussenkomst van VECOZO gedeclareerd, dan wordt de zvzi meegeleverd en zorgt VECOZO voor maskering van de zvzi bij de ggz-declaratie, zodat de verzekeraar niet over de ongemaskeerde zvzi van de individuele verzekerde patiënt beschikt.

Wordt niet door tussenkomst van VECOZO gedeclareerd dan dient de zorgaanbieder de zvzi op de declaratie ook te maskeren. De zorgautoriteit legt vast op welke wijze de zvzi moet worden gemaskeerd. Vektis ontvangt ook de gegevens die zijn aangeleverd bij de papieren declaratie (zoals vermeld, zonder de zvzi).

De digitale gegevensstroom gaat van de zorgaanbieder via het zorgportal VECOZO, naar de desbetreffende verzekeraar, nadat het gegeven zvzi door VECOZO is gemaskeerd. De informatie over de zorgvraagzwaarte wordt (net als nu) bij het indienen van een declaratie softwarematig afgeleid uit de gegevens die door de zorgaanbieders op grond van een administratieregeling van de zorgautoriteit verplicht worden geregistreerd. De zvzi wordt echter (anders dan nu) gemaskeerd met de andere declaratiegegevens bij de verzekeraar aangeleverd.

VECOZO zendt de declaratiegegevens en de daarbij behorende ongemaskeerde zvzi aan Vektis.

De verzekeraar zendt de declaratiegegevens na controle in een bestand met de gemaskeerde zvzi via VECOZO¹³ door naar Vektis. Vektis vult de declaratiebestanden van verzekeraars aan met de zvzi, nadat deze zvzi door Vektis is versleuteld.

De verzekeraar zendt de aangevulde declaratiebestanden naar het zorginstituut ten behoeve van de uitvoering van de risicoverevening. Doordat Vektis de sleutel op verzoek verstrekt aan het zorginstituut kan deze de bewerkingen uitvoeren die noodzakelijk zijn voor de risicoverevening. De verzekeraars beschikken niet over de sleutel om de zvzi weer te ontsleutelen. Alleen Vektis en het zorginstituut beschikken over de sleutel voor de statistische bewerkingen respectievelijk de uitvoering van de risicoverevening.

De Bewerking

Vektis treedt op als Trusted Third Party (TTP). Over de verwerking van de zvzi worden door partijen afspraken gemaakt. Binnen die afspraken kan Vektis TTP allerlei analyses op geaggregeerd niveau maken:

• voor de verzekeraars, bijvoorbeeld ten behoeve van materiële controle en zorginkoop, en

• voor de GGZ-patiënten, -professionals, -instellingen en verzekeraars, om zodoende een ‘lerende omgeving’ te vormen waarin de zvzi wordt doorontwikkeld.

De Risicoverevening

De zorgverzekeraar beschikt niet over de sleutel om het gegeven zorgvraagzwaarte te ontsleutelen. De zorgverzekeraar kan dus niet de sleutel verstrekken aan het zorginstituut. Er bestaat op dit moment geen wettelijke basis (in een ministeriële regeling) Vektis te verplichten de sleutel aan het zorginstituut te verstrekken. Daarom moet het zorginstituut gebruik maken van artikel 88, eerste en tweede lid, Zvw waarbij het zorginstituut een verzoek doet aan Vektis de sleutel aan hem te verstrekken. Vektis is dan verplicht die sleutel op grond van dat artikel kosteloos te verstrekken aan het zorginstituut.

De Controles

VECOZO controleert of declaraties waarbij volgens de regeling van de zorgautoriteit door zorgaanbieders een zvzi moet worden aangeleverd, ook een zvzi bevatten. (Bij een aantal typen dbc’s, zoals crisis-dbc’s, hoeft geen diagnose vermeld te worden en hoeft dus ook geen zvzi te worden aangeleverd. Dat geldt ook bij een zogenaamde privacyverklaring. De zorgautoriteit kan daar nadere regels over stellen). Omdat de maskering van de zvzi bij VECOZO zelf plaatsvindt, controleert VECOZO ook nog of de waarde van de zvzi overeenkomt met waarden die bij de zvzi horen (1-7). Voldoet de zvzi aan de criteria dan volgt maskering van de zvzi. Indien dat niet het geval is wordt de declaratie niet doorgezonden en wordt de aanbieder geïnformeerd. Dit proces is gelijk aan de andere controles die VECOZO al uitvoert. De zorgaanbieder kan dan een gecorrigeerde declaratie opnieuw indienen, op de wijze zoals in onderhavige regeling is bepaald.

Vektis ontvangt van VECOZO de door zorgaanbieders aangeleverde declaratiegegevens en de bijbehorende zvzi en maakt als TTP, binnen de afspraken die partijen daarover hebben gemaakt, praktijkvariatie-analyses en eventuele andere analyses die verzekeraars of zorgaanbieders nodig hebben. Vektis betrekt daar ook de papieren declaraties bij (waarop, zoals toegelicht, een gemaskeerde zvzi wordt vermeld), waarover Vektis de informatie van de zorgverzekeraars ontvangt. Hierboven is al gewezen op de afspraken die gemaakt zijn over het niveau van aggregatie en verwerking van de zvzi. Verzekeraars en zorgaanbieders krijgen de analyses op de eigen verzekerden/patiënten, naast landelijke praktijkvariatiestudies. De uitkomsten mogen in de analyses niet herleidbaar zijn tot de zvzi van individuele verzekerden. De verzekeraars kunnen hiermee hun materiële controle uitvoeren volgens het trechtermodel. De zvzi is niet geschikt om te gebruiken voor controles op individueel declaratieniveau, maar wel op geaggregeerd niveau. Als een verzekeraar op grond van de analyses van Vektis een significant afwijkend patroon aantreft bij een zorgaanbieder (in relatie tot declaraties van zijn verzekerden en ten opzichte van andere vergelijkbare zorgaanbieders) kan dat volgens het trechtermodel een reden zijn om bij de aanbieder om uitleg te vragen van die afwijking¹⁴. Indien nodig kunnen onder verantwoordelijkheid van de medisch adviseur in opdracht van de zorgverzekeraar, als laatste stap in het proces van materiële controle, ook de relevante delen van patiëntendossiers worden ingezien. Daarbij kan onder verantwoordelijkheid van de medisch adviseur in opdracht van de verzekeraar ook worden gecontroleerd of de zvzi goed is afgeleid.

De Vrijstelling

Indien de zorgaanbieder een papieren declaratie zendt hoeft de tot de individuele verzekerde patiënt herleidbare zvzi niet te worden aangeleverd. De zorgaanbieder maskeert dan conform de door de zorgautoriteit vastgestelde regeling de zvzi. Deze vrijstelling is een wezenlijke verandering ten opzichte van de verplichting neergelegd in de Regeling zorgvraagzwaarte cGGZ.

De Materiële controle

De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi moeten, herleidbaar naar de individuele patiënt en herleidbaar naar de zorgaanbieder, worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar indien op grond van analyses van de verzekeraar (op basis van geaggregeerde gegevens), of naar aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. De normale regels met betrekking tot de uitvoering van materiële controle blijven daarbij voor zorgverzekeraars en zorgaanbieders van kracht.

5. Uitwerking routes alternatieve declaraties

In de onderhavige regeling is de alternatieve aanlevering vastgelegd die voldoet aan de waarborgen en zekerheden die alle betrokken partijen wensen met betrekking tot de bescherming van de persoonlijke levenssfeer van de verzekerde patiënt, de uitvoering van de zorgverzekering en de Zvw en het verkrijgen van inzicht in de (eigen) praktijkvoering door zorgaanbieders. In deze paragraaf worden in hoofdlijnen puntsgewijs de routes uitgewerkt die met deze regeling worden bewerkstelligd. De zorgverzekeraar heeft bij elektronische declaratie geen beschikking over de tot de individuele verzekerde herleidbare zvzi.

De zorgautoriteit kan na overleg met het veld tot zodanige maskeringen verplichten dat nog onderscheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie met of zonder privacyverklaring en bij papieren declaratie ook met of zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor verwerkingen van de zvzi ten behoeve van de zorginkoop, formele en materiële controle en de risicoverevening.

In onderstaande schets van de routes wordt op de papieren declaratie op de positie van zvzi in de prestatiecode de waarde ‘000’ ingevuld. Bij een uitzondering in verband met een privacyverklaring die verzekerde en zorgaanbieder beide hebben ondertekend, wordt in onderstaande routes op de positie van zvzi in de prestatiecode de waarde ‘999’ ingevuld. De vervanging van de zvzi door de waarde ‘000’ of ‘999’ wordt maskering van de zvzi genoemd. Die waarden kunnen op grond van een regeling van de zorgautoriteit anders zijn.

