GERECHTSHOF ARNHEM-LEEUWARDEN locatie Arnhem afdeling civiel recht, handel zaaknummer gerechtshof 200.158.973 (zaaknummer rechtbank Midden-Nederland, locatie Utrecht 340505) arrest van 8 maart 2016 in de zaak van
(5)Wie is de verantwoordelijke? Indien in het verstrekte informatiemateriaal wordt verwezen naar de website van VZVZ acht het CBP de verstrekte informatie ook voldoende als deze minimaal drie van de bovengenoemde elementen omvat. De website van VZVZ beantwoordt namelijk alle bovengenoemde vragen.” Het CBP concludeert zijn rapport met de vaststelling dat VZVZ voldoende technische en organisatorische waarborgen (bestaande uit waarborgen ten aanzien van de software, afspraken met de zorgverlener over de wijze waarop de patiënt om toestemming wordt gevraagd, en het door VZVZ ontwikkelde informatiemateriaal) heeft getroffen om te bewerkstelligen dat alleen persoonsgegevens worden verwerkt van patiënten die daarvoor toestemming hebben verleend. Meer in het bijzonder merkt het hof over de informatie in de brochure (hiervoor geciteerd onder rechtsoverweging 3) op dat bij het antwoord op vraag 5 wordt uitgelegd dat waarnemend artsen, bijvoorbeeld op de huisartsenposten, naast persoonlijke en medicatiegegevens ook een samenvatting van het dossier bij de huisarts van de patiënt kunnen inzien (met daarin: de gezondheidsproblemen, de voorgeschreven medicijnen, de allergieën, informatie over de contacten met de patiënt in de laatste 4 maanden of de laatste 5 contacten en andere informatie die belangrijk is voor een waarnemend huisarts). VPH c.s. hebben, mede gezien hetgeen ten pleidooie in hoger beroep is vastgesteld (zie 4.3), onvoldoende gemotiveerd betwist dat deze weergave juist is. Ook is komen vast te staan dat bij de antwoorden op vraag 4 en 5 in de brochure goed is uitgelegd wie de overige zorgverleners zijn die gegevens kunnen opvragen (huisartsen(posten), (dienst)apotheken en ziekenhuisapotheken van binnen de regio van de patiënt, en medisch specialisten, ook van buiten die regio), behoudens dat hierbij de SEH-artsen niet zijn genoemd, waarover hieronder meer, en dat voorts terecht is opgemerkt dat voormelde zorgverleners niet de samenvatting van het dossier bij de huisarts te zien krijgen. 4.14 Wel is bij de opsomming van wat de apothekers en medisch specialisten te zien krijgen (persoonlijke gegevens en een overzicht van de van de apotheek verkregen medicijnen) weggelaten dat ook de ICA-gegevens van de huisarts kunnen worden ingezien. Ten pleidooie in hoger beroep heeft VZVZ aangevoerd dat dit een eis is van de Inspectie voor de Gezondheidszorg. Dat neemt echter niet weg dat de informatie in de brochure wel volledig moet zijn, opdat patiënten weten welke bij de huisarts bekende informatie inzichtelijk kan zijn voor andere zorgverleners. Bovendien moet de patiënt om gebruik te kunnen maken van de afschermmogelijkheid die hij (naar VZVZ ten pleidooie in hoger beroep heeft gesteld) ook ten aanzien van deze ICA-gegevens heeft, wel op de hoogte worden gebracht van het feit dat die gegevens, indien ze niet door afscherming worden uitgesloten van gegevensuitwisseling, tot het EMD behoren. Naar het oordeel van het hof maakt de brochure ook niet goed duidelijk dat alle behandelend medisch specialisten het EMD kunnen opvragen en niet alleen de medisch specialisten die bij spoed worden ingeschakeld. Een lezer van de brochure kan, alhoewel in het antwoord op vraag 4 in de brochure de groep van medisch specialisten die gegevens kan opvragen niet beperkt wordt, op het verkeerde been worden gezet doordat