Waakhond Autoriteit Persoonsgegevens vertoont extreem egelgedrag

Wat doet een egel als er gevaar dreigt? Hij zet zijn stekels op en rolt zich op als bescherming tegen de boze buitenwereld. Precies dat gedrag vertoont de Autoriteit Persoonsgegevens(AP) met heikele kwesties zoals de verwerking van medische gegevens. Op 8 januari 2019 ontving de ex-patiënte uit de geestelijke gezondheidszorg(GGZ) die 93 weken voordien een handhavingsverzoek deed bij de AP, het bericht dat haar handhavingsverzoek was afgewezen. De AP gaf, na in gebreke stelling door de verzoekster om binnen een redelijke termijn tot een beslissing te komen, aan dat het onderzoek nog niet afgerond was en daarom het handhavingsverzoek afwees.  Het verzoek betrof de vraag om handhavend op te treden tegen het onrechtmatig verzamelen en verwerken van (medische en bijzondere) persoonsgegevens door de Stichting Benchmark GGZ(SBG) aangezien die gegevens in hoofdzaak verwerkt worden zonder toestemming van de patiënt. Meer in het bijzonder was gevraagd de verwerking van de gegevens op te schorten en toe te zien op directe vernietiging van de gegevens die opgeslagen zijn in de databank van SBG. Voor degenen die het nog niet begrepen hadden vertel ik hier dan maar dat het gaat om de Routine Outcome Monitoring(ROM) data. Even op deze website zoeken onder de categorie of de tag “ROM” laat meer dan zestig artikelen zien.

Rekken

Het is overduidelijk dat de AP vanaf het indienen van het handhavingsverzoek op 24 maart 2017 bezig geweest is tijd te rekken en geen beslissing wilde nemen. Het hoopte kennelijk dat het probleem op enigerlei wijze tussentijds door ingrijpen van de overheid, zorgverzekeraars en/of werkgevers in de GGZ zich zelf zou oplossen of tenminste kleiner worden. Een verwerpelijke tussenoplossing die bedacht werd, was de “veronderstelde toestemming” waarvan de werkgeversorganisatie in de GGZ, GGZ Nederland,  de initiatiefnemer was. Daarbij ging men er vanuit dat de patiënt als het om kwaliteitsdoeleinden gaat verondersteld werd het wel eens te zijn met het doorsturen van zijn ROM-data, ook al was het hem/haar niet gevraagd. Dat rammelde natuurlijk juridisch gezien flink.

Inzakken SBG

Door alle commotie die vanaf begin 2017 ontstaan is rond de betwiste verzameling en verwerking van ROM-data bij SBG zakte de aanlevering van die data fors in. Van de ongeveer 300 GGZ-instellingen leverden er op een bepaald moment nog maar 75 data aan. Dat was rond de tijd dat ook de toenmalige minister van VWS, Edith Schippers, openlijk moest toegeven dat aanlevering van ROM-data aan SBG een wettelijke basis ontbeerde. Gaandeweg raakte SBG een besmette instelling die met een honderd procent financiering door Zorgverzekeraars Nederland nooit kon leveren wat bij de oprichting beoogd was, namelijk benchmark- en zorginkoop-gegevens. In de loop van 2018 zien we dat de stichting Akwa opgetuigd worden. Het is de Alliantie kwaliteit in de GGZ. Als be-/verwerker van ROM-data wordt een nieuw bedrijf opgericht: De Nieuwe Entiteit.

Truc

De nieuwe truc die bij de overgang van SBG naar Akwa/De Nieuwe Entiteit wordt toegepast is dat SBG wel haar database inbrengt in voornoemde combinatie maar wel muteert. SBG heeft echter(zie pagina4/6 van AP–uitspraak) aangegeven dat zij de gegevens in de huidige database door aggregatie en verwijdering van variabelen zal terugbrengen tot een set statistische gegevens voordat ze de set overdraagt aan Akwa. Hiermee zegt SBG elk risico te willen uitsluiten dat Akwa belast wordt met dezelfde problematiek als zij in het verleden had.

AP gaat mee in truc

De AP stelt nu dat om de nieuwe feiten en omstandigheden te kunnen beoordelen genoodzaakt te zijn weer nader onderzoek in te stellen. Zij voelt zich hiertoe verplicht vanwege het zorgvuldigheidsbeginsel dat neergelegd is in de Algemene Wet Bestuursrecht. De uitkomst van dat nadere onderzoek kan eventueel invloed hebben op de besluitvorming van de AP op het handhavingsverzoek. Omdat klaagster na 93 weken wachten de AP in gebreke stelde zegt de AP niet handhavend te kunnen optreden omdat het onderzoek nog niet is afgerond. De AP wijst het handhavingsverzoek dan ook af. Als de AP niet eindeloos de zaak opgerekt had, was de situatie met een door SBG overgedragen en gedeeltelijk gemuteerde database niet hoeven te bestaan en had de AP wel kunnen en moeten handhaven ten aanzien van SBG.

Maar toch

Aan het einde van de brief laat de AP toch weten het onderzoek naar de rechtmatigheid van de onderhavige gegevensverwerkingen van SBG onverminderd(sic!!) voort te zetten. Als de uitkomsten van dat onderzoek daartoe aanleiding geven kan dat betekenen dat de AP alsnog besluit om handhavend op te treden jegens SBG. Echter, dat bedrijf is dan opgeheven.  Gaat de AP dan voormalige werknemers van SBG ter verantwoording roepen of beboeten? Gaat de AP handhavend optreden richting de rechtsopvolgers van SBG, zijnde Akwa en De Nieuwe Entiteit?

Wat als de AP wel grote bezwaren heeft tegen de verwerking in de ongemuteerde database van SBG, maar niet tegen verwerking van de data door de rechtsopvolgers?

Winst

Grote winst zit er wel in de mededeling dat SBG per brief aan de AP heeft laten weten dat Akwa patiënten voortaan om uitdrukkelijke toestemming zal vragen voor het gebruik van gegevens over behandeluitkomsten en ervaringen.

Grote belangen

Al eerder maakt ik duidelijk dat de zaak rond de ROM-data niet op zich staat. Er spelen hele grote belangen omdat dezelfde discussie als bij de ROM-data verzameling en be-/verwerking ook speelt ten aanzien van de DIS-database die de Nederlandse Zorgautoriteit(NZa) beheert. Daarin zitten (ook in gepseudonimiseerde vorm) data over Diagnose Behandel Combinaties in het DBC-Informatie-Systeem. Een al te ferme uitspraak in de ROM-zaak kan de hele DIS-dataverzameling gaan frustreren. Het is dus niet geheel toevallig dat de AP als waakhond zich gedraagt als een egel in het nauw.

W.J. Jongejan, 16 januari 2019