5.1 De digitale declaratie zorgaanbieder – zorgverzekeraar

De uitwerking van de aanlevering van de zvzi bij een digitale declaratie levert de volgende routes op tussen de betrokkenen:

5.1.1 Declaratie zonder privacyverklaring:

• Zorgaanbieder declareert via VECOZO met vermelding zvzi

• VECOZO maskeert zvzi (waarde ‘000’)

• VECOZO levert declaratiegegevens inclusief gemaskeerde zvzi aan zorgverzekeraar

• Zorgverzekeraar verwerkt declaratie

5.1.2 Declaratie met privacyverklaring:

• Zorgaanbieder declareert via VECOZO (met de zvzi waarde voor privacybezwaarde ‘999’)

• VECOZO levert declaratiegegevens inclusief gemaskeerde zvzi (waarde ‘999’) aan zorgverzekeraar

• Zorgverzekeraar verwerkt declaratie

5.2 Route zorgaanbieder – VECOZO – (zorgverzekeraar) – Vektis

5.2.1 Route niet gemaskeerde zvzi VECOZO aan Vektis

• VECOZO levert declaratiegegevens inclusief niet gemaskeerde zvzi aan Vektis

• Vektis maakt analyses voor zorgaanbieders en zorgverzekeraars conform onderling gemaakte afspraken

• In de analyses van Vektis is de zvzi voor zorgaanbieders en zorgverzekeraars niet te herleiden tot individuele patiënten

5.2.2 Route gemaskeerde zvzi zorgverzekeraars aan Vektis

• VECOZO levert declaratiegegevens met gemaskeerde zvzi aan zorgverzekeraars

• Zorgverzekeraar verwerkt declaratie

• Zorgverzekeraars levert declaratiegegevens met gemaskeerde zvzi via VECOZO aan Vektis

5.3 Route aanlevering gegevens risicoverevening

• VECOZO levert declaratiegegevens inclusief de niet gemaskeerde zvzi aan Vektis

• Zorgverzekeraar levert declaratiebestanden met gemaskeerde zvzi aan Vektis

• Vektis voegt versleutelde zvzi toe aan declaratiebestanden en handhaaft bij privacyverklaring de gemaskeerde zvzi

• Vektis levert aangevulde declaratiebestanden aan desbetreffende zorgverzekeraar

• Zorgverzekeraar levert aangevulde declaratiebestanden aan ZorgTTP

• ZorgTTP pseudonimiseert gegevens in het declaratiebestand

• ZorgTTP levert gepseudonimiseerd declaratiebestand aan Zorginstituut

• Zorginstituut ontvangt desgevraagd van Vektis sleutel

• Zorginstituut ontsleutelt zvzi en maakt analyses voor risicoverevening

5.4 De papieren declaratie

5.4.1 Route papieren declaratie aan verzekerde of (namens de verzekerde) aan zorgverzekeraar

5.4.1.1 Declaratie zonder privacyverklaring

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar

  • met gemaskeerde vermelding zvzi op de declaratie (waarde ‘000’)

• Zorgverzekeraar verwerkt declaratie

5.4.1.2 Declaratie met privacyverklaring

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar

  • met gemaskeerde vermelding zvzi op de declaratie (waarde ‘999’)

• Zorgverzekeraar verwerkt declaratie

5.4.2 Route zorgaanbieder – verzekerde – zorgverzekeraar – Vektis

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar

  • met gemaskeerde zvzi op de declaratie (waarde ‘000’ of ‘999’)

• Zorgverzekeraar verwerkt declaratie

• Zorgverzekeraar levert declaratiegegevens met gemaskeerde zvzi aan Vektis

• Vektis maakt analyses voor zorgaanbieders en zorgverzekeraars

5.4.3 Route zorgaanbieder-verzekerde -zorgverzekeraar – ZorgTTP -Zorginstituut

• Zorgaanbieder declareert aan verzekerde of namens verzekerde aan zorgverzekeraar

  • met gemaskeerde zvzi op de declaratie (waarde ‘000’ of ‘999’)

• Zorgverzekeraar verwerkt declaratie

• Zorgverzekeraar levert declaratiegegevens aan ZorgTTP

• ZorgTTP pseudonimiseert declaratiegegevens

• ZorgTTP levert gepseudonimiseerd declaratiegegevens aan Zorginstituut

• Zorginstituut maakt analyses voor risicoverevening

6. Groeimodel

Het is de bedoeling op een met betrokken partijen nader te bepalen tijdstip het geschetste model van aanlevering te vervangen door een model dat hieronder op hoofdlijnen wordt geschetst.

In het toekomstige model voor de aanlevering van de zvzi wordt ook aangesloten bij de bestaande gegevensstromen met betrekking tot declaraties van zorgaanbieders, zoals die na de inwerkingtreding en implementatie van deze regeling zijn ontstaan. Daarbij blijft zowel in de praktijk als in de regeling het onderscheidend criterium gehanteerd of de zorgaanbieder wel of niet door tussenkomst van VECOZO aan de zorgverzekeraar de kosten voor geneeskundige geestelijke gezondheidszorg in rekening brengt.

Wordt door tussenkomst van VECOZO gedeclareerd, dan wordt de zvzi meegeleverd en zorgt VECOZO voor versleuteling van de zvzi bij de ggz-declaratie, zodat de verzekeraar niet over de zvzi van de individuele verzekerde patiënt beschikt. Die versleuteling is nieuw ten opzichte van het in onderhavige regeling neergelegde systeem, waarbij VECOZO de zvzi maskeert.

Wordt niet door tussenkomst van VECOZO gedeclareerd dan dient de zorgaanbieder de zvzi op de declaratie te maskeren. Daarin is thans geen wijziging voorzien.

De digitale gegevensstroom gaat in het toekomstige model van de zorgaanbieder via het zorgportal VECOZO, naar de desbetreffende verzekeraar, nadat het gegeven zvzi door VECOZO is versleuteld. De informatie over de zorgvraagzwaarte wordt bij het indienen van een declaratie softwarematig afgeleid uit de gegevens die door de zorgaanbieders op grond van een administratieregeling van de zorgautoriteit verplicht worden geregistreerd. De zvzi wordt echter (in dat model) versleuteld met de andere declaratiegegevens bij de verzekeraar aangeleverd.

De verzekeraar zendt de declaratiegegevens met de versleutelde zvzi na controle via VECOZO¹⁵ door naar Vektis voor het maken van analyses en naar het zorginstituut, ten behoeve van de uitvoering van de risicoverevening. De verzekeraars beschikken niet over de sleutel om de zvzi weer te ontsleutelen. Alleen Vektis en het zorginstituut beschikken over de sleutel voor de statistische bewerkingen respectievelijk de uitvoering van de risicoverevening. Vecozo en Vektis blijven voor de verwerking van de zvzi een wettelijke TTP.

Bij de toekomstige aanlevering wordt de zvzi dus niet meer gemaskeerd maar versleuteld door VECOZO aangeleverd aan de zorgverzekeraars en krijgt Vektis niet meer de onversleutelde of ongemaskeerde gegevens van VECOZO. Wel krijgen Vektis en het zorginstituut de sleutel van VECOZO om de versleutelde zvzi te ontsleutelen ten behoeve van de analyses respectievelijk de risicoverevening. Zorgverzekeraar krijgen ook in het toekomstige model niet de beschikking over tot de individuele verzekerde te herleiden zvzi.

De Rzv zal te gelegener tijd dienovereenkomstig worden gewijzigd.

7. Verwerking persoonsgegevens

Voor het uitvoeren van de alternatieve aanlevering van het gegeven zorgvraagzwaarte via VECOZO, waarbij dit gegeven gemaskeerd, versleuteld en ontsleuteld wordt, moeten zorgaanbieders, zorgverzekeraars, VECOZO, Vektis en het zorginstituut beschikken over de juiste bevoegdheden, al dan niet gebaseerd op bij of krachtens de wet opgelegde verplichtingen, om, waar dat noodzakelijk is bij de verwerking van persoonsgegevens, inbreuk te kunnen maken op de bescherming van de persoonlijke levenssfeer.

• 1. Voor de zorgaanbieders die de zvzi reeds vóór 2 oktober 2014¹⁶ hadden verstrekt op de factuur aan zorgverzekeraars, moet er een wettelijke grondslag blijven voor het hebben doorbroken van het beroepsgeheim en het opheffen van de geheimhoudingsplicht;

• 2. Voor de zorgaanbieders die de zvzi vóór 2 oktober 2014 nog niet hadden verstrekt op de factuur, moet er een wettelijke grondslag komen de zvzi alsnog voor heel 2014 en 2015 op een (alternatieve) wijze aan te leveren¹⁷;

• 3. Voor de zorgaanbieders die de zvzi op de hiervoor beschreven alternatieve wijze via VECOZO moeten aanleveren aan verzekeraars moet er een wettelijke grondslag zijn¹⁸ om:

  • a. gegevens uit het behandeldossier van de patiënt te bewerken tot/naar een (gemaskeerde) zvzi,

  • b. gegevens uit het behandeldossier van de patiënt te bewerken en deze bij een privacyverklaring te maskeren, en

  • c. de (al dan niet gemaskeerde) zvzi samen met de patiëntidentificerende gegevens te verstrekken aan VECOZO;

• 4. Voor de zorgaanbieders die de zvzi van een in 2015 geopende dbc abusievelijk op de hiervoor in deze toelichting beschreven alternatieve wijze via VECOZO aanlevert aan verzekeraars, voordat de verplichting in werking treedt om gebruik te maken van de in deze regeling neergelegde aanlevering, moet er een wettelijke grondslag zijn om:

  • a. gegevens uit het behandeldossier van de patiënt te bewerken tot/naar een zvzi,

  • b. gegevens uit het behandeldossier van de patiënt te bewerken tot/naar een zvzi en deze bij een privacyverklaring te maskeren en

  • c. de zvzi samen met de patiëntidentificerende gegevens te verstrekken aan VECOZO;

• 5. Voor de zorgaanbieders die papieren declaraties zenden moet een wettelijke grondslag komen de zvzi te maskeren;

• 6. VECOZO moet de bevoegdheid hebben de door zorgaanbieders aangeleverde tot de patiënt herleidbare zvzi te maskeren, de gemaskeerde zvzi met de declaratiegegevens te leveren aan de desbetreffende zorgverzekeraar, de ongemaskeerde zvzi te leveren aan Vektis;

• 7. Zorgverzekeraars moeten de bevoegdheid hebben:

