Uitspraken

De onderhavige zaak heeft betrekking op de in 2012 ingevoerde landelijke infrastructuur voor elektronische gegevensuitwisseling in de zorg (hierna: de zorginfrastructuur).

VZVZ is verantwoordelijke in de zin van artikel 1 aanhef en onder d Wet bescherming persoonsgegevens (Wbp). VPH is een vereniging van huisartsen, [appellant 2], [appellant 3] en [appellant 4] zijn huisartsen en [appellant 5] is een patiënt/consument.

VPH c.s. hebben bezwaren tegen de inrichting en het gebruik van de zorginfrastructuur. Centraal in de zorginfrastructuur staat de centrale verwijsindex (de index die aangeeft bij welke zorgverleners – huisartsen en apothekers – zich patiëntgegevens bevinden; ook wel het Landelijk Schakelpunt (LSP) genoemd). De informatie blijft decentraal opgeslagen in de eigen systemen van de huisarts of de apotheek van de betrokken patiënt, maar op basis van een (bij die zorgverlener in het systeem geregistreerde) schriftelijke toestemming kunnen aangesloten zorgaanbieders die een behandelrelatie hebben met de patiënt (althans die dat in het systeem aangeven), via het LSP (met behulp van een unieke UZI-pas met pincode) toegang krijgen tot bepaalde onderdelen uit de dossiers van aangesloten huisartsen en apothekers. VZVZ neemt, op basis van voornoemde toestemming, een verwijzing naar een specifiek dossier bij een zorgverlener op in de verwijsindex en faciliteert de gegevensuitwisseling.

De twee belangrijkste bezwaren van appellanten sub 1 tot en met 4 zijn:

Het bezwaar van [appellant 5] ziet op de haars inziens onnodige schending door VZVZ van haar recht op bescherming van haar persoonlijke levenssfeer, waar het gaat om het behoud van de vertrouwelijkheid bij de behandeling en de bescherming van haar medische persoonsgegevens in de zin van artikel 16 Wbp.

De op onrechtmatige daad gestoelde vorderingen van VPH c.s. zijn door de rechtbank afgewezen. De daartegen gerichte grieven leggen het geschil in volle omvang ter beoordeling aan het hof voor en lenen zich voor gezamenlijke behandeling.

In hoger beroep vorderen VPH c.s., na wijziging van eis, samengevat weergegeven:

Primair:

- kan beoordelen of de gevraagde gegevens relevant en passend zijn voor het doel van de opvraging;

- kan bepalen welke zorgverleners geautoriseerd zijn;

- kan controleren of de opvraging authentiek is, plaatsvindt door een geautoriseerde partij en dat geen ander de opgevraagde gegevens kan inzien;

of als vordering sub 4 wordt afgewezen:

Tussen partijen is komen vast te staan dat alle overige aangesloten zorgaanbieders (tot nu toe slechts (ziekenhuis)apothekers, medisch specialisten en spoedeisende hulp-artsen (SEH-artsen)) via het LSP alleen toegang kunnen krijgen tot een elektronisch medicatiedossier (EMD), waarin naast voormelde persoonlijke gegevens en een – voor zover de patiënt de apotheek daartoe toestemming heeft gegeven – overzicht van de door de apotheek verstrekte medicijnen, slechts zijn opgenomen de uit het huisartsendossier van aangesloten huisartsen afkomstige ICA-gegevens (gegevens over intoleranties, contra-indicaties en allergieën).

Vaststaat ook dat de huisarts (in overleg met de patiënt) informatie door middel van afscherming kan uitsluiten van opname in het HWD of EMD en daarmee van gegevensuitwisseling aan informatie opvragende zorgverleners.

De rechtbank heeft in de r.o. 5.1 tot en met 5.6 het – onbestreden – toetsingskader weergegeven. Voor de overzichtelijkheid haalt het hof hier nog kort een aantal bepalingen uit de Wbp aan.

In artikel 9 lid 4 Wbp, opgenomen in paragraaf 1 van hoofdstuk 2 “De verwerking van persoonsgegevens in het algemeen” is bepaald dat de verwerking van persoonsgegevens achterwege blijft voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift daaraan in de weg staat.

Artikel 16 Wbp, opgenomen in paragraaf 2 van hoofdstuk 2 “De verwerking van bijzondere persoonsgegevens”, bepaalt dat de verwerking van persoonsgegevens betreffende onder meer iemands gezondheid verboden is behoudens het bepaalde in deze paragraaf.

Artikel 21 lid 1 en onder a Wbp, opgenomen in dezelfde paragraaf, bepaalt dat het verbod van artikel 16 kan worden doorbroken indien de verwerking geschiedt door hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening voor zover dat met het oog op een goede behandeling of verzorging van de betrokkene, dan wel het beheer van de betreffende instelling of beroepspraktijk noodzakelijk is.

