Halfhartige AP staat VWS langdurig gebruik onrechtmatig verkregen zorgdata toe

Op de website van de burgerrechtenvereniging Vrijbit zag ik heden een interessant artikel staan over een jarenlange procedure tegen de Autoriteit Persoonsgegevens(AP). Het gaat om de zaak van Vrijbit die al  zeker vanaf 2014 speelt en die na behandeling door de bestuursrechter nu in hoger beroep dient bij de Raad van State(RvS). Het kernpunt in die zaak is de weigering van de AP om adequaat te handelen na onrechtmatig  doorleveren van gegevens uit het DBC-Informatie Systeem(DIS) door de Nederlandse Zorgautoriteit(NZa) aan het ministerie van VWS en het Cultureel Plan Bureau(CPB).  Na jarenlange traineren en weigeren van de AP om handhavend op te treden, blijkt dat de AP plotseling met een halfhartig handhavingsbesluit richting VWS komt. Daarin laat de AP VWS wegkomen met het gebruik van onrechtmatig verkregen data omdat VWS een beroep doet op de noodzaak deze data te moeten hebben/gebruiken.

Waar gaat het om?

Bij de DIS-data gaat het om een informatiesysteem waarin medische persoonsgegevens van alle Nederlanders op Diagnose-Behandel Combinatie(DBC)niveau centraal worden verzameld. Deze data zijn gepseudonimiseerd. Echter vanaf 2014 dient men die data als bijzondere persoonsgegevens te beschouwen. Dat komt omdat pseudonimiseren toch de mogelijkheid overlaat data data tot personen herleidbaar zijn.  Die zorgdata leverde de NZa zonder wettelijke grondslag, onrechtmatig aan VWS en het CPB. Los daarvan kregen ook andere instanties, zoals Zorginstituut Nederland(ZiNL) en de Autoriteit Consument en Markt(ACM), ook medische persoonsgegevens aangeleverd vanuit het DIS wanneer zij meenden dat deze nodig waren voor onderzoek ten behoeve van hun wettelijk taken. De AP heeft ondanks het verzoek ertoe nimmer willen kijken of deze doorgifte van grote bestanden medische persoonsgegevens voor beleidsondersteunend onderzoek wel noodzakelijk en verantwoord was waar dit  beleidsondersteunende onderzoek ook zonder doorlevering van grote bestanden met medische persoonsgegevens had kunnen plaatsvinden binnen het DIS, dan wel uitgevoerd had kunnen worden op basis van volledig geanonimiseerde data. Ook is niet duidelijk of instanties die deze bestanden met medische persoonsgegevens kregen aangeleverd deze ook hebben gebruikt voor andere doeleinden dan waarvoor deze werden verkregen en evenmin is duidelijk of deze instanties de medische persoonsgegevens die ze vanuit het DIS hebben verkregen hebben door geleverd aan andere instellingen die deze medische data op persoonsniveau ook kunnen gebruiken om geanonimiseerde medische data waarover zij beschikken te herleiden tot personen.

Wonderlijke draai en timing

De AP besloot in 2016 niet handhavend op te treden richting VWS en NZa en ook geen nader onderzoek te doen. Nadat in 2019 Vrijbit bij de RvS hoger beroep aangetekend had tegen het besluit van de bestuursrechter dat de AP niet handhavend hoefde op te treden, zag het er naar uit dat het hoger beroep van Vrijbit bij de RvS eind 2021 zou dienen. Maar wonder, o wonder, juist op 16 december 2021 herroept de AP haar eerdere afwijzing van het handhavingsverzoek. De AP komt met een bericht dat ze wel handhavend optreedt tegen VWS maar voor het overige de verzoeken tot handhaving afwijst.

Halfhartig

Daarbij is de term “het nu handhaven tegen VWS” nogal halfhartig. VWS moet op termijn de onrechtmatig verkregen data verwijderen. Als VWS de data niet meer zegt nodig te hebben. VWS moet de verwerking van de ruwe data in de retentieperiode “beperken”. Ook moet VWS tijdens die retentieperiode zorgen voor een goede versleuteling van back-ups. De preciese tekst van wat de AP van VWS wil is te lezen in de aanhef van de gepubliceerde reactie van Vrijbit richting de RvS over het nieuwe besluit van de AP. Het staat op pagina 1 onder A Bezwaar tegen het besluit tot handhaving.