  • a. de gemaskeerde zvzi te zenden aan Vektis, zodat Vektis deze gemaskeerde zvzi kan vervangen in de declaratiebestanden door de juiste zvzi, nadat deze zvzi is versleuteld, en

  • b. de aldus door Vektis aangevulde declaratiebestanden via ZorgTTP aan het zorginstituut ten behoeve van de uitvoering van de risicoverevening;

• 8. Vektis moet de bevoegdheid hebben de ongemaskeerde zvzi te verwerken ten behoeve van het maken van de met zorgverzekeraars en zorgaanbieders afgesproken analyses op geaggregeerd niveau:

  • a. voor de verzekeraars, bijvoorbeeld ten behoeve van materiële controle en zorginkoop, en

  • b. voor de GGZ-patiënten, zorgprofessionals, instellingen en verzekeraars, om zodoende een ‘lerende omgeving’ te vormen waarin de zvzi wordt doorontwikkeld;

• 9. Vektis moet de bevoegdheid hebben de door zorgverzekeraars aangeleverde declaratiebestanden aan te vullen met een versleutelde zvzi en de declaratiebestanden met de versleutelde zvzi weer aan de desbetreffende zorgverzekeraar toe te zenden voor diens doorzending van het declaratiebestand via ZorgTTP aan het zorginstituut ten behoeve van de uitvoering van de risicoverevening;

• 10. Vektis moet de bevoegdheid hebben de sleutel, die is gebruikt bij de versleuteling van de zvzi die aan de declaratiebestanden is toegevoegd, te verstrekken aan het zorginstituut;

• 11. Het zorginstituut moet de bevoegdheid hebben de versleutelde zvzi te ontsleutelen, waardoor de zvzi weer een gegeven wordt dat aan een individuele gepseudonimiseerde verzekerde wordt gekoppeld ten behoeve van de uitvoering van de risicoverevening;

• 12. De gegevens van de patiënt die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi van de desbetreffende patiënt moeten, herleidbaar naar de individuele patiënt en zorgaanbieder, worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar indien op grond van analyse op basis van geaggregeerde gegevens, of naar aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. De wettelijke grondslag voor de materiële controle is (al) geregeld in artikel 87 Zvw en de Rzv.

2014 en 2015

Na afloop van de opschorting van de verplichting tot vermelding van de zvzi op de declaratie moeten de betreffende zvzi-en alsnog kunnen worden afgeleid uit de daarvoor relevante basisgegevens, zoals deze op basis van een administratieregel van de zorgautoriteit (verplicht) zijn opgenomen in de administratie van de zorgaanbieder. In overleg met alle partijen kan de zorgautoriteit op grond van de WMG over de aanlevering regels stellen. Het is niet de bedoeling de declaraties over de jaren 2014 en 2015 opnieuw in te laten dienen en opnieuw te laten beoordelen door verzekeraars, aangezien dat een te grote administratieve belasting van zorgaanbieders en verzekeraars zou betekenen.

In de regeling is erin voorzien dat er een wettelijke grondslag is voor de zorgaanbieders die de zvzi reeds vóór 2 oktober 2014¹⁹ hadden verstrekt op de factuur aan zorgverzekeraars, voor het hebben doorbroken van het beroepsgeheim en het opheffen van de geheimhoudingsplicht.

In de regeling is ook voorzien in een wettelijke grondslag voor zorgaanbieders die een zvzi via VECOZO aanleveren die behoort bij een in 2015 geopende dbc, dus voordat de verplichting in werking treedt om de alternatieve aanlevering te gebruiken. De vrijwaring heeft als doel om de administratieve last bij de zorgaanbieder te beperken door het voorkomen van onnodige afkeur van declaraties op basis van ingangsdatum. De zorgverzekeraar heeft daarmee ook een vrijwaring voor de ontvangst van de aangeleverde data over dbc’s geopend voor 2016. Dit wil zeggen de data mogen worden gebruikt in rapportage maar er zijn geen verplichtingen. Deze zvzi’s worden niet aangeleverd voor de risicoverevening, omdat ze niet worden opgenomen in de declaratiebestanden van verzekeraars met betrekking tot het jaar 2016.

8. Wettelijk kader bescherming persoonsgegevens

Het vermelden van persoonsgegevens van de verzekerde patiënt, waaronder persoonsgegevens betreffende de gezondheid, bij de declaratie, het verwerken van die persoonsgegevens door een zorgaanbieder, het verstrekken van die persoonsgegevens door een zorgaanbieder aan VECOZO, het verwerken van die persoonsgegevens door VECOZO ten behoeve van een gemaskeerde doorlevering aan verzekeraars, het versleutelen van de zvzi door Vektis en aanvullen van declaratiebestanden van verzekeraars, het verwerken van die persoonsgegevens door Vektis en het zorginstituut, betekenen een inperking van de bescherming van de persoonlijke levenssfeer van de verzekerde patiënt.

De verplichting tot het verstrekken en verwerken van informatie op persoonsniveau ten behoeve van formele²⁰ en materiële²¹ controle, zorginkoop en risicoverevening moet aan een aantal eisen op grond van privacywetgeving voldoen. Het gaat hier om persoonsgegevens betreffende de gezondheid als bedoeld in artikel 16 Wet bescherming persoonsgegevens (Wbp). Artikel 16 van de Wbp verbiedt de verwerking van persoonsgegevens met betrekking tot de gezondheid van personen. Artikel 21 Wbp bevat een uitzondering voor hulpverleners, instellingen of voorzieningen voor gezondheidszorg en zorgverzekeraars. Tevens vallen deze gegevens onder het medisch beroepsgeheim van de individuele zorgaanbieder²² respectievelijk de geheimhoudingsplicht van de zorgaanbieder²³.

Omdat het gaat om medische informatie over patiënten moet worden voldaan aan hetgeen vereist is krachtens artikel 8 van het EVRM, artikel 8 van het Handvest van de grondrechten van de Europese Unie, evenals aan Richtlijn 95/46/EG van het Europees parlement en de Raad van 24 oktober 1995, waarvan de Wbp een uitwerking vormt en aan artikel 10 van de Grondwet. Vereist is dat voor elke bij of krachtens wet opgelegde verplichting tot doorbreking van de medische geheimhoudingsplicht de noodzaak, proportionaliteit en subsidiariteit wordt aangetoond.

Toetsing aan het EVRM

Artikel 8 van het EVRM bepaalt dat een ieder recht heeft op respect voor zijn privéleven. Een inperking van dat recht moet ingevolge het tweede lid van dat artikel:

• bij de wet zijn voorzien;

  In casu is dit het geval, zie artikelen 87 Zvw, en 38, 61, 62 en 68 WMG en de daarop gebaseerde regelingen voor de formele en materiële controle. De verwerking van de zvzi voor zorginkoop is noodzakelijk voor de invulling van de zorgplicht van verzekeraars jegens zijn verzekerden, artikel 11 Zvw. De verplichtingen voor de risicoverevening vloeien voort uit Paragraaf 4.2 en de (jaarlijks vastgestelde) regeling over risicoverevening. Die wetten en regelingen zijn voor een ieder bekendgemaakt in het Staatsblad respectievelijk de Staatscourant;

• een in dat lid genoemd belang dienen;

  In casu is dit het geval, want het gaat hier om materiële controle, kwaliteitsverbetering en risicoverevening en derhalve om het economisch welzijn van Nederland,

  het voorkomen van strafbare feiten en bescherming van de rechten van verzekerden;

• en noodzakelijk zijn in een democratische samenleving, hetgeen inhoudt dat:

  • de inperking voorziet in een dringende maatschappelijke behoefte;

    In casu is dit het geval, want het gaat om de goede uitvoering van de zorgverzekeringsovereenkomst en van de Zvw;

  • de inperking geschikt is om het te dienen belang te realiseren;

    In casu is dit het geval, want met de formele en materiële controles kan worden nagegaan of aan de wettelijke eisen voor het verlenen van zorg ten laste van de basisverzekering wordt voldaan en verzekerden hebben gekregen waar zij recht op hebben en of de privaatrechtelijke afspraken tussen zorgaanbieder en zorgverzekeraar worden nageleefd; de verwerking van declaratiegegevens is ook noodzakelijk om de zorgverzekeraar ten behoeve van de nakoming van de wettelijke zorgplicht jegens de verzekerden met wie een verzekeringsovereenkomst is gesloten passende zorg in te kopen bij zorgaanbieders; de verwerking van declaratiegegevens voor de risicoverevening is noodzakelijk om de wettelijk verplichte zorgverzekering voor alle ingezetenen in het land in stand te houden;

  • en de inperking voldoet aan de eisen van subsidiariteit en proportionaliteit.

    In casu is dit het geval, want de in de onderhavige regeling opgenomen alternatieven zijn zorgvuldig afgewogen en de onderhavige regeling bevat een significante verbetering van de bescherming van de persoonlijke levenssfeer van de verzekerden ten opzichte van de eerdere regelgeving. Met betrekking tot de subsidiariteit en proportionaliteit zij verder verwezen naar de hiervoor in deze toelichting opgenomen paragraaf over de verkenning. Alle beoogde doelen waarvoor de verwerking van de zvzi noodzakelijk is, zijn met de gekozen oplossing te verwezenlijken.

In zijn advies inzake onderhavige regeling merkt het CBP op geen aanleiding te zien tot aanvulling van de reeds in het advies van 4 september 2013 gemaakte opmerkingen over de – gelet op artikel 8 EVRM – te onderbouwen noodzaak tot verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde zorgverzekeraars in de gelegenheid te stellen hun wettelijke taken uit te voeren²⁴.

Toetsing aan de Wbp

Naast het EVRM moet ook worden voldaan aan de Wbp.