In artikel 23 lid 1 en onder a Wbp, eveneens opgenomen in dezelfde paragraaf, is bepaald dat (onverminderd de artikelen 17 tot en met 22) het verbod om persoonsgegevens als bedoeld in artikel 16 te verwerken niet van toepassing is voor zover dit geschiedt met uitdrukkelijke toestemming van de betrokkene.

Toestemming is in artikel 1, aanhef en onder i Wbp gedefinieerd als: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt.

Uit voormelde formulering van artikel 23 lid 1 en onder a Wbp blijkt dat het verbod om medische persoonsgegevens te verwerken niet geldt wanneer de patiënt daartoe uitdrukkelijk toestemming geeft. In de Memorie van Toelichting (MvT) is bij artikel 23 Wbp opgenomen dat de bepaling voorschriften bevat voor de gevallen dat het verwerken van gevoelige gegevens niet in de daaraan voorafgaande eerdere artikelen is geregeld, waarmee het artikel kan worden beschouwd als een algemene restbepaling waarin voor het verwerken van de betrokken gegevens een ontheffing van het verwerkingsverbod van artikel 16 kan gelden. Verder is daar nog toegelicht dat de betrokkene expliciet zijn wil omtrent de verwerking dient te hebben geuit; een stilzwijgende of impliciete toestemming is onvoldoende: de betrokkene dient in woord, schrift of gedrag uitdrukking te hebben gegeven aan zijn wil toestemming te verlenen aan de hem betreffende gegevensverwerking.

Alhoewel in de MvT op pagina 101 ten aanzien van artikel 16 is opgenomen dat ingeval van doorbreking van een verwerkingsverbod op grond van artikel 17 tot en met 23 aan de hand van de algemene beginselen van gegevensverwerking – zoals vastgelegd in artikel 6 tot en met 15 van het wetsvoorstel – moet worden vastgesteld of de gegevensverwerking in het concrete geval rechtmatig is, komt naar het oordeel van het hof in het onderhavige kader, uitgaande van een expliciete wilsuiting van een patiënt om zijn medische gegevens (in dit geval ten behoeve van toekomstige behandelaars) te verwerken, waarbij de toestemming een vrije, specifieke en op informatie berustende wilsuiting moet zijn, geen betekenis meer toe aan artikel 9 lid 4 Wbp. Deze uitzondering op het normale stramien van de Wbp vindt naar het oordeel van het hof zijn rechtvaardiging in het feit dat (anders dan het geval is bij de overige in artikelen 17 tot en met 23 gegeven ontheffingsgronden) de rechtvaardigingsgrond voor de onderhavige ontheffing besloten ligt in het handelen of het gedrag van de betrokkene zelf, terwijl de ratio van de geheimhoudingsplicht grotendeels is gelegen in het belang van die betrokken patiënt. In geval een patiënt een expliciete en rechtsgeldige toestemming heeft verleend om zijn medische gegevens te verwerken, waarmee het in artikel 16 specifiek hierop gerichte verbod is doorbroken, moet de conclusie zijn dat een (in artikel 9 lid 4 bedoelde) geheimhoudingsplicht niet aan verwerking van die gegevens in de weg staat. Met de in artikel 23 lid 1 onder a gegeven mogelijkheid om op basis van de uitdrukkelijk uitgesproken wens van de betrokken patiënt het verbod van artikel 16 te doorbreken, valt immers niet te rijmen dat artikel 9 lid 4 de arts een categorisch verbod zou opleggen om medische gegevens, waarvoor ingevolge artikel 88 wet BIG altijd een geheimhoudingsplicht geldt, te verwerken. VPH c.s. hebben onvoldoende gemotiveerd, en ook overigens valt niet in te zien, waarom artikel 9 lid 4 zodanig gelezen moet worden dat de ontheffingsgrond van artikel 21 lid 1 onder a (verwerking is noodzakelijk voor een goede behandeling of verzorging van de betrokkene dan wel voor het beheer van de gezondheidsinstelling of beroepspraktijk) niet en de ontheffingsgrond van artikel 23 lid 1 onder a (de uitdrukkelijke toestemming van de betrokkene) wel zou maken dat de geheimhoudingsplicht van de arts aan verwerking van medische gegevens in de weg staat. Niet kan dus worden aanvaard de stelling van VPH c.s. dat de consequentie van artikel 9 lid 4 is dat huisartsen ook bij een rechtsgeldige toestemming van patiënten om in de toekomst medische gegevens via de zorginfrastructuur te verzenden, slechts gegevens mogen verwerken waarvan voorafgaand aan elke concrete gegevensuitwisseling door de huisarts van de patiënt is vastgesteld dat die noodzakelijk zijn in verband met de actuele zorgbehoefte van de patiënt.

