Uitzonderingen op het verwerkingsverbod

Een van deze uitzonderingen wordt gevormd door bijvoorbeeld de zorgovereenkomst zelf, maar is dan wel beperkt tot alleen die informatie die strikt noodzakelijk is. Uw zorgverzekeraar mag uit hoofde van de zorgovereenkomst die zij met u heeft, beschikken over beperkte medische gegevens, bijvoorbeeld ter controle van nota’s. 

Een tweede wijze waarbij de verwerking wel is toegestaan, is bij geinformeerde instemming (informed consent). Die toestemming door een verzekeringnemer (bv ouders) moet dan wel in vrijheid en onvoorwaardelijk zijn afgegeven (Art. 7, lid 4 AVG ) Het mag niet zo zijn dat verzekeringnemer geen andere keuze had. Er moet bovendien sprake zijn van geïnformeerde toestemming. De verzekeringnemer dient volledig geïnformeerd te zijn over het doel van de verwerking. En bovendien dient sprake te zijn van actieve toestemming. Dat wil zeggen dat er een actieve handeling moet zijn uitgevoerd, ondubbelzinnig gericht op aanvaarding (Art. 4 onderdeel 11 AVG).

Het stilzwijgend aangaan zonder dat apart een verklaring van instemming is getekend, is niet toegestaan. Het kan dan niet zo zijn dat het onderdeel waarvoor toestemming wordt verleend, onderdeel uitmaakt van een groter geheel, zoals in een PGB-reglement. Oftewel, er dient onderscheid gemaakt te worden tussen de toestemmingsverklaring en de rest van de overeenkomst, zoals in dit geval het PGB-reglement. Gebeurt dat niet dan wordt het toestemmingsgedeelte onverbindend geacht te zijn. (red. G.J. Zwenne, Tekst en commentaar AVG, p. 95)

Artikel 9, lid 1 AVG verbiedt het verwerken van medische gegevens tenzij sprake sprake is van een van de in dat artikel genoemde uitzonderingen.  Dat is bijvoorbeeld wanneer gegevens verwerkt worden door de verzekeraar zelf op grond van de zorgverzekeringsovereenkomst. Ook kan dit na uitdrukkelijke toestemming van de verzekeringnemer. Een derde mogelijkheid bestaat op grond van de behandelovereenkomst met een arts of andere behandelaar (art 9, lid 2 sub h AVG). Deze moet dan gebonden aan een beroepsgeheim. Andere uitzonderingen zijn eigenlijk niet mogelijk. Het is dan ook zeer de vraag of dit recht om te verwerken zonder expliciete instemming van de cliënt kan worden overgedragen aan een derde partij.

Als er daarnaast al een uitzondering kan zijn, dan dient deze sowieso vastgelegd te worden in een ministeriele regeling of AMvB. Zoals het gegeven dat zorgverzekeraars bij vermoedens van fraude beperkt informatie mogen opvragen bij zorgverleners. Beperkt, omdat hiermee immers het medisch beroepsgeheim wordt doorbroken. Zie bv de Regeling van de Minister van Volksgezondheid, Welzijn en Sport van 30 juni 2010, Z/M-3009481, houdende wijziging van de Regeling zorgverzekering met het oog op materiële controle door zorgverzekeraar. In dit geval is er echter geen sprake van een dergelijke regeling.  

Zorgvuldige selectie is in dit geval niet goed genoeg

In het gesignaleerde reglement wordt alleen gesteld dat de zorgverzekeraar deze derden die medische gegevens zouden gaan opvragen, zorgvuldig uitzoekt en dat dit wordt opgenomen in het privacy statement. Het is dus zeer de vraag of dit rechtmatig is en dit gedeelte van de PGB-overeenkomt niet als onverbindend dient te worden gezien.

Conclusie

Mijn  inziens is niet voldaan aan de vereisten van informed consent o.a. omdat geen sprake is van vrijwillige instemming. Immers, wat moet u anders wanneer u een aanvraag PGB-ZVW wilt doen voor uw ernstig zieke kind en daar afhankelijk van bent? U kunt dan sowieso niet meer in vrijheid instemmen. Overstappen naar een andere verzekeraar is misschien een optie, maar dat zou nooit nodig mogen zijn om deze reden en het blijft afwachten wat andere zorgverzekeraars gaan doen. Daarnaast geldt, omdat het even ‘tussen neus en lippen’ door aan u wordt gestuurd als onderdeel van een groot geheel, dat geen duidelijk onderscheid wordt gemaakt tussen dit deel van de PGB-overeenkomst en het toestemmingsgedeelte. En dat moet nu juist wel. U weet bij deze zorgverzekeraar niet door wie de persoonsgegevens zullen worden opgevraagd, met welk doel precies en of diegene wel een beroepsgeheim heeft. Omdat dat niet van tevoren bekend is, zou sowieso niet gesproken mogen worden van informed consent. Bij elkaar te veel redenen om aan te nemen dat deze bepaling in strijd is met het verwerkingsverbod ex AVG.

Wat nu?

Wat nu als u geconfronteerd wordt met deze – of een vergelijkbaar PGB-reglement? Bericht u dan direct (met verzoek van een ontvangstbevestiging) de privacy-officer van uw verzekeraar en vraag schriftelijke bevestiging dat deze regeling conform artikel 9 AVG is, en is voorgelegd aan de Autoriteit Persoonsgevens. Meldt uw zaak ook zelf bij de Autoriteit Persoonsgegevens. Dat kan bijvoorbeeld telefonisch bij het Meldpunt Informatie en Meldpunt Privacy. Het is belangrijk dat deze al te makkelijke manier waarop het verwerkingsverbod opzij wordt geschoven, kritisch onder de loep wordt genomen in het belang van de verzekeringnemer om wiens gegevens het immers gaat. 

Nawoord

Dit alles neemt niet weg dat bovenstaande de vastlegging is van een veelvuldig gesignaleerde praktijk, waarbij gehele medische dossiers worden gedeeld met derden om zogeheten “bewust keuze gesprekken’ door derden te laten uitvoeren. Dat geluid horen we al te vaak. Is u dat al eerder overkomen, meldt dan uw klacht. 

Al eerder werden zorgverzekeraars door de autoriteit op hun vingers getikt (lees hierover meer) bij het opvragen van teveel informatie in het kader van een indicatiestelling. 

Disclaimer: Of sprake is van onrechtmatigheid is een vraag die altijd ter beoordeling aan de rechter is. Het is alleen raadzamer om dit (eerst) door de Autoriteit Persoonsgegevens te laten uitzoeken.