VECOZO en Vektis worden krachtens wettelijk voorschrift belast met het uitvoeren van daarbij afgebakende specifieke taken – met bijbehorende bevoegdheden en verantwoordelijkheden – het gegeven zorgvraagzwaarte te verwerken voor de uitvoering van taken door zorgverzekeraars, zonder dat zorgverzekeraars over dat gegeven in een tot de persoon herleidbare vorm (hoeven te) kunnen beschikken. Met name voor Vektis geldt dat het daarbij gaat om bevoegdheden tot verwerking van het gegeven zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. Derhalve kan – in ieder geval voor wat betreft de verwerking van het gegeven zorgvraagzwaarte – volgens het CBP niet langer gesproken worden van verwerking van persoonsgegevens door Vektis als bewerker in de zin van de Wbp voor zorgverzekeraar(-s). Voor deze verwerking moet Vektis derhalve beschouwd worden als verantwoordelijke in de zin van artikel 1, onder d, van de Wbp. Datzelfde geldt voor de verwerking van de zvzi voor VECOZO. VECOZO en Vektis voeren de verwerkingen zelf uit en dragen ingevolge artikel 13 Wbp en artikel 7.2b, eerste lid, van deze regeling zorg voor passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen bij de verwerking van de zvzi, bedoeld in artikel 7.2a. Zie over de positie van VECOZO en Vektis in relatie met de Wbp ook hoofdstuk 8 over de verwerking van het CBP advies.

In het tweede lid van artikel 7.2a geeft de minister impliciet aan dat de verwerking van de zvzi door VECOZO qua timing parallel moet verlopen aan het declaratieproces. De verwerkingen voor zorgaanbieders en zorgverzekeraars door VECOZO in het kader van het declaratieproces is gebaseerd op privaatrechtelijke overeenkomsten met zorgaanbieders en voorliggende declaratieovereenkomsten (administratieovereenkomsten) tussen zorgaanbieders en verzekeraars.

De koppeling van de verwerking van de zvzi door VECOZO en Vektis aan de rechtmatige doelbinding als bedoeld in artikel 9 Wbp, komt tot uiting in artikel 7.2a Rzv waar in het zesde lid expliciet is beschreven dat de verwerking van de zvzi dient ten behoeve van daarbij aangegeven analyses en controles als bedoeld in de artikelen 7.6 tot en met 7.9 RZv met het oog op de formele en materiële controle door zorgverzekeraars en de doelen aangegeven in artikel 7.1, tweede lid, Rzv. In het tweede lid van artikel 7.2a is naast in vorige volzin bedoelde doelen, vastgelegd dat de zorgverzekeraar ook mag beschikken over de zvzi voor zover dat noodzakelijk is voor de zorgverzekeraar om te voldoen aan zijn verplichting om gegevens te leveren aan het Zorginstituut ten behoeve van de uitvoering van de Zvw.

In het achtste lid van artikel 7.2a wordt daar voor Vektis impliciet aan toegevoegd dat de verwerking geschiedt met het oog op de risicoverevening als bedoeld in artikel 34 Zvw. In de Regeling structurele aanlevering gegevens Zvw, gebaseerd op artikel 90 Zvw, worden zorgverzekeraars verplicht gegevens, waaronder persoonsgegevens te verstrekken aan het zorginstituut voor de uitvoering van de Zvw.

In de regeling worden VECOZO en Vektis door de minister verplicht werkzaam te zijn ten behoeve van een goede uitvoering van wettelijke voorschriften die ‘voorzien in aanspraken die afhankelijk zijn de gezondheidstoestand van de betrokkene’ (artikel 21, eerste lid, onder f, Wbp).

Het zorginstituut ontleent zijn bevoegdheid tot het ontsleutelen van de zvzi en het maken van analyses aan zijn taak inzake de risicoverevening, opgedragen bij en krachtens de Zvw (paragraaf 4.2). Op grond van artikel 88, eerste en tweede lid, jo 89 Zvw is Vektis verplicht op verzoek van het zorginstituut de sleutel voor de ontsleuteling van de zvzi aan dat instituut te leveren.

Artikel 7.2b bevat de noodzakelijke waarborgen voor de verwerking van het gegeven zorgvraagzwaarte.

In artikel 7.2b, eerste lid, wordt in navolging van artikel 13 Wbp aan VECOZO en Vektis opgedragen passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen bij de opgedragen verwerkingen en tegen verlies of tegen enige vorm van onrechtmatige verwerking. VECOZO en Vektis conformeren zich aan internationale normen. Die maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich brengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. VECOZO en Vektis worden regelmatig door een onafhankelijke instantie op de invulling van die normen gecontroleerd. Die controles zijn bruikbaar voor de toezichthouders. Op deze wijze wordt invulling gegeven aan artikel 13 Wbp.

In artikel 7.2b, vierde lid, wordt ook aan personen, werkzaam bij VECOZO en Vektis die niet op grond van hun ambt of beroep tot geheimhouding zijn verplicht een geheimhoudingsplicht opgelegd, behoudens enig wettelijk voorschrift hen tot mededeling verplicht. Daarmee kunnen ook zij de verwerkingen, bedoeld in artikel 7.2a, uitvoeren omdat zij aan het artikel 21, tweede lid, Wbp voldoen. Dat artikellid bepaalt ondermeer dat verwerking van bijzondere persoonsgegevens, waaronder medische persoonsgegevens, is voorbehouden aan personen die op grond van ambt, beroep of wettelijk voorschrift gehouden zijn tot geheimhouding van die persoonsgegevens.

In artikel 7.2b, vijfde lid, wordt uitdrukkelijk bepaald dat zorgverzekeraars niet mogen beschikken over de sleutel om de versleutelde zvzi te kunnen ontsleutelen.

In artikel 7.2b, zesde lid, is bepaald dat het gegeven zorgvraagzwaarte en de gegevens van de patiënt, die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi van de betreffende individuele patiënt, moeten worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar, indien op grond van analyse op basis van geaggregeerde gegevens, of naar aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. In het zesde lid van artikel 7.2b is – om ieder misverstand te voorkomen – opgenomen dat het bepaalde in de artikelen 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële controle door zorgverzekeraars onverkort van toepassing blijft. Daarmee wordt aangegeven dat de regels voor het uitvoeren van materiële controle van toepassing blijven.

In artikel 7.2b, zevende lid, is vastgelegd dat de zorgautoriteit na overleg met het veld in een declaratieregeling en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen tot zodanige maskeringen kan verplichten dat nog onderscheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie met en zonder privacyverklaring en bij papieren declaratie ook met en zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor verwerkingen van de zvzi ten behoeve van de zorginkoop, formele en materiële controle en de risicoverevening. De zorgautoriteit kan ook vaststellen dat de verplichting tot verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet van toepassing is. Deze waarborg wordt, net als die van het zesde lid van artikel 7.2b, in het vierde lid van artikel 7.2c Rzv van overeenkomstige toepassing verklaard voor de papieren declaratie. Daardoor wordt de privacyverklaring bij digitale en papieren declaratie gehandhaafd.

9. Verwerking advies CBP

De nieuwe wijze van aanlevering is in de vorm van een concept van onderhavige regeling voor advies voorgelegd aan het CBP. In die regeling was de alternatieve aanlevering die in de onderhavige regeling als hoofdregel is opgenomen als tijdelijk aangemerkt, in afwachting van een definitieve vormgeving van de aanlevering, die naar toenmalige verwachting in werking zou treden op 1 januari 2017. Die inwerkingtreding wordt thans voorzien op een later tijdstip en wordt in overleg met alle betrokken partijen nader bepaald. Het CBP op 15 september 2015 positief geadviseerd heeft over zowel de voorgenomen definitieve vormgeving als over de tijdelijke vormgeving van de aanlevering (kenmerk z2015-00360).

Het advies van het CBP over onderhavige regeling is als bijlage bij deze regeling gevoegd.

In dat advies maakt het CBP volgende opmerkingen. Bij deze opmerkingen wordt hierna aangegeven hoe deze in dit advies zijn verwerkt.

• Verplichting voor de zorgaanbieder om het gegeven zorgvraagzwaarte aan te leveren

  In het advies van 4 september 2013 is het CBP reeds ingegaan op de noodzaak voor zorgverzekeraars om ter uitvoering van hun taken te kunnen beschikken over persoonsgegevens, waaronder persoonsgegevens betreffende gezondheid, over verzekerden van wie de verleende, verzekerde zorg – in casu in de cGGZ – wordt gedeclareerd door zorgaanbieders en/of door de verzekerde zelf. In dat verband is ook de noodzaak onderkend van het uitbreiden van de verplichting voor zorgaanbieders in de cGGZ om persoonsgegevens aan te leveren bij de declaratie, met het gegeven zorgvraagzwaarte.

  In de onderhavige regeling blijft die verplichting voor de zorgaanbieder gehandhaafd, maar wordt voorzien in mogelijkheden tot gebruik van het gegeven zorgvraagzwaarte voor de taken van zorgverzekeraars, zonder dat daarvoor het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm, aan de zorgverzekeraar ter beschikking hoeft te komen.

  Het CBP constateert dat deze wijze van aanlevering en verwerking van het gegeven zorgvraagzwaarte in overleg tussen alle betrokken partijen (zorgaanbieders en zorgverzekeraars) is ontwikkeld en door alle betrokken partijen wordt onderschreven/geaccepteerd. Betrokken partijen merken deze werkwijze bovendien aan als een wijze van verwerking waarmee zo min mogelijk inbreuk wordt gemaakt op de persoonlijke levenssfeer van de verzekerde.