Het hof vindt steun voor voormelde uitleg van de Wbp in de zienswijze van het College Bescherming Persoonsgegevens (CBP, thans geheten Autoriteit Persoonsgegevens), als toezichthouder op de verwerking van persoonsgegevens, over het doorstartmodel voor landelijke uitwisseling medische gegevens van 9 augustus 2011 en de daarop volgende brief van CBP aan VZVZ van 18 januari 2012. Op verzoek van het Nederlands Instituut voor ICT in de zorg (Nictiz) heeft het CBP voormelde zienswijze uitgebracht over een aantal rechtsvragen die betrekking hebben op de juridische toelaatbaarheid van het doorstartmodel (de private voortzetting van de in het kader van het Elektronisch patiëntendossier (EPD) ontwikkelde zorginfrastructuur). De vragen die Nictiz aan het CBP heeft voorgelegd hadden betrekking op de vraag of VZVZ medische persoonsgegevens zou mogen verwerken zonder uitdrukkelijke toestemming van de patiënt. Daarbij heeft het CBP nadrukkelijk aandacht besteed aan de achtergrond en systematiek van de Wbp – als uitwerking van de Richtlijn nr. 95/46/EG van 23 november 1995, de Richtlijn gegevensbescherming –, meer in het bijzonder aan het medisch beroepsgeheim en artikel 9 lid 4 Wbp, en aan de Wgbo. Het CBP heeft in zijn zienswijze onder meer opgenomen:

“Nu uit de antwoorden op vraag 1 en 2 blijkt dat voor de gegevensverwerking door VZZ [hof: zo noemt het CBP VZVZ] geen beroep mogelijk is op artikel 21 eerste lid onder 1 Wbp en ook niet op artikel 7:457 tweede lid BW, blijft voor de gegevensverwerking door VZZ, vanwege het wegvallen van uitzicht op een specifieke wettelijke regeling, uitsluitend een beroep over op ‘uitdrukkelijke toestemming’ zoals bedoeld in artikel 23 eerste lid onder a Wbp”.

Vervolgens heeft VZVZ aan het CBP toegezonden het Doorstartmodel van 21 december 2011 van de Landelijke Huisartsen Vereniging, de Koninklijke Nederlandse Maatschappij ter bevordering der Pharmacie, de Vereniging Huisartsenposten Nederland en de Nederlandse Vereniging van Ziekenhuizen (welk model ten grondslag ligt aan de vanaf 2012 ingevoerde zorginfrastructuur). Dat model gaat (in tegenstelling tot het eerder voorgelegde model) wel uit van de uitdrukkelijke toestemming van de patiënt. In het Doorstartmodel van 21 december 2011 is dienaangaande opgenomen:

“Uitdrukkelijke toestemming patiënt grondslag voor rechtmatige verwerking (opt-in)

De zorgaanbieders zijn van mening dat primair de keuze van de patiënt bepalend is voor de gegevensuitwisseling. Dat betekent dat voor de aanmelding van de gegevens van de patiënt bij het systeem en het opnemen van gegevens in de verwijsindex uitgegaan wordt van de uitdrukkelijke toestemming van patiënten. Hiermee wordt aangesloten bij de zienswijze van het CBP, waarin het CBP heeft aangegeven dat deze grondslag vereist is voor een dergelijke elektronische gegevensuitwisseling. Dit nieuwe model wordt als volgt ingericht. Elke zorgaanbieder die gegevens uit het dossier van zijn patiënt voor raadpleging (pull) door andere zorgaanbieders (voorafgaand) beschikbaar wil stellen, vraagt daarvoor toestemming aan de patiënt. De zorgaanbieder registreert de toestemming of het onthouden van toestemming in zijn eigen zorginformatiesysteem. Wanneer een patiënt een eenmaal gegeven toestemming wil intrekken richt hij zich tot de zorgaanbieder of zorgaanbieders bij wie hij de toestemming wil intrekken. De zorgaanbieder registreert het bezwaar in zijn eigen systeem, verwijdert de aanmelding op de verwijsindex en stelt de patiëntgegevens die hij van de patiënt beheert niet langer beschikbaar. De zorgaanbieders zullen zorgdragen voor een goede procedure, begeleid door juiste, gerichte en voor geïnformeerde toestemming toereikende, informatie. De betrokkene heeft daarnaast het recht zich, voor het intrekken van zijn toestemming bij alle zorgaanbieders tegelijk, rechtstreeks tot de VVZ te wenden.”