in het eerste deel van de brochure de nadruk wordt gelegd op medische hulp die ’s avonds of in het weekend moet worden verleend. Ook met betrekking tot de SEH-artsen, die niet met zoveel woorden in de brochure zijn genoemd, zou de brochure aan duidelijkheid kunnen winnen, alhoewel het hof op dit punt wel met VZVZ van oordeel is dat de gemiddelde lezer van de brochure, juist op grond van het accent dat daarin wordt gelegd op spoedeisende hulp en op grond van de veronderstelling dat een SEH-arts ook een medisch specialist is, ervan zal uitgaan dat het EMD ook voor aangesloten SEH-artsen inzichtelijk zal zijn. 4.15 Voormelde onduidelijkheden in de brochure (of in vorige versies van de brochure) betekenen echter nog niet dat VZVZ jegens VPH c.s. onrechtmatig handelt. Naast het feit dat het hof VPH c.s. niet volgt in hun (door VZVZ gemotiveerd betwiste) stelling dat zij de facto gedwongen worden zich aan te sluiten bij de zorginfrastructuur en mee te werken aan gegevensuitwisseling via het LSP, waarop hierna zal worden ingegaan, geldt wat betreft appellanten 1 tot en met 4 dat, zoals hiervoor in 4.7 reeds is overwogen, een rechtvaardiging voor doorbreking van het beroepsgeheim kan worden gevonden in de (vrije, specifieke en op informatie berustende) toestemming van de patiënt om zijn medische gegevens ten behoeve van toekomstige behandelaars te verwerken. Vastgesteld is al dat, behoudens in bijzondere gevallen waar de klachten van VPH c.s. niet op zien, aangenomen kan worden dat de toestemming op vrije wil is gebaseerd en ook voldoende specifiek is. Wat betreft de eis dat de toestemming op informatie moet berusten, overweegt het hof dat een huisarts die vreest zijn beroepsgeheim te schenden omdat zijn patiënt onvoldoende geïnformeerd toestemming verleent (bijvoorbeeld omdat hij de brochure niet goed heeft gelezen of omdat daarin een aantal voor de patiënt van belang zijnde zaken onvoldoende zijn belicht), nadere informatie over de zorginfrastructuur kan verschaffen dan wel de patiënt kan verwijzen naar VZVZ voor nadere informatie. Doordat de huisarts kan nagaan of zijn patiënt voldoende heeft begrepen waar zijn toestemming op ziet en ervoor kan zorgen dat de patiënt alsnog voldoende geïnformeerd raakt, kan niet worden geoordeeld dat de huisartsen door VZVZ (dan wel de inrichting van de zorginfrastructuur) worden gedwongen op basis van een onvolkomen toestemming hun geheimhoudingsplicht te schenden. Zoals reeds overwogen onder 4.11 volgt het hof VPH c.s. niet in hun stelling dat van een huisarts niet gevergd kan worden dat hij over de uitwisseling van medische gegevens met zijn patiënt in gesprek gaat. Dit kan immers uitdrukkelijk de wens zijn van die patiënt en ook mogelijk in diens belang met het oog op een goede behandeling in (onder meer) waarneemsituaties. De huisarts dient, teneinde registratie van de toestemming van een patiënt mogelijk te maken, in het systeem ook altijd de versie van de informatiebrochure die hij de patiënt heeft verstrekt te noteren. Ten overvloede merkt het hof hierbij nog op dat, zoals hiervoor al is vermeld, de huisarts bepaalde gevoelige informatie kan afschermen en ervoor kan zorgen dat die geen deel uitmaakt van de gegevensuitwisseling. Patiënten worden van deze mogelijkheid in de brochure op de hoogte gesteld, terwijl de huisarts de patiënt ook op deze mogelijkheid kan wijzen, vooral ook als het gevoelige informatie betreft. Wat betreft appellante 5, [appellant 5], geldt dat, nu zij geen toestemming heeft verleend voor gegevensuitwisseling via het LSP, geen (onrechtmatige) inbreuk wordt gemaakt op haar persoonlijke levenssfeer. 