  Het CBP ziet geen aanleiding tot aanvulling van de reeds in het advies van 4 september 2013 gemaakte opmerkingen over de – gelet op artikel 8 EVRM – te onderbouwen noodzaak tot verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde zorgverzekeraars in de gelegenheid te stellen hun taken uit te voeren.

Uit de opmerking van het CBP wordt opgemaakt dat de noodzaak tot verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde zorgverzekeraars in de gelegenheid te stellen hun taken in het kader van de zorgverzekering en de Zorgverzekeringswet uit te voeren in de toelichting van de regeling mede met verwijzing naar de toelichting van de Regeling zorgvraagzwaarte cGGZ voldoende is onderbouwd.

• Bevoegdheden en verantwoordelijkheden van VECOZO BV en Vektis CV bij de verwerking van het gegeven zorgvraagzwaarte

  In de voorgestelde bepalingen wordt aan zowel VECOZO BV als Vektis CV een zodanige rol toebedeeld – met bijbehorende bevoegdheden en verantwoordelijkheden – dat het gegeven zorgvraagzwaarte kan worden verwerkt voor de uitvoering van taken door zorgverzekeraars, zonder dat zorgverzekeraars over dat gegeven in een tot de persoon herleidbare vorm (hoeven te) kunnen beschikken. Met name voor Vektis CV geldt dat het daarbij gaat om bevoegdheden tot verwerking van het gegeven zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. Derhalve kan – in ieder geval voor wat betreft de verwerking van het gegeven zorgvraagzwaarte – niet langer gesproken worden van verwerking van persoonsgegevens door Vektis CV als bewerker voor zorgverzekeraar(-s). Voor deze verwerking moet Vektis CV derhalve beschouwd worden als ‘verantwoordelijke in de zin van de Wbp’. Het CBP adviseert in de Nota van Toelichting op dit punt een met de Wbp overeenstemmende, verhelderende beschouwing op te nemen.

In hoofdstuk 8 is het advies van CBP opgevolgd. Daarbij zij onderschreven dat het in deze regeling om een bijzondere constructie gaat waarbij – naar het lijkt – in de Wbp niet expliciet is rekening gehouden. De Wbp gaat in de beschrijving van de verhouding tussen verantwoordelijke en bewerker uit van de gedachte dat de verantwoordelijke ook zelf bevoegd is persoonsgegevens, waaronder bijzondere persoonsgegevens als bedoeld in die wet, te verwerken en dat de verantwoordelijke de opdracht kan verstrekken aan de bewerker tot het doen van die verwerking. In het onderhavige geval is de minister opdrachtgever van de verwerkingen door VECOZO en Vektis. De minister heeft echter zelf niet de bevoegdheid tot verwerking van de zvzi. Gevolg is dat de minister volgens het CBP niet kan worden gezien als een verantwoordelijke in de zin van de Wbp. Een bewerker in de zin van de Wbp is degene die opdracht krijgt van de verantwoordelijke. Daar in casu de opdrachtgever geen verantwoordelijke kan zijn, lijkt het CBP VECOZO en Vektis, op grond van de hun in de onderhavige regeling exclusief opgedragen taken, (min of meer noodgedwongen) te zien als verantwoordelijke in de zin van de Wbp. Daarmee zijn de rechten en plichten die op grond van de Wbp voortvloeien uit die positie van verantwoordelijke van (overeenkomstige) toepassing voor VECOZO en Vektis.

• Materiële controle door zorgverzekeraars en het gegeven zorgvraagzwaarte

  In de Nota van Toelichting wordt opgemerkt dat met de voorgestelde bepalingen niet wordt uitgesloten dat, in het kader van materiële controle, de (medisch adviseur van de) zorgverzekeraar over het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm mag komen te beschikken. De in artt. 7.2a t/m 7.2c Rzv op te nemen regeling inzake de zorgvraagzwaarte laat derhalve het bepaalde in artt. 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële controle door zorgverzekeraars onverlet. Het CBP wijst er – voor de goede orde – op dat het uitvoeren van detailcontroles door zorgverzekeraars in het kader van materiële controle aan strikte voorwaarden is gebonden. Met het opvragen van het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm in het kader van materiële controle in de cGGZ, dient derhalve de grootste mogelijke terughoudendheid te worden betracht. Het CBP adviseert de relevante passages in de Nota van Toelichting in deze zin verder aan te scherpen.

Het CBP wijst er terecht op dat ook in geval alsnog op grond van signalen onder verantwoordelijkheid van de medisch adviseur stappen worden gezet met betrekking tot materiële controle die er toe leiden dat de zorgverzekeraar beschikt over de zvzi, dit alleen geoorloofd is als die stappen zijn gezet conform de artikelen 7.5 tot en met 7.11 RZV inzake de uitvoering van materiële controle. In navolging van het advies van het CBP is derhalve in het zesde lid van artikel 7.2b – om ieder misverstand te voorkomen – opgenomen dat het bepaalde in de artikelen 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële controle door zorgverzekeraars onverkort van toepassing blijft.

• Privacyverklaring en het gegeven zorgvraagzwaarte

  In de MvT wordt aangegeven dat met ingang van 2017 er geen technische noodzaak meer zou zijn om de regeling van de NZa inzake de privacyverklaring nog van toepassing te laten zijn op het gegeven zorgvraagzwaarte dat met de declaratie moet worden aangeleverd. Het CBP adviseert een en ander in de Nota van Toelichting nader te onderbouwen, nu er weliswaar geen sprake meer is van het – in tot het individu herleidbare vorm – ter beschikking komen van het gegeven zorgvraagzwaarte bij zorgverzekeraars, maar dit gegeven wel in herleidbare vorm ter beschikking komt van andere ‘derden’. Het CBP adviseert derhalve om met name aandacht te besteden aan de vraag of de bescherming van de persoonlijke levenssfeer van cGGZ- patiënten waarin de privacyverklaring beoogd te voorzien, uitsluitend betrekking heeft op de verwerking door zorgverzekeraars of zich ook tot de verwerking door elke andere ‘derden’ zou moeten uitstrekken.

Gelet op het advies van het CBP is er voor gekozen om het systeem van privacyverklaringen zowel bij de papieren declaratie als bij de declaratie met tussenkomst van VECOZO te handhaven. Dat heeft er toe geleid dat het derde lid van artikel 7.2 Rzv is verplaatst naar artikel 7.2b, zevende lid, dat expliciet over de waarborgen bij de aanlevering van de zvzi gaat. De zorgautoriteit kan in een declaratieregeling en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen dat de verplichting tot verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet van toepassing is. Deze waarborg wordt, net als die van het zesde lid van artikel 7.2b, in het vierde lid van artikel 7.2c Rzv van overeenkomstige toepassing verklaard voor de papieren declaratie.

Met de aangegeven verwerking is op passende wijze aandacht besteed aan het advies van het CBP.

10. Fraudetoets

In het fraudedebat in mei 2013 in de Tweede Kamer der Staten-Generaal is toegezegd alle nieuwe wet- en regelgeving en grote wijzigingen in bekostigingssystemen te toetsen op fraudegevoeligheid. Daartoe is een vragenlijst ontwikkeld. Op de eerste vraag of definities eenduidig interpreteerbaar, helder en duidelijk afgebakend zijn kan, voor zo ver van toepassing positief worden geantwoord. De tweede vraag behelst de vraag welke fraudemogelijkheden de voorliggende ontwerpregelgeving biedt. Nu het antwoord luidt dat de regeling op zich geen fraudemogelijkheden biedt, kan het beantwoorden van verdere vragen uit de toets achterwege blijven.

Artikelsgewijze toelichting

Artikel I, onderdeel A

De eerste wijziging betreft de aanpassing van de definitie van het rapport zorgvraagzwaarte welke definitie tot doel heeft het begrip zorgvraagzwaarte nader in te vullen. De huidige definitie verwijst nu naar het rapport Zorgvraagzwaarte 1.0. Op 29 oktober 2015 is een tweede rapportversie vastgesteld waarin de inhoud van het begrip zorgvraagzwaarte verder is ontwikkeld. Bij de verwerkingen bedoeld in deze regeling moet van het laatst algemeen aanvaarde rapport over zorgvraagzwaarte worden uitgegaan. Een voorbeeld van het dynamisch karakter is dat de uitzondering die in het eerste rapport is gemaakt voor de zvzi bij persoonlijkheidsstoornissen in de het tweede rapport niet meer wordt gemaakt. Dat betekent dat de grond voor de huidige uitzondering die gebaseerd is op het eerste rapport met betrekking tot zorgvraagzwaarte is vervallen. Ook bij persoonlijkheidsstoornissen moet de zvzi worden aangeleverd.

De verdere ontwikkeling van de invulling van het begrip zorgvraagzwaarte sluit aan bij de een van de doelen van de aanlevering van de zvzi, namelijk het maken van geaggregeerde analyses voor de (koepels van) GGZ-patiënten, zorgprofessionals, instellingen en zorgverzekeraars, om zodoende een ‘lerende omgeving’ te vormen waarin de zvzi wordt doorontwikkeld.

Artikel I, onderdeel B

Het tweede lid van artikel 7.2 wordt verplaatst naar artikel 7.2a Rzv. Dat lid wijst erop dat de verplichting de zvzi te leveren slechts van toepassing is indien de zorgautoriteit dat in een declaratieregel heeft bepaald.

Het derde lid van artikel 7.2 wordt verplaatst naar artikel 7.2b, zevende lid, Rzv. Dat lid verwijst naar de opt/out-regeling annex privacyverklaring die de zorgautoriteit heeft opgenomen in de (nadere) regeling met betrekking tot de gespecialiseerde ggz, waarbij de privacyverklaring een mogelijkheid geeft tot uitzondering op de verplichte aanlevering van het gegeven zorgvraagzwaarte.