Daarop heeft het CBP bij brief van 21 december 2011 onder meer geschreven:

“Het bijbehorend Doorstartmodel is op 21 december 2011 (…) van u ontvangen. De betreffende documentatie is inmiddels door het CBP bestudeerd. Hierbij heeft het CBP vooral de volgende aspecten betrokken:

- gaat het model uit van toestemming van de patiënt/burger voor de gegevensverwerking(en) conform de zienswijze van het CBP van 9 augustus 2011;

- is de verantwoordelijkheid voor de gegevensverwerking helder belegd;

- hoe kan de betrokkene straks zijn rechten ingevolge de Wet bescherming persoonsgegevens (Wbp) effectueren;

- wordt de juiste (normering van de) informatiebeveiliging gehanteerd;

- is helder geregeld wie toegang krijgen tot het landelijk EPD;

- wat is de duur van de zogeheten transitiefase.

De conclusie luidt dat het CBP op basis van het Doorstartmodel op dit moment geen bijzondere risico’s op overtreding van de Wbp onderkent in verband met de verwerkingen die vanaf 1 januari 2012 onder verantwoordelijkheid van de Vereniging van Zorgaanbieders voor Zorgcommunicatie (VVZ) plaatsvinden.”

Uit voormelde documenten blijkt naar het oordeel van het hof afdoende dat het CBP het onderhavige systeem van verlenen van toestemming, waarbij de patiënt per (informatie verstrekkende) zorgaanbieder een eenmalige uitdrukkelijke toestemming verleent om zijn medische persoonsgegevens ten behoeve van toekomstige gegevensuitwisseling te verwerken, in overeenstemming acht met de systematiek van de Wbp en artikel 7:457 BW voor doorbreking van het verwerkingsverbod en het beroepsgeheim, en dat het in dat kader geen rol toekent aan artikel 9 lid 4 Wbp.

Zoals uit het hiervoor overwogene reeds blijkt, is wel nodig dat de toestemming uit vrije wil wordt verleend, voldoende specifiek is en gebaseerd is op voldoende informatie (informed consent).

Met betrekking tot het eerste aspect (de vrije wil) verwijst het hof naar, en neemt over, hetgeen de rechtbank hieromtrent onder 5.13 en 5.14 van het bestreden vonnis heeft overwogen. Daarbij merkt het hof nog op dat het VPH c.s. niet volgt in hun stelling dat van de huisarts niet kan worden gevergd om te toetsen of de patiënt daadwerkelijk wil dat zijn medische gegevens in het HWD en/of EMD terecht komen. Niet valt in te zien waarom het niet tot de taak van een huisarts zou behoren om met zijn patiënt te bespreken of hij wenst dat een waarnemend huisarts het HWD kan raadplegen en dat de overige aangesloten zorgaanbieders (zie 4.3) voorafgaand aan een behandeling de ICA-gegevens kunnen inzien. Dat kan immers van belang zijn voor een toekomstige behandeling van de patiënt. Bovendien staat vast dat, op basis van het in artikel 7:457 lid 2 BW bepaalde, buiten deze zorginfrastructuur ook medische gegevens aan waarnemers worden doorgegeven, zonder dat daarbij toestemming aan de patiënt is gevraagd. VPH c.s. heeft immers niet betwist dat OZIS, het systeem dat voorafgaand aan de huidige zorginfrastructuur en op sommige plaatsen ook nu nog regelmatig gebruikt werd/wordt voor gegevensuitwisseling tussen huisartsen en hun waarnemers (en dat volgens VPH c.s. de voorkeur verdient boven de onderhavige zorginfrastructuur en dat net als deze zorginfrastructuur inzage geeft in vooraf gedefinieerde gegevenssets), in het geheel niet voorziet in het vragen van toestemming aan patiënten, terwijl in andere huisartsenwaarneemsystemen zelfs het gehele dossier inzichtelijk is. In zoverre betekent het huidige systeem waarin de patiënt toestemming wordt gevraagd voor het delen van zijn gegevens in het HWD een verbetering van de privacy-rechten van de patiënt.

Met betrekking tot het tweede aspect (de specifieke toestemming) verwijst het hof naar, en neemt over, hetgeen de rechtbank hieromtrent onder 5.15 en 5.16 in het bestreden vonnis heeft overwogen. Met de rechtbank is het hof van oordeel dat voor een voldoende specifieke wilsuiting niet nodig is dat degene die toestemming verleent op dat moment reeds bekend is met de inhoud van de gegevens die zullen worden uitgewisseld. Zeker wanneer het doel van de gegevensuitwisseling op grond van het HWD (waar de voornaamste bezwaren tegen worden geuit) in ogenschouw wordt genomen, geldt immers dat het op voorhand moeilijk is om te voorzien wanneer een waarneemsituatie zich zal voordoen en welke medische klacht(en) die waarneming zal betreffen. Zolang degene die toestemming verleent weet welke gegevensset in welke situatie voor welk type zorgverleners inzichtelijk is, dient de toestemming als voldoende specifiek te worden beschouwd. Of dat laatste het geval is, komt hierna aan de orde bij de bespreking van de ‘informed consent’.

