Uitspraken

VZVZ betoogt dat VPH c.s. geen belang hebben bij de procedure. Zij voert aan dat deelname aan de zorginfrastructuur zowel voor zorgverleners als voor patiënten geheel vrijwillig is en dat van eisers tot cassatie niemand is aangesloten bij de zorginfrastructuur. Zelfs als de zorginfrastructuur niet aan de eisen van de Wbp zou voldoen of als de zorginfrastructuur zou leiden tot een schending van het beroepsgeheim door de aangesloten huisartsen, zou dat VPH c.s. volgens VZVZ derhalve niet raken. Voor zover de vorderingen van VPH c.s. ertoe strekken dat de zorginfrastructuur aan hun wensen wordt aangepast, ziet VPH c.s. volgens VZVZ over het hoofd dat het hier, anders dan bij het Elektronisch Patiëntendossier (EPD) het geval was, niet gaat om een wettelijk verplicht systeem van gegevensuitwisseling, maar om een zuiver privaat initiatief, en dat het zorgverleners en patiënten vrijstaat al dan niet van de door VZVZ aangeboden private dienst gebruik te maken.

Dit betoog faalt. Zoals ook de rechtbank heeft overwogen (rov. 4.4), blijkt uit het Businessplan (productie 5 bij inleidende dagvaarding) dat het de bedoeling is dat de zorginfrastructuur gaat fungeren als het gangbare systeem voor de elektronische uitwisseling van medische gegevens. Dit volgt onder meer uit de in het plan genoemde streefpercentages van 90%-100% voor deelname door de verschillende zorgaanbieders en 90% voor het aantal aangemelde patiëntendossiers, en uit het voornemen het thans gangbare systeem OZIS uit de markt te halen. Te verwachten valt dat huisartsen en patiënten, in het geval dat deze percentages worden gehaald, op de zorginfrastructuur zullen zijn aangewezen indien zij gebruik willen maken van elektronische gegevensuitwisseling. Weliswaar blijft voor hen dan de mogelijkheid bestaan om geheel van elektronische gegevensuitwisseling af te zien, maar de daaraan verbonden nadelen kunnen dusdanig groot zijn, dat er zowel vanuit het perspectief van de huisartsen als uit dat van de patiënten voldoende belang bestaat om het gebruik van de zorginfrastructuur in rechte te laten toetsen.

De Wbp dient mede ter implementatie van Richtlijn 95/46/EG betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, Pb 1995 L. 281 (de Privacyrichtlijn). Art. 6 lid 1, aanhef en onder c, van de Privacyrichtlijn houdt in dat de lidstaten bepalen dat de persoonsgegevens toereikend, ter zake dienend en niet bovenmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt.

Naar mede volgt uit HR 9 september 2011, ECLI NL:HR:2011:BQ8097, NJ 2011/595 (Santander), rov. 3.3, dient met betrekking tot de Wbp voorts van het volgende te worden uitgegaan.

(a) De Wbp dient zoveel mogelijk te worden uitgelegd in overeenstemming met de Privacyrichtlijn en met en met de hiervoor in 5.1.1 genoemde grondrechtelijke bepalingen. Naar de bedoeling van de wetgever moet bij elke gegevensverwerking zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dit een en ander brengt met zich dat de inbreuk op de belangen van betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dat dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden verwerkelijkt.

(b) Art. 7 Wbp bepaalt – overeenkomstig art. 6 van de Privacyrichtlijn – dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden dienen te worden verzameld. Gerechtvaardigd kunnen slechts de doeleinden zijn die worden nagestreefd met gegevensverwerking in een van de in – het mede op art. 7 van de Privacyrichtlijn gebaseerde – art. 8 Wbp limitatief opgesomde gevallen.

(c) Ook als de gegevensverwerking in beginsel is toegestaan op een van de in art. 8 Wbp limitatief opgesomde gronden, blijft, mede gelet op art. 11 Wbp, de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. De aanwezigheid van een wettelijke rechtvaardigingsgrond maakt derhalve een belangenafweging aan de hand van de hiervoor onder (a) vermelde beginselen niet overbodig. Bij deze afweging moeten de omstandigheden van het geval in aanmerking worden genomen.

(d) Een door de betrokkene gegeven toestemming als bedoeld in art. 8, aanhef en onder a, Wbp, zal in het algemeen meebrengen dat gegevensverwerking mag plaatsvinden, doch deze ontslaat de verwerker niet zonder meer van zijn verplichting tot belangenafweging.

De Privacyrichtlijn zal per 25 mei 2018 worden vervangen door de Verordening 2016/679/EU van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming, hierna: AVG). Ook de Wbp zal dan worden ingetrokken.