In het vierde lid van artikel 7.2. wordt de verplichting tot het verstrekken van de zorgvraagzwaarte op de declaratie op grond van een declaratieregeling als bedoeld in het tweede lid tot en met 31 december 2015 opgeschort en het vierde lid van artikel 7.2 kan dus met ingang van 1 januari 2016 vervallen. Omdat er in artikel 7.2 dan nog slechts een lid resteert vervalt ook de nummering van de leden in artikel 7.2 Rzv.

Artikel I, onderdeel C

In dit artikelonderdeel worden drie artikelen toegevoegd met betrekking tot de verwerking van het gegeven zorgvraagzwaarte. Artikel 7.2a Rzv gaat uit van de situatie met maskering door VECOZO. Artikel 7.2b Rzv vestigt de waarborgen voor een zorgvuldige verwerking van de zvzi met technische standaarden en beveiligingseisen als bedoeld in het zesde lid van artikel 87 Zvw.

Artikel 7.2c Rzv gaat uit van de situatie waarbij er op papier wordt gedeclareerd.

Bij de formulering van de artikelen 7.2a tot en met 7.2c Rzv is gebruik gemaakt van de mogelijkheden die het derde, vijfde en zesde lid van artikel 87 Zvw bieden in combinatie met de mogelijkheden die de zorgautoriteit heeft op basis van de artikelen 38, 61, 62 en 68 WMG. Met name is gebruik gemaakt van de onderdelen b tot en met e, van het zesde lid van artikel 87 Zvw, dat de mogelijkheid biedt om regels te stellen over de wijze waarop gegevens worden verwerkt, volgens welke instructies en technische standaarden de beoogde gegevensverwerking plaats moet vinden, aan welke beveiligingseisen gegevensverwerking moet voldoen en in welke gevallen gegevens verder worden verwerkt met het oog op de uitvoering van zorgverzekering en aanvullende verzekering en in welke gevallen gegevens noodzakelijk zijn voor de betaling aan een zorgaanbieder of vergoeding van zorgkosten aan een verzekerde dan wel het verrichten van controle of fraudeonderzoek.

Daarbij wordt aangesloten bij het ruime begrip ‘verwerken’ zoals dat in de Wbp is gehanteerd. In artikel 1, onderdeel b, Wbp wordt onder verwerking van persoonsgegevens verstaan: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. De term ‘in ieder geval’ brengt met zich dat ook het maskeren, versleutelen en ontsleutelen van gegevens tot het verwerken van gegevens mag worden gerekend. Het verwerken bedoeld in artikel 87, zesde lid, Zvw heeft betrekking op alle gegevens, waaronder persoonsgegevens betreffende de gezondheid als bedoeld in de Wbp.

Het eerste lid van artikel 7.2a Rzv beperkt de reikwijdte van het artikel tot de situatie waarbij via VECOZO wordt gedeclareerd.

Het tweede lid van artikel 7.2a verwijst naar een declaratieregeling op grond van artikel 38 van de WMG die door de zorgautoriteit wordt vastgesteld. Het is noodzakelijk dat het gegeven zorgvraagzwaarte deel uitmaakt van de declaratiegegevens die digitaal door de zorgaanbieder worden aangeleverd aan VECOZO vanwege het verder te volgen proces, waarbij na maskering de zorgverzekeraar enkel kan zien dat het gegeven correct is aangeleverd, doch niet kan zien wat de aangeleverde zorgvraagzwaarte van de individuele verzekerde is. In dat lid wordt ook verwezen naar de doelen waarvoor de zvzi mag worden gebruikt.

In het derde lid van artikel 7.2a wordt bepaald dat de aanlevering van de declaratiegegevens aan de zorgverzekeraar met tussenkomst van VECOZO loopt, waarbij wordt verwezen naar de declaratieregel van de zorgautoriteit.

Het vierde lid van artikel 7.2a bepaalt dat VECOZO het gegeven zorgvraagzwaarte maskeert alvorens VECOZO dat gemaskeerde gegeven aan de zorgverzekeraar verstrekt.

Het vijfde lid bepaalt dat de zorgverzekeraar de door de zorgaanbieder verstrekte declaratiegegevens van VECOZO ontvangt. Omdat de afspraak met alle betrokken partijen is gemaakt dat het gegeven zorgvraagzwaarte eerst door de ‘Trusted Third Party’ Vektis in analyses wordt verwerkt die zorgverzekeraars gaan gebruiken voor controles, wordt het gegeven zorgvraagzwaarte van de verzekerde door VECOZO gemaskeerd en zo aan de zorgverzekeraar aangeleverd en beschikt de zorgverzekeraar ook niet over de mogelijkheid om de maskering van het gegeven zorgvraagzwaarte ongedaan te maken.

In het zesde lid wordt geregeld dat de zorgverzekeraar de declaratiegegevens, waaronder het gemaskeerde gegeven zorgvraagzwaarte, aan Vektis verstrekt. Vektis maakt op basis van de aangeleverde gegevens analyses voor zorgaanbieders en zorgverzekeraars die noodzakelijk zijn voor de uitvoering van de zorgverzekering of de Zvw en ten behoeve van het verrichten van controle of fraudeonderzoek. Vektis ontvangt daartoe van VECOZO het ongemaskeerde gegeven zorgvraagzwaarte (lid 7).

Vektis verstrekt op verzoek van een zorgverzekeraar aan deze ook het gegeven zorgvraagzwaarte van zijn verzekerden, nadat Vektis het gegeven heeft versleuteld. Zorgverzekeraars kunnen daarmee voldoen aan de verplichting die gegevens aan te leveren aan het zorginstituut ten behoeve van de uitvoering van de risicoverevening (lid 8).

In de leden 9 en 10 is de routing van de aanlevering van het gegeven zorgvraagzwaarte aan het Zorginstituut opgenomen. De zorgverzekeraar verstrekt op verzoek van het zorginstituut de door Vektis versleutelde zorgvraagzwaartegegevens. Vektis verstrekt op verzoek van het zorginstituut de sleutel om de zorgvraagzwaarte te ontsleutelen. Na ontsleuteling kan het zorginstituut de gegevens verwerken ten behoeve van de uitvoering van de risicoverevening. De bevoegdheid van het zorginstituut tot het doen van de verzoeken en de plicht tot medewerking van de Vektis en verzekeraars aan die verzoeken is gegrond op artikel 88, eerste en tweede lid, jo 89 Zvw.

In artikel 7.2b zijn de voor alle betrokken partijen belangrijke waarborgen opgenomen bij de verwerking van de zvzi. In het eerste lid worden VECOZO en Vektis opgedragen passende technische en organisatorische maatregelen te nemen ter bescherming van de persoonsgegevens bij de verwerkingen als bedoeld in artikel 7.2a. Zoals reeds in het algemeen deel van de toelichting is gemeld, worden de getroffen maatregelen periodiek geaudit door een onafhankelijke instantie.

Ter bescherming van persoonsgegevens van verzekerde patiënten is in het tweede lid van artikel 7.2b bepaald dat de door Vektis aan zorgaanbieders en zorgverzekeraars te verstrekken rapportages geen tot individuele verzekerden te herleiden gegevens bevatten. Met de bepaling dat ook de zorgverzekeraars niet over de tot individuele verzekerden te herleiden zorgvraagzwaarte beschikken, wordt een ongewenste inbreuk op de bescherming van persoonsgegevens voorkomen, conform het doel van deze regeling.

Nu het nieuwe artikel 7.2b een specialis is van artikel 7.3 voor wat betreft de aanwijzing van bewerkers, omdat in het nieuwe artikel de bewerkers VECOZO en Vektis voor een specifieke bewerking zijn aangewezen, is het wenselijk overeenkomstig het derde lid van artikel 7.3 te bepalen dat ook VECOZO en Vektis zijn gebonden aan dezelfde wettelijke voorschriften inzake geheimhouding als de zorgverzekeraars. Dat is gebeurd in het derde lid.

In het verlengde van het derde lid is in het vierde lid van artikel 7.2b een overeenkomstige bepaling als het vijfde lid van artikel 87 Zvw opgenomen voor het personeel van VECOZO en Vektis. Personen werkzaam bij of ten behoeve van VECOZO en Vektis voor wie niet reeds uit hoofde van ambt of beroep een geheimhoudingplicht geldt, zijn verplicht tot geheimhouding van de gegevens die zij op grond van artikel 7.2a verwerken, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht. Daarmee kunnen ook zij de verwerkingen, bedoeld in artikel 7.2a, uitvoeren omdat zij aan het artikel 21, tweede lid, Wbp voldoen. Dat artikellid in de Wbp bepaalt onder meer dat verwerking van bijzondere persoonsgegevens, waaronder medische persoonsgegevens, is voorbehouden aan personen die op grond van ambt, beroep of wettelijk voorschrift gehouden zijn tot geheimhouding van die persoonsgegevens.

In het vijfde lid wordt uitdrukkelijk bepaald dat zorgverzekeraars niet mogen beschikken over de sleutel om de versleutelde zvzi te kunnen ontsleutelen.

In artikel 7, zesde lid, is bepaald dat het gegeven zorgvraagzwaarte en de gegevens van de patiënt, die noodzakelijk zijn voor het onderbouwen en afleiden van de zvzi van de betreffende individuele patiënt, moeten worden verwerkt onder verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar, indien op grond van analyse op basis van geaggregeerde gegevens, of naar aanleiding van een ander signaal, er reden is voor het instellen van (nadere) materiële controle. In het zesde lid van artikel 7.2b is – om ieder misverstand te voorkomen – opgenomen dat het bepaalde in de artikelen 7.5 t/m 7.11 Rzv inzake de uitvoering van materiële controle door zorgverzekeraars onverkort van toepassing blijft. Daarmee wordt aangegeven dat de regels voor het uitvoeren van materiële controle van toepassing blijven.