Wel merkt het hof in dit verband nog op dat op dit moment de patiënt nog beperkt is in zijn keuzemogelijkheid ten aanzien van de (type) zorgaanbieders die gegevens mogen inzien. Vooralsnog kan de patiënt niet aangeven dat hij wel instemt met uitwisseling van het HWD ten behoeve van waarnemingen, maar niet met de uitwisseling van ICA-gegevens in het EMD ten behoeve van bijvoorbeeld medisch specialisten (waarbij meestal geen sprake zal zijn van een spoedeisende situatie; ter zitting is immers komen vast te staan dat SEH-artsen niet tot de medisch specialisten behoren). VZVZ stelt bezig te zijn met de ontwikkeling van patiënt-toestemmingsprofielen, waarbij de patiënt (bepaalde categorieën) zorgaanbieders van de toestemming kan uitsluiten en hij aldus meer regie heeft over de gegevensuitwisseling. Het is haar bedoeling om die mogelijkheid vanaf eind 2016 te kunnen aanbieden. Het hof merkt hierover op dat die mogelijkheid maakt dat de patiënt gerichter, en dus specifieker, kan bepalen welke zorgaanbieder hij toestemming verleent om zijn gegevens in te zien. Naar het oordeel van het hof behoort het tot de verantwoordelijkheid van VZVZ om zoveel mogelijk beslisvrijheid te bieden aan mensen die aan de zorginfrastructuur (willen) deelnemen en deelnemers op die manier zoveel mogelijk regie te geven over het systeem en aldus maatwerk aan te bieden. Het hof overweegt in dat kader nu reeds dat van VZVZ verwacht mag worden dat, zodra het technisch mogelijk en uitvoerbaar is om de onderhavige ‘iedereen-of-niemand-toestemming’ te vervangen door een systeem waarbij bepaalde (categorieën) zorgaanbieders kunnen worden uitgesloten van de toestemming, zij het ertoe leidt dat het systeem ook daadwerkelijk in die zin zal worden gewijzigd.

Met betrekking tot het derde aspect (informed consent) overweegt het hof als volgt. De patiënt dient voldoende geïnformeerd te zijn over welke medische gegevens in welk geval voor welke zorgaanbieder inzichtelijk zal zijn. Hij moet immers weten waar de toestemming die hij verleent precies op ziet. Daarbij is de brochure van groot belang. In de toestemmingsformulieren die de patiënt dient te ondertekenen, wordt immers verwezen naar de brochure (“Ik geef toestemming aan onderstaande zorgverlener om mijn gegevens beschikbaar te stellen voor raadpleging door andere zorgverleners zoals in de brochure ‘Uw medische gegevens elektronisch delen?’ is aangegeven.”).

Wat betreft de toestemmingsprocedure op zich merkt het hof op dat vaststaat dat het CBP in 2014 een onderzoek heeft gedaan naar onder meer de waarborgen die door VZVZ getroffen zijn opdat die toestemming is verkregen overeenkomstig de vereisten die daarvoor gelden op grond van de Wbp. De reikwijdte van het onderzoek was “beperkt tot controleren van de – althans in dit verband – meest essentiële elementen ‘op informatie berustend’ en ‘aantoonbaar’”.

Het CBP heeft in zijn rapport van 1 september 2014 onder meer opgenomen:

“De betrokkene moet voldoende worden geïnformeerd. Het CBP acht de aan de patiënt verstrekte informatie voldoende wanneer het ten minste de volgende vragen beantwoordt:

(1) Om welke verwerking gaat het?

(2) Welke gegevens worden verwerkt?

(3) Welk doel dient de verwerking?

(4) Aan welke derden worden gegevens verstrekt?

(5) Wie is de verantwoordelijke?

Indien in het verstrekte informatiemateriaal wordt verwezen naar de website van VZVZ acht het CBP de verstrekte informatie ook voldoende als deze minimaal drie van de bovengenoemde elementen omvat. De website van VZVZ beantwoordt namelijk alle bovengenoemde vragen.”

Het CBP concludeert zijn rapport met de vaststelling dat VZVZ voldoende technische en organisatorische waarborgen (bestaande uit waarborgen ten aanzien van de software, afspraken met de zorgverlener over de wijze waarop de patiënt om toestemming wordt gevraagd, en het door VZVZ ontwikkelde informatiemateriaal) heeft getroffen om te bewerkstelligen dat alleen persoonsgegevens worden verwerkt van patiënten die daarvoor toestemming hebben verleend.