De onderdelen 1.1-1.3 van het middel zijn inleidend en bevatten geen klacht. Onderdeel 1.4 voert aan dat het hof heeft miskend dat indien het verbod bijzondere persoonsgegevens als bedoeld in art. 16 Wbp te verwerken niet van toepassing is op grond van de uitdrukkelijke toestemming van de betrokkene (art. 23, lid 1 onder a, Wbp), daaruit niet volgt dat de desbetreffende verwerking van persoonsgegevens voldoet aan de voorwaarden voor rechtmatigheid van de art. 6-15 Wbp, waaronder de in art. 9 lid 4 Wbp genoemde geheimhoudingsplicht. Voor zover het hof dit niet heeft miskend, is zijn oordeel volgens onderdeel 1.5 onvoldoende gemotiveerd, doordat het hof is voorbijgegaan aan de stellingen van VPH c.s. dat de zorginfrastructuur bovenmatig is in de zin van art. 11 Wbp.

Uit hetgeen hiervoor in 5.1.4 is overwogen, volgt dat de ondubbelzinnige toestemming van de betrokkene wel een grondslag voor de verwerking van persoonsgegevens biedt (art. 8, aanhef en onder a, Wbp), maar dat daarnaast moet worden beoordeeld of de verwerking voldoet aan de vereisten van proportionaliteit en subsidiariteit, zoals die zijn neergelegd in de Privacyrichtlijn en de art. 11 en 13 Wbp (zie hiervoor in 5.1.1-5.1.4). De vraag of, mede gelet op de toestemming van de betrokkene, aan deze vereisten is voldaan, moet worden beantwoord in het licht van alle omstandigheden van het geval.

Het hof heeft het voorgaande niet miskend. In zijn oordeel ligt immers besloten dat het rov. 5.24 van het vonnis van de rechtbank heeft onderschreven, en dus mede aan de vereisten van proportionaliteit en subsidiariteit heeft getoetst (vgl. rov. 4.9 slot, rov. 4.12 eerste alinea en 4.15 slot, waarin het hof de diverse elementen van dit oordeel van de rechtbank onderschrijft). Het hof heeft de tegen dit oordeel van de rechtbank gerichte grief XIV van VPH c.s. – waarnaar onderdeel 1.5 verwijst – blijkens rov. 4.20 dan ook ongegrond geoordeeld.

Het oordeel van het hof – dat op hoofdpunten aansluit bij het oordeel van de rechtbank – berust op het volgende. De toestemming van de patiënt ziet in het bijzonder op situaties van waarneming en noodgevallen, waarin de eigen huisarts veelal niet beschikbaar is om de gegevens uit het medische dossier aan de andere behandelaar ter beschikking te stellen. Op voorhand is echter lastig te voorzien wanneer zich een waarneemsituatie zal voordoen en welke klachten deze zal betreffen. Het gebruik van de algemene professionele standaard waarvan sprake is bij de zorginfrastructuur van VZVZ, is gerechtvaardigd gelet op het doel van de gegevensuitwisseling. Het gaat om een standaard die reeds vanaf 1998 door de beroepsgenoten wordt gehanteerd in waarneemsituaties, en daarmee om een op de praktijkervaring van de huisartsen gebaseerde beoordeling welke gegevens in het algemeen voor een goede zorgverlening bij spoedeisende hulp of waarneming van belang zijn. Dat daarbij niet in elke situatie alle gegevens relevant zijn, is inherent aan het samenstellen van een algemene standaard. Daar komt nog bij dat de patiënt het recht heeft om in overleg met de huisarts informatie uit te sluiten van opname in het HWD of EMD en daarmee van gegevensuitwisseling aan informatie opvragende zorgverleners.

De klachten van de onderdelen 1.4 en 1.5 kunnen dus niet tot cassatie leiden.

Onderdeel 1.6 richt zich tegen het oordeel van het hof in rov. 4.7 dat de geheimhoudingsplicht als bedoeld in art. 9 lid 4 Wbp niet in de weg staat aan de verwerking van medische gegevens als de patiënt daarvoor expliciet en rechtsgeldig toestemming heeft verleend. Volgens het onderdeel moet de arts een eigen afweging maken of het verstrekken van gegevens noodzakelijk is. De geheimhoudingsplicht dient niet alleen het belang van de patiënt, maar ook het algemeen belang.

Het hof heeft, gelet op art. 7:457 lid 1 BW en art. 23 lid 1, aanhef en onder a, Wbp, terecht tot uitgangspunt genomen dat de medische geheimhoudingsplicht niet in de weg staat aan de verwerking van medische gegevens indien deze berust op de expliciete en rechtsgeldige toestemming van de patiënt. Het oordeel van het hof dat er bij de verwerking van gegevens door middel van de zorginfrastructuur geen sprake is van een geval waarin – bij uitzondering – de verwerking van medische gegevens ondanks de bedoelde toestemming niet toelaatbaar is, geeft geen blijk van een onjuiste rechtsopvatting gelet op (i) het feit dat gegevensverstrekking in de zorginfrastructuur van VZVZ alleen plaatsvindt aan enkele beperkte categorieën van zorgverleners (hiervoor in 3.1 onder (xi) en (xii) genoemd) en (ii) het hiervoor in 5.2.3-5.2.6 overwogene.