4.16 Ten aanzien van alle appellanten overweegt het hof dat VZVZ gemotiveerd uiteen heeft gezet dat zij niet, ook niet de facto, worden gedwongen om zich aan te sluiten bij de onderhavige zorginfrastructuur. VZVZ heeft in dat verband onbetwist gesteld dat Zorgdomein (veelal gebruikt voor het verwijzen van huisartspatiënten naar ziekenhuizen) en Zorgmail (gebruikt voor het versturen en ontvangen van recepten, ontslagbrieven en labresultaten) nog steeds in volle omvang worden gebruikt en dat er verschillende (regionale) oplossingen voor communicatie met waarnemers bestaan. Ook kan gekozen worden voor de door VPH c.s. zelf genoemde alternatieven, zoals Whitebox of Ozis (met betrekking tot laatstgenoemd systeem hebben VPH c.s. onvoldoende onderbouwd gesteld dat de beslissing om Ozis op sommige plekken uit te faseren kan worden toegerekend aan VZVZ). Bovendien bestaat, blijkens de toelichting van VPH c.s. ten pleidooie in hoger beroep, nog steeds de mogelijkheid om dossiers via de e-mail of fax te versturen, hetgeen sommige huisartsen als methode verkiezen. Vaststaat dat [appellant 2], [appellant 3] en [appellant 4] niet zijn aangesloten bij het LSP. Volgens VPH is een aantal van haar leden wel en een aantal niet aangesloten bij het LSP. Gelet op het hiervoor overwogene hebben VPH c.s. onvoldoende onderbouwd gesteld dat zij door VZVZ de facto gedwongen worden zich aan te sluiten bij het LSP. Ook dat staat aan het gestelde onrechtmatige handelen door VZVZ in de weg. 4.17 Wat betreft de aangesloten leden van VPH overweegt het hof nog dat de gestelde onrechtmatigheid ook niet kan worden gevonden in het feit dat de zorginfrastructuur onvoldoende veilig is ingericht. Het hof overweegt daartoe als volgt. In artikel 13 Wbp is bepaald: “De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.” Ook naar de mening van VPH c.s. is dit de maatstaf waaraan de rechter heeft te toetsen. Anders dan VPH c.s. betogen volgt uit die maatstaf noch uit de Parlementaire Geschiedenis ten aanzien van dat artikel dat VZVZ in casu dient te streven naar de hoogst mogelijke beveiliging. Naar in de MvT met zoveel woorden is bepaald, is er geen verplichting om steeds de allerzwaarste beveiliging te nemen. Met de rechtbank is het hof dan ook van oordeel dat het feit dat een ander beveiligingsniveau mogelijk is en/of door VPH c.s. wenselijk wordt geacht nog niet maakt dat VZVZ onrechtmatig handelt. Partijen zijn het erover eens dat de wettelijke norm nader wordt ingekleurd door de normen van het Nederlands Normalisatie-instituut (NEN) en in dit geval meer in het bijzonder NEN
- Vaststaat dat de nieuwste versie 7512:2015 betreft. Als niet weersproken staat voorts vast dat in de nieuwste versie rekening wordt gehouden met gegevensuitwisseling via een centraal punt (zoals in het onderhavige geval het LSP). Naast het feit dat de rechtbank onder 5.32 en 5.33 van het bestreden vonnis op goede gronden – waar het hof zich bij aansluit – heeft overwogen waarom niet kan worden aangenomen dat de vorige versie van de NEN-norm (7512:2005) de eis stelde van end-to-end versleuteling en van end-to-end autorisatie en authenticatie, geldt dat VPH c.s. onvoldoende hebben ingebracht tegen de stelling van VZVZ dat zij voldoet aan de uit NEN7512:2015 voortvloeiende eis om over de totale communicatieketen (van end-to-end) voor passende technische en organisatorische beveiligingsmaatregelen te zorgen en dat meer specifieke beveiligingsmaatregelen zoals VPH c.s. die voorstaan, niet worden