Meer in het bijzonder merkt het hof over de informatie in de brochure (hiervoor geciteerd onder rechtsoverweging 3) op dat bij het antwoord op vraag 5 wordt uitgelegd dat waarnemend artsen, bijvoorbeeld op de huisartsenposten, naast persoonlijke en medicatiegegevens ook een samenvatting van het dossier bij de huisarts van de patiënt kunnen inzien (met daarin: de gezondheidsproblemen, de voorgeschreven medicijnen, de allergieën, informatie over de contacten met de patiënt in de laatste 4 maanden of de laatste 5 contacten en andere informatie die belangrijk is voor een waarnemend huisarts). VPH c.s. hebben, mede gezien hetgeen ten pleidooie in hoger beroep is vastgesteld (zie 4.3), onvoldoende gemotiveerd betwist dat deze weergave juist is. Ook is komen vast te staan dat bij de antwoorden op vraag 4 en 5 in de brochure goed is uitgelegd wie de overige zorgverleners zijn die gegevens kunnen opvragen (huisartsen(posten), (dienst)apotheken en ziekenhuisapotheken van binnen de regio van de patiënt, en medisch specialisten, ook van buiten die regio), behoudens dat hierbij de SEH-artsen niet zijn genoemd, waarover hieronder meer, en dat voorts terecht is opgemerkt dat voormelde zorgverleners niet de samenvatting van het dossier bij de huisarts te zien krijgen.

Wel is bij de opsomming van wat de apothekers en medisch specialisten te zien krijgen (persoonlijke gegevens en een overzicht van de van de apotheek verkregen medicijnen) weggelaten dat ook de ICA-gegevens van de huisarts kunnen worden ingezien. Ten pleidooie in hoger beroep heeft VZVZ aangevoerd dat dit een eis is van de Inspectie voor de Gezondheidszorg. Dat neemt echter niet weg dat de informatie in de brochure wel volledig moet zijn, opdat patiënten weten welke bij de huisarts bekende informatie inzichtelijk kan zijn voor andere zorgverleners. Bovendien moet de patiënt om gebruik te kunnen maken van de afschermmogelijkheid die hij (naar VZVZ ten pleidooie in hoger beroep heeft gesteld) ook ten aanzien van deze ICA-gegevens heeft, wel op de hoogte worden gebracht van het feit dat die gegevens, indien ze niet door afscherming worden uitgesloten van gegevensuitwisseling, tot het EMD behoren.

Naar het oordeel van het hof maakt de brochure ook niet goed duidelijk dat alle behandelend medisch specialisten het EMD kunnen opvragen en niet alleen de medisch specialisten die bij spoed worden ingeschakeld. Een lezer van de brochure kan, alhoewel in het antwoord op vraag 4 in de brochure de groep van medisch specialisten die gegevens kan opvragen niet beperkt wordt, op het verkeerde been worden gezet doordat in het eerste deel van de brochure de nadruk wordt gelegd op medische hulp die ’s avonds of in het weekend moet worden verleend. Ook met betrekking tot de SEH-artsen, die niet met zoveel woorden in de brochure zijn genoemd, zou de brochure aan duidelijkheid kunnen winnen, alhoewel het hof op dit punt wel met VZVZ van oordeel is dat de gemiddelde lezer van de brochure, juist op grond van het accent dat daarin wordt gelegd op spoedeisende hulp en op grond van de veronderstelling dat een SEH-arts ook een medisch specialist is, ervan zal uitgaan dat het EMD ook voor aangesloten SEH-artsen inzichtelijk zal zijn.

Voormelde onduidelijkheden in de brochure (of in vorige versies van de brochure) betekenen echter nog niet dat VZVZ jegens VPH c.s. onrechtmatig handelt. Naast het feit dat het hof VPH c.s. niet volgt in hun (door VZVZ gemotiveerd betwiste) stelling dat zij de facto gedwongen worden zich aan te sluiten bij de zorginfrastructuur en mee te werken aan gegevensuitwisseling via het LSP, waarop hierna zal worden ingegaan, geldt wat betreft appellanten 1 tot en met 4 dat, zoals hiervoor in 4.7 reeds is overwogen, een rechtvaardiging voor doorbreking van het beroepsgeheim kan worden gevonden in de (vrije, specifieke en op informatie berustende) toestemming van de patiënt om zijn medische gegevens ten behoeve van toekomstige behandelaars te verwerken. Vastgesteld is al dat, behoudens in bijzondere gevallen waar de klachten van VPH c.s. niet op zien, aangenomen kan worden dat de toestemming op vrije wil is gebaseerd en ook voldoende specifiek is. Wat betreft de eis dat de toestemming op informatie moet berusten, overweegt het hof dat een huisarts die vreest zijn beroepsgeheim te schenden omdat zijn patiënt onvoldoende geïnformeerd toestemming verleent (bijvoorbeeld omdat hij de brochure niet goed heeft gelezen of omdat daarin een aantal voor de patiënt van belang zijnde zaken onvoldoende zijn belicht), nadere informatie over de zorginfrastructuur kan verschaffen dan wel de patiënt kan verwijzen naar VZVZ voor nadere informatie. Doordat de huisarts kan nagaan of zijn patiënt voldoende heeft begrepen waar zijn toestemming op ziet en ervoor kan zorgen dat de patiënt alsnog voldoende geïnformeerd raakt, kan niet worden geoordeeld dat de huisartsen door VZVZ (dan wel de inrichting van de zorginfrastructuur) worden gedwongen op basis van een onvolkomen toestemming hun geheimhoudingsplicht te schenden. Zoals reeds overwogen onder 4.11 volgt het hof VPH c.s. niet in hun stelling dat van een huisarts niet gevergd kan worden dat hij over de uitwisseling van medische gegevens met zijn patiënt in gesprek gaat. Dit kan immers uitdrukkelijk de wens zijn van die patiënt en ook mogelijk in diens belang met het oog op een goede behandeling in (onder meer) waarneemsituaties. De huisarts dient, teneinde registratie van de toestemming van een patiënt mogelijk te maken, in het systeem ook altijd de versie van de informatiebrochure die hij de patiënt heeft verstrekt te noteren.