Onderdeel 2 betoogt dat het hof is uitgegaan van een onjuiste opvatting over art. 1 Wbp in verbinding met art. 23 Wbp en/of art. 7:457 BW, doordat het heeft miskend dat van in vrijheid gegeven toestemming geen sprake is indien deze is gegeven onder enige vorm van dwang van welke aard dan ook, of onder dreiging van niet-behandeling of minder goede behandelingen in een medische situatie. Indien het hof dit niet heeft miskend, is zijn oordeel in het licht van de stellingen van VPH c.s. onvoldoende gemotiveerd.

Het onderdeel faalt voor zover het aan het hof verwijt dat het van een onjuiste rechtsopvatting is uitgegaan. Blijkens rov. 4.11, en de verwijzing daarin naar het oordeel van de rechtbank (zie hiervoor in 3.2.2), heeft het hof – terecht – tot uitgangspunt genomen dat de toestemming moet zijn gegeven zonder enige vorm van dwang, van welke aard dan ook. Het oordeel van het hof dat van toestemming zonder dwang sprake is bij de zorginfrastructuur van VZVZ berust op waarderingen van feitelijke aard, en kan in cassatie niet op juistheid worden onderzocht. Onbegrijpelijk of onvoldoende gemotiveerd is dat oordeel niet. Daarbij verdient nog opmerking dat VPH c.s. de stelling dat de dwang voortkomt uit een vrees voor een mogelijk minder goede medische behandeling, in feitelijke instanties niet hebben aangevoerd om te betogen dat van vrije toestemming geen sprake is. Ook onderdeel 2 kan daarom niet tot cassatie leiden.

Volgens onderdeel 3 is het hof uitgegaan van een onjuiste rechtsopvatting doordat het heeft miskend dat het vereiste van specifieke toestemming meebrengt dat deze gericht op een bepaalde en/of gespecificeerde gegevensverwerking moet worden verleend. Een zeer brede en onbepaalde machtiging om gegevens te verwerken voldoet daar niet aan. Als het hof dit niet zou hebben miskend, is zijn oordeel onvoldoende gemotiveerd. Op het Toestemmingsformulier kan de patiënt immers uitsluitend “ja” of “nee” selecteren op de vraag of hij zijn gegevens beschikbaar wil stellen zoals vermeld in de Brochure.

Het vereiste van specifieke toestemming houdt in dat de toestemming voor het verwerken van gegevens betrekking moet hebben op bepaalde gegevens die voor een of meer bepaalde doeleinden worden verwerkt of aan bepaalde personen worden verstrekt (zie de passage uit de memorie van toelichting bij de Wbp en de overige gegevens vermeld in de conclusie van de Advocaat-Generaal onder 8.6-8.11). Met zijn overweging (in rov. 4.12 en 4.13) dat de toestemming als voldoende specifiek kan worden beschouwd als degene die de toestemming verleent, weet welke concrete gegevensset in welke situatie voor welk type zorgverleners inzichtelijk is, heeft het hof daarom geen blijk gegeven van een onjuiste rechtsopvatting. Zijn oordeel dat de zorginfrastructuur in verband hiermee naar de in deze zaak toepasselijke regels van de Privacyrichtlijn en de Wbp voorziet in een voldoende specifieke toestemming, is niet onbegrijpelijk en voldoende gemotiveerd.

Onderdeel 3 klaagt voorts dat het oordeel van het hof onvoldoende is gemotiveerd omdat ook volgens het hof (rov. 4.12) van VZVZ verwacht mag worden dat zij, zodra dit technisch mogelijk en uitvoerbaar is, de ‘iedereen-of-niemand-toestemming’ vervangt door een systeem waarbij bepaalde (categorieën) zorgaanbieders kunnen worden uitgesloten van de toestemming. Dat zo'n systeem op dit moment nog niet technisch mogelijk en uitvoerbaar is, impliceert echter niet dat de ongedifferentieerde ‘iedereen-of-niemand-toestemming’ desalniettemin voldoende specifiek zou zijn.

De overige klachten van het middel kunnen evenmin tot cassatie leiden. Dit behoeft, gezien art. 81 lid 1 RO, geen nadere motivering nu die klachten niet nopen tot beantwoording van rechtsvragen in het belang van de rechtseenheid of de rechtsontwikkeling.