In artikel 7.2b, zevende lid, is vastgelegd dat de zorgautoriteit na overleg met het veld in een declaratieregeling en onder daarbij te stellen voorwaarden, voorschriften of beperkingen, bepalen tot zodanige maskeringen kan verplichten dat nog onderscheid kan worden gemaakt naar maskering van zvzi bij digitale declaratie met en zonder privacyverklaring en bij papieren declaratie ook met en zonder privacyverklaring. Het onderscheid in maskering kan noodzakelijk zijn voor verwerkingen van de zvzi ten behoeve van de zorginkoop, formele en materiële controle en de risicoverevening. De zorgautoriteit kan ook vaststellen dat de verplichting tot verstrekken van het gegeven zorgvraagzwaarte bij uitzondering niet van toepassing is. Deze waarborg wordt, net als die van het zesde lid van artikel 7.2b, in het vierde lid van artikel 7.2c van overeenkomstige toepassing verklaard voor de papieren declaratie. Daardoor wordt de privacyverklaring bij digitale en papieren declaratie gehandhaafd.

In artikel 7.2c wordt de procedure aangegeven die moet worden gevolgd indien de verzekerde of de zorgaanbieder namens de verzekerde de kosten van gespecialiseerde geestelijke gezondheidszorg zonder tussenkomst van VECOZO in rekening brengt bij diens zorgverzekeraar. In dat geval beschikt de verzekeraar niet over het gegeven zorgvraagzwaarte. De zorgautoriteit kan hier nadere regels bij stellen, bijvoorbeeld door te verplichten dat de zvzi op de declaratie wordt gemaskeerd en te regelen hoe dat moet plaatsvinden. Het vierde lid van artikel 7.2c bepaalt dat het zesde en zevende lid van artikel 7.2b Rzv van overeenkomstige toepassing zijn voor papieren declaraties.

Artikel I, onderdelen D en E

Het nieuwe artikel 7.2a is een specialis van artikel 7.3 Rzv voor wat betreft de aanwijzing van verwerkers van de zvzi. In dat nieuwe artikel zijn VECOZO en Vektis exclusief²⁵, als TTP, voor een specifieke bewerking van de zvzi aangewezen. Zonder nadere wijziging van artikel 7.3 zou er strijd ontstaan met de verplichte aanlevering die in dat artikel is opgenomen. Daarin is namelijk opgenomen dat declaratiegegevens aan een zorgverzekeraar of een door deze aan te wijzen persoon moeten worden verstrekt. Om af te kunnen wijken van artikel 7.3 moet voor die algemene verplichting een uitzondering worden gemaakt. Derhalve wordt aan het eerste lid toegevoegd: , indien bij of krachtens deze regeling anders is bepaald. Die wijziging voorziet erin dat de artikel 7.2a voorgaat op artikel 7.3 van de Rzv.

In de overige onderdelen worden de verwijzingen in die regeling gecorrigeerd die noodzakelijk zijn na inwerkingtreding van deze regeling.

Artikel II

Dit artikel vervangt Artikel II van de Regeling verlenging tijdelijke opschorting zorgvraagzwaarte cGGZ (Staatscourant 2015, nr. 6779).

Het tweede lid van Artikel II regelt dat na afloop van de opschorting de betreffende zvzi-en alsnog moeten worden afgeleid en aangeleverd mits dat op een door de zorgautoriteit te bepalen wijze op grond van de WMG in een regeling is vastgelegd. Het is niet de bedoeling de declaraties over de jaren 2014 en 2015 opnieuw in te laten dienen en opnieuw te laten beoordelen door verzekeraars, aangezien dat een te grote administratieve belasting van zorgaanbieders en verzekeraars zou betekenen. Over de wijze van aanlevering zal met betrokkenen worden overlegd.

Artikel III

Dit artikel bevat in het eerste lid het overgangsrecht voor de zorgaanbieders die de zvzi reeds vóór 2 oktober 2014²⁶ hebben verstrekt op de factuur. Voor hen moet er een wettelijke grondslag blijven voor het feit dat zij daarmee hun beroepsgeheim hebben doorbroken en hun geheimhoudingsplicht is opgeheven.

In het tweede lid is ook voorzien in een wettelijke grondslag voor zorgaanbieders die een zvzi via VECOZO aanleveren die behoort bij een geopende dbc, voordat de verplichting in werking treedt om de alternatieve aanlevering te gebruiken. De vrijwaring heeft als doel om de administratieve last bij de zorgaanbieder te beperken door het voorkomen van onnodige afkeur van declaraties op basis van ingangsdatum. De zorgverzekeraar heeft daarmee ook een vrijwaring voor de ontvangst van de aangeleverde data over dbc’s geopend vóór 2016. Dit wil zeggen dat de data gebruikt mogen worden voor de formele en materiële controle. Deze zvzi’s worden niet aangeleverd voor de risicoverevening, omdat ze niet worden opgenomen in de declaratiebestanden van verzekeraars met betrekking tot het jaar 2016.

Artikel IV

Dit artikel bevat de inwerkingtreding van de regeling en verleent aan de relevante onderdelen van de artikelen van de regeling terugwerkende kracht tot en met 1 januari 2014, zodat de aanlevering van zorgvraagzwaartegegevens die ingevolge de opschorting van levering op de factuur nog niet zijn aangeleverd, alsnog verplicht kan worden gesteld op de wijze die de zorgautoriteit in een regeling op grond van de WMG bepaalt.

Artikel V

Aan de regeling is een citeertitel toegekend, omdat naar verwachting veel naar de onderhavige regeling zal worden verwerven.

De Minister van Volksgezondheid, Welzijn en Sport, E.I. Schippers

BIJLAGE

Geachte mevrouw Schippers,

Bij brief d.d. 17 juli 2015 heeft u het College bescherming persoonsgegevens (CBP) om advies gevraagd over een wijziging van de Regeling zorgverzekering in verband met de versleutelde aanlevering van de zorgvraagzwaarteindicator aan zorgverzekeraars. Over de aanlevering van zorgvraagzwaartegegevens aan zorgverzekeraars is door het CBP op 4 september 2013 reeds eerder advies uitgebracht (z2013-00498). Met deze brief voldoet het CBP aan uw verzoek.

Hoofdlijnen van de regeling

Aan de Regeling zorgverzekering wordt een drietal nieuwe artikelen toegevoegd (artikelen 7.2a, 7.2b en 7.2c). In artikel 7.2a wordt geregeld dat de zorgaanbieder bij de declaratie het gegeven zorgvraagzwaarte verstrekt via VECOZO BV aan de zorgverzekeraar. VECOZO BV zorgt daarbij voor de versleuteling van het gegeven zorgvraagzwaarte voordat dat gegeven met de overige declaratiegegevens aan de zorgverzekeraar wordt verstrekt. Ook verstrekt VECOZO BV de declaratiegegevens en het versleutelde gegeven zorgvraagzwaarte aan Vektis CV. Ten behoeve van het maken van analyses voor zorgaanbieders en zorgverzekeraars, noodzakelijk voor de uitvoering van de zorgverzekering of de Zorgverzekeringswet en ten behoeve van het verrichten van controle of fraudeonderzoek, verkrijgt Vektis CV van VECOZO BV ook de sleutel waarmee het gegeven zorgvraagzwaarte kan worden ontsleuteld. In artikel 7.2c is een regeling opgenomen voor het geval de declaratie bij de zorgverzekeraar zonder tussenkomst van VECOZO BV plaatsvindt. In artikel 7.2b wordt aan VECOZO BV en Vektis CV een aantal verplichtingen opgelegd, onder andere een plicht tot beveiliging van persoonsgegevens en geheimhouding van die gegevens.

Beoordeling

• Verplichting voor de zorgaanbieder om het gegeven zorgvraagzwaarte aan te leveren

In het advies van 4 september 2013 is het CBP reeds ingegaan op de noodzaak voor zorgverzekeraars om ter uitvoering van hun taken te kunnen beschikken over persoonsgegevens, waaronder persoonsgegevens betreffende gezondheid, over verzekerden van wie de verleende, verzekerde zorg – in casu in de cGGZ – wordt gedeclareerd door zorgaanbieders en/of door de verzekerde zelf. In dat verband is ook de noodzaak onderkend van het uitbreiden van de verplichting voor zorgaanbieders in de cGGZ om persoonsgegevens aan te leveren bij de declaratie, met het gegeven zorgvraagzwaarte.

In de onderhavige regeling blijft die verplichting voor de zorgaanbieder gehandhaafd, maar wordt voorzien in mogelijkheden tot gebruik van het gegeven zorgvraagzwaarte voor de taken van zorgverzekeraars, zonder dat daarvoor het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm, aan de zorgverzekeraar ter beschikking hoeft te komen.

Het CBP constateert dat deze wijze van aanlevering en verwerking van het gegeven zorgvraagzwaarte in overleg tussen alle betrokken partijen (zorgaanbieders en zorgverzekeraars) is ontwikkeld en door alle betrokken partijen wordt onderschreven/geaccepteerd. Betrokken partijen merken deze werkwijze bovendien aan als een wijze van verwerking waarmee zo min mogelijk inbreuk wordt gemaakt op de persoonlijke levenssfeer van de verzekerde.