Ten overvloede merkt het hof hierbij nog op dat, zoals hiervoor al is vermeld, de huisarts bepaalde gevoelige informatie kan afschermen en ervoor kan zorgen dat die geen deel uitmaakt van de gegevensuitwisseling. Patiënten worden van deze mogelijkheid in de brochure op de hoogte gesteld, terwijl de huisarts de patiënt ook op deze mogelijkheid kan wijzen, vooral ook als het gevoelige informatie betreft.

Wat betreft appellante 5, [appellant 5], geldt dat, nu zij geen toestemming heeft verleend voor gegevensuitwisseling via het LSP, geen (onrechtmatige) inbreuk wordt gemaakt op haar persoonlijke levenssfeer.

Wat betreft de aangesloten leden van VPH overweegt het hof nog dat de gestelde onrechtmatigheid ook niet kan worden gevonden in het feit dat de zorginfrastructuur onvoldoende veilig is ingericht. Het hof overweegt daartoe als volgt.

In artikel 13 Wbp is bepaald:

“De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.”

Ook naar de mening van VPH c.s. is dit de maatstaf waaraan de rechter heeft te toetsen.

Anders dan VPH c.s. betogen volgt uit die maatstaf noch uit de Parlementaire Geschiedenis ten aanzien van dat artikel dat VZVZ in casu dient te streven naar de hoogst mogelijke beveiliging. Naar in de MvT met zoveel woorden is bepaald, is er geen verplichting om steeds de allerzwaarste beveiliging te nemen. Met de rechtbank is het hof dan ook van oordeel dat het feit dat een ander beveiligingsniveau mogelijk is en/of door VPH c.s. wenselijk wordt geacht nog niet maakt dat VZVZ onrechtmatig handelt.