opgelegd door die NEN-norm; het in een conceptversie van de vernieuwde norm opgenomen vereiste voor end-to-end encryptie voor bilaterale gegevensuitwisseling is komen te vervallen in de definitieve versie van NEN7512:2015, zelfs voor de (hier niet aan de orde zijnde) bilaterale gegevensuitwisseling. VPH c.s. hebben ook, in het licht van de gemotiveerde betwisting van VZVZ, onvoldoende gemotiveerd gesteld dat het enkele feit dat de medische gegevens (na het transport van de zorgverlener naar het LSP) in het LSP worden ontsleuteld om gegevensbestanden te kunnen samenvoegen (om vervolgens weer versleuteld te kunnen worden doorgestuurd naar de opvragende zorgverlener), maakt dat de beveiliging in de gehele keten onvoldoende is. Wat betreft de bepaling in 6.3.4 van NEN7512:2015 dat zender en ontvanger elkaars identiteit met voldoende zekerheid moeten kunnen vaststellen, overweegt het hof dat, anders dan VPH c.s. betogen, de tussenkomst van VZVZ/het LSP niet maakt dat zender en ontvanger elkaars identiteit niet met voldoende zekerheid kunnen vaststellen. Ook overigens is die vaststelling voldoende geborgd doordat zowel verzender als ontvanger geïdentificeerd zijn bij het CIBG en authenticatie plaatsvindt middels door het CIBG uitgereikte UZI-passen met unieke PIN-codes, rechtstreeks herleidbaar tot de zorgaanbieder. VZVZ weet aldus welke pashouder gegevens heeft opgevraagd en communiceert dat via een beveiligde verbinding aan het systeem waar het brondossier wordt beheerd, zodat ook (anders dan VPH c.s. betogen) de gegevens verstrekkende huisarts de identiteit van de ontvanger met voldoende zekerheid kan vaststellen. Dat een UZI-pas mogelijkerwijs door een ander kan worden gebruikt die de PIN-code van de pashouder heeft verkregen, maakt nog niet dat het gekozen beveiligingssysteem onvoldoende is. Dit geldt temeer nu VZVZ strenge gebruikersvoorwaarden oplegt aan aangesloten partijen, inzichtelijk is welke UZI-pashouder welke informatie heeft opgevraagd (logging) en zorgaanbieders tuchtrechtelijke sancties opgelegd kunnen krijgen indien zij misbruik maken van de toegang tot de zorginfrastructuur. Niet bestreden is dat de logging die wordt toegepast in de zorginfrastructuur voldoet aan de eisen van NEN
- Bovendien staat vast dat ook de patiënt een overzicht kan krijgen waarin staat welke zorgverlener welke medische gegevens heeft opgevraagd en welke huisarts (of apotheek) gegevens beschikbaar heeft gesteld en dat de patiënt via VZVZ ook kan vragen om telkens een e-mail te ontvangen wanneer zijn huisarts medische gegevens beschikbaar stelt en wanneer een andere zorgverlener gegevens opvraagt. Aangenomen kan worden dat de combinatie van logging en tuchtrechtelijke sancties een afschrikwekkende werking heeft ten aanzien van mogelijk misbruik. 4.18 Het hof verenigt zich ook met, en verwijst naar, de verwerping door de rechtbank (onder 5.40) van de stelling van VPH c.s. dat VZVZ door de bouw en het onderhoud van het LSP te laten uitvoeren door een Amerikaans bedrijf (CSC) in verband met de toepasselijkheid van de Patriot Act een, uit oogpunt van gegevensbescherming, onaanvaardbaar risico heeft genomen. 4.19 Bovendien geldt ten aanzien van voormelde beveiligingsrisico’s nog dat VPH c.s. niet hebben betwist dat vooralsnog niet gebleken is dat zich beveiligingsrisico’s hebben verwezenlijkt of dat appellanten (dan wel andere huisartsen) anderszins schade hebben geleden ten gevolge van de (beveiligingsrisico’s van de) onderhavige zorginfrastructuur. Zoals hiervoor is overwogen hebben VPH c.s. onvoldoende gemotiveerd