Het CBP ziet geen aanleiding tot aanvulling van de reeds in het advies van 4 september 2013 gemaakte opmerkingen over de – gelet op artikel 8 EVRM – te onderbouwen noodzaak tot verplichting van de zorgaanbieders om het gegeven zorgvraagzwaarte aan te leveren teneinde zorgverzekeraars in de gelegenheid te stellen hun taken uit te voeren.

• Bevoegdheden en verantwoordelijkheden van VECOZO BV en Vektis CV bij de verwerking van het gegeven zorgvraagzwaarte

In de voorgestelde bepalingen wordt aan zowel VECOZO BV als Vektis CV een zodanige rol toebedeeld – met bijbehorende bevoegdheden en verantwoordelijkheden – dat het gegeven zorgvraagzwaarte kan worden verwerkt voor de uitvoering van taken door zorgverzekeraars, zonder dat zorgverzekeraars over dat gegeven in een tot de persoon herleidbare vorm (hoeven te) kunnen beschikken. Met name voor Vektis CV geldt dat het daarbij gaat om bevoegdheden tot verwerking van het gegeven zorgvraagzwaarte, die niet (meer) berusten bij zorgverzekeraars zelf. Derhalve kan – in ieder geval voor wat betreft de verwerking van het gegeven zorgvraagzwaarte – niet langer gesproken worden van verwerking van persoonsgegevens door Vektis CV als bewerker voor zorgverzekeraar(-s). Voor deze verwerking moet Vektis CV derhalve beschouwd worden als ‘verantwoordelijke in de zin van de Wbp’.

Het CBP adviseert in de Nota van Toelichting op dit punt een met de Wbp overeenstemmende, verhelderende beschouwing op te nemen.

• Materiële controle door zorgverzekeraars en het gegeven zorgvraagzwaarte

In de Nota van Toelichting wordt opgemerkt dat met de voorgestelde bepalingen niet wordt uitgesloten dat, in het kader van materiele controle, de (medisch adviseur van de) zorgverzekeraar over het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm mag komen te beschikken. De in artt. 7.2a t/m 7.2c Rzv op te nemen regeling inzake de zorgvraagzwaarte laat derhalve het bepaalde in artt. 7.5 t/m 7.11 Rzv inzake de uitvoering van materiele controle door zorgverzekeraars onverlet. Het CBP wijst er – voor de goede orde – op dat het uitvoeren van detailcontroles door zorgverzekeraars in het kader van materiële controle aan strikte voorwaarden is gebonden. Met het opvragen van het gegeven zorgvraagzwaarte in tot de persoon herleidbare vorm in het kader van materiele controle in de cGGZ, dient derhalve de grootste mogelijke terughoudendheid te worden betracht.

Het CBP adviseert de relevante passages in de Nota van Toelichting in deze zin verder aan te scherpen.

• Privacyverklaring en het gegeven zorgvraagzwaarte

In de MvT wordt aangegeven dat met ingang van 2017 er geen technische noodzaak meer zou zijn om de regeling van de NZa inzake de privacyverklaring nog van toepassing te laten zijn op het gegeven zorgvraagzwaarte dat met de declaratie moet worden aangeleverd.

Het CBP adviseert een en ander in de Nota van Toelichting nader te onderbouwen, nu er weliswaar geen sprake meer is van het – in tot het individu herleidbare vorm – ter beschikking komen van het gegeven zorgvraagzwaarte bij zorgverzekeraars, maar dit gegeven wel in herleidbare vorm ter beschikking komt van andere ‘derden’. Het CBP adviseert derhalve om met name aandacht te besteden aan de vraag of de bescherming van de persoonlijke levenssfeer van cGGZ- patiënten waarin de privacyverklaring beoogd te voorzien, uitsluitend betrekking heeft op de verwerking door zorgverzekeraars of zich ook tot de verwerking door elke andere ‘derden’ zou moeten uitstrekken.

Advies

Het CBP adviseert u aan het vorenstaande op passende wijze aandacht te besteden.

---

1 Stcrt. 2013, nr. 30961

2 In de artikelen van de onderhavige regeling wordt het begrip ‘het gegeven zorgvraagzwaarte’ gebruikt. Omdat dat gegeven tot nu toe alleen in de vorm van een zorgvraagzwaarteindicator wordt gebruikt, wordt in deze toelichting veelal het begrip zorgvraagzwaarteindicator gebezigd, afgekort tot zvzi

3 Een tweede rapport over zorgvraagzwaarte is vastgesteld; de definitie in de Rzv wordt aangepast

4 Zie toelichting bij de Regeling zorgvraagzwaarte cGGZ

4 Bijlage bij Kamerstukken II, 2013/14, 25 424, nr. 229

6 Stcrt. 2014, nr. 27276

7 Stcrt. 2015, nr. 6779

8 Kamerstukken II 2014/15, 25 424, nr. 259

9 Onder maskeren wordt verstaan het zodanig wijzigen van een specifiek kenmerk dat dit onherkenbaar wordt en dat specifieke kenmerk niet meer herkenbaar gemaakt kan worden.

10 Advies CBP, 15 september 2015, kenmerk z2015-00360

11 In deze vertegenwoordigd door: het Landelijk Platform GGZ (LPGGZ),de Landelijke Vereniging van Vrijgevestigde Psychologen en Psychotherapeuten (LVVP), de Nederlandse Vereniging voor de Psychiatrie (NVvP), het Nederlands Instituut voor Psychologen (NIP), GGZ Nederland en Zorgverzekeraars Nederland.

12 Betrokken partijen hebben volgende afspraken gemaakt over de verwerking van de zvz. In het plan van eisen, zoals dat gezamenlijk voor de onderhavige regeling is vastgesteld, staat daarover het volgende:

c. In een door een bestuurlijk overleg vastgestelde tekst worden zorgvuldigheidswaarborgen neergelegd, waaronder dat het gebruik van het gegeven zorgvraagzwaarte alleen gebeurt op groepen van voldoende omvang (nader te bepalen). Daarbij wordt geregeld dat als een aanbieder minder patiënten in een kalenderjaar behandelt dan dat minimum aantal, die aanbieder niet identificeerbaar is in het record/overzicht. De in het bestuurlijk overleg vastgestelde tekst zal worden opgenomen in een uniforme maatregel bij de Gedragscode goed verzekeraarschap;

d. De zorgverzekeraar garandeert dat de zorgvraagzwaartegegevens door de verzekeraar uitsluitend worden gebruikt voor risicoanalyse in het materiële controleproces en bij zorginkoop, conform door een bestuurlijk overleg vastgestelde tekst die kan dienen voor een uniforme maatregel bij de Gedragscode goed verzekeraarschap;

13 VECOZO fungeert hier enkel als zorgportal/‘doorgever’, er vindt geen bewerking plaats

14 Deze analyses kunnen als onderdeel van kwaliteitsbeleid ook met de zorgaanbieders gezamenlijk worden besproken.

15 VECOZO fungeert hier enkel als zorgportal/‘doorgever’, er vindt geen bewerking plaats

16 Dit is de dag waarop de oorspronkelijke verplichting om de zvzi op de ggz-factuur te vermelden is opgeschort. Zie Stcrt. 2014, nr. 27276.

17 De NZa kan in een regeling op grond van de WMG de wijze van aanlevering van de zvzi over 2014 en 2015 vaststellen

18 De wettelijke (WBP) uitzonderingsgrond dat dit nodig is voor de behandeling van de patiënt of dat er sprake is van de uitvoering van een overeenkomst, is niet van toepassing op de drie verwerkingen; een en ander overlaten aan het toestemmingsvereiste van de patiënt is een te grote administratieve belasting voor de zorgaanbieder en te grote onzekerheid voor de verzekeraar; blijft over de wettelijke uitzonderingsgrond dat een wettelijke regeling een verplichting oplegt.

19 Dit is de dag waarop de oorspronkelijke verplichting om de zvzi op de ggz-factuur te vermelden is opgeschort. Zie Stcrt. 2014, nr. 27276.

20 Artikel 1, onderdeel t, Regeling zorgverzekering definieert formele controle: een onderzoek waarbij de zorgverzekeraar nagaat of het tarief dat door een zorgaanbieder voor een prestatie in rekening is gebracht:

• 1°. een prestatie betreft, welke is geleverd aan een bij die zorgverzekeraar verzekerde persoon;

• 2°. een prestatie betreft, welke behoort tot het verzekerde pakket van die persoon,

• 3°. een prestatie betreft, tot levering waarvan de zorgaanbieder bevoegd is, en

• 4°. het tarief betreft, dat voor die prestatie krachtens de Wet marktordening gezondheidszorg is vastgesteld of een tarief is dat voor die prestatie met de zorgaanbieder is overeengekomen.

21 Artikel 1, onderdeel u, Regeling zorgverzekering definieert materiële controle: een onderzoek waarbij de zorgverzekeraar nagaat of de door de zorgaanbieder in rekening gebrachte prestatie is geleverd en die geleverde prestatie het meest was aangewezen gezien de gezondheidstoestand van de verzekerde.

22 ex artikel 88 Wet op de beroepen in de individuele gezondheidszorg juncto artikel 7:457 Burgerlijk Wetboek

23 ex artikel 7:457 BW

24 Advies van 15 september 2015, kenmerk z2015-00360; als bijlage bij de toelichting gevoegd

25 De in deze regeling opgenomen exclusiviteit bewerkstelligd dat VECOZO en Vektis in navolging van het advies van het CBP als verantwoordelijke in de zin van de Wbp worden beschouwd. Zie daarvoor ook de hoofdstukken 7,8 en 9 van het algemeen deel van de toelichting

26 Dit is de dag waarop de oorspronkelijke verplichting om de zvzi op de ggz-factuur te vermelden is opgeschort. Zie Stcrt. 2014, nr. 27276.