Partijen zijn het erover eens dat de wettelijke norm nader wordt ingekleurd door de normen van het Nederlands Normalisatie-instituut (NEN) en in dit geval meer in het bijzonder NEN7512. Vaststaat dat de nieuwste versie 7512:2015 betreft. Als niet weersproken staat voorts vast dat in de nieuwste versie rekening wordt gehouden met gegevensuitwisseling via een centraal punt (zoals in het onderhavige geval het LSP). Naast het feit dat de rechtbank onder 5.32 en 5.33 van het bestreden vonnis op goede gronden – waar het hof zich bij aansluit – heeft overwogen waarom niet kan worden aangenomen dat de vorige versie van de NEN-norm (7512:2005) de eis stelde van end-to-end versleuteling en van end-to-end autorisatie en authenticatie, geldt dat VPH c.s. onvoldoende hebben ingebracht tegen de stelling van VZVZ dat zij voldoet aan de uit NEN7512:2015 voortvloeiende eis om over de totale communicatieketen (van end-to-end) voor passende technische en organisatorische beveiligingsmaatregelen te zorgen en dat meer specifieke beveiligingsmaatregelen zoals VPH c.s. die voorstaan, niet worden opgelegd door die NEN-norm; het in een conceptversie van de vernieuwde norm opgenomen vereiste voor end-to-end encryptie voor bilaterale gegevensuitwisseling is komen te vervallen in de definitieve versie van NEN7512:2015, zelfs voor de (hier niet aan de orde zijnde) bilaterale gegevensuitwisseling. VPH c.s. hebben ook, in het licht van de gemotiveerde betwisting van VZVZ, onvoldoende gemotiveerd gesteld dat het enkele feit dat de medische gegevens (na het transport van de zorgverlener naar het LSP) in het LSP worden ontsleuteld om gegevensbestanden te kunnen samenvoegen (om vervolgens weer versleuteld te kunnen worden doorgestuurd naar de opvragende zorgverlener), maakt dat de beveiliging in de gehele keten onvoldoende is. Wat betreft de bepaling in 6.3.4 van NEN7512:2015 dat zender en ontvanger elkaars identiteit met voldoende zekerheid moeten kunnen vaststellen, overweegt het hof dat, anders dan VPH c.s. betogen, de tussenkomst van VZVZ/het LSP niet maakt dat zender en ontvanger elkaars identiteit niet met voldoende zekerheid kunnen vaststellen. Ook overigens is die vaststelling voldoende geborgd doordat zowel verzender als ontvanger geïdentificeerd zijn bij het CIBG en authenticatie plaatsvindt middels door het CIBG uitgereikte UZI-passen met unieke PIN-codes, rechtstreeks herleidbaar tot de zorgaanbieder. VZVZ weet aldus welke pashouder gegevens heeft opgevraagd en communiceert dat via een beveiligde verbinding aan het systeem waar het brondossier wordt beheerd, zodat ook (anders dan VPH c.s. betogen) de gegevens verstrekkende huisarts de identiteit van de ontvanger met voldoende zekerheid kan vaststellen. Dat een UZI-pas mogelijkerwijs door een ander kan worden gebruikt die de PIN-code van de pashouder heeft verkregen, maakt nog niet dat het gekozen beveiligingssysteem onvoldoende is. Dit geldt temeer nu VZVZ strenge gebruikersvoorwaarden oplegt aan aangesloten partijen, inzichtelijk is welke UZI-pashouder welke informatie heeft opgevraagd (logging) en zorgaanbieders tuchtrechtelijke sancties opgelegd kunnen krijgen indien zij misbruik maken van de toegang tot de zorginfrastructuur. Niet bestreden is dat de logging die wordt toegepast in de zorginfrastructuur voldoet aan de eisen van NEN 7513. Bovendien staat vast dat ook de patiënt een overzicht kan krijgen waarin staat welke zorgverlener welke medische gegevens heeft opgevraagd en welke huisarts (of apotheek) gegevens beschikbaar heeft gesteld en dat de patiënt via VZVZ ook kan vragen om telkens een e-mail te ontvangen wanneer zijn huisarts medische gegevens beschikbaar stelt en wanneer een andere zorgverlener gegevens opvraagt. Aangenomen kan worden dat de combinatie van logging en tuchtrechtelijke sancties een afschrikwekkende werking heeft ten aanzien van mogelijk misbruik.

Bovendien geldt ten aanzien van voormelde beveiligingsrisico’s nog dat VPH c.s. niet hebben betwist dat vooralsnog niet gebleken is dat zich beveiligingsrisico’s hebben verwezenlijkt of dat appellanten (dan wel andere huisartsen) anderszins schade hebben geleden ten gevolge van de (beveiligingsrisico’s van de) onderhavige zorginfrastructuur.

Zoals hiervoor is overwogen hebben VPH c.s. onvoldoende gemotiveerd gesteld dat zij de facto gedwongen worden zich aan te sluiten (of aangesloten te blijven) bij het LSP en deel te nemen in de onderhavige zorginfrastructuur. Nu het de aangesloten leden van VPH c.s. vrijstaat om (onder andere in verband met de door hen genoemde beveiligingsrisico’s) uit te treden uit de zorginfrastructuur, valt niet in te zien dat VZVZ jegens hen onrechtmatig handelt door inrichting en handhaving van de gekozen zorginfrastructuur.

Ook de overige door VPH c.s. genoemde klachten kunnen in het licht van het hiervoor overwogene niet leiden tot het oordeel dat VZVZ jegens hen onrechtmatig handelt.

Wat betreft de stelling van VPH c.s. dat de doelomschrijving van VZVZ voor deze zorginfrastructuur niet voldoet aan de eis van artikel 7 Wbp, overweegt het hof ten overvloede nog dat onder meer uit de preambule van het Convenant Gebruik Landelijke Zorginfrastructuur 2013-2016 blijkt dat de brancheorganisaties van zorgaanbieders, de Nederlandse Patiënten/Consumenten Federatie, de brancheorganisatie Zorgverzekeraars Nederland en Nictiz hebben afspraken gemaakt over de ontwikkeling en het gebruik van de zorginfrastructuur (aangehaald in 2.6 van het bestreden vonnis) genoegzaam blijkt dat de medische persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Het hof verwijst naar hetgeen de rechtbank onder 5.9 van het bestreden vonnis heeft overwogen.

Als de (overwegend) in het ongelijk te stellen partij zal het hof VPH c.s. in de kosten van het hoger beroep veroordelen.

De kosten voor de procedure in hoger beroep aan de zijde van VZVZ zullen worden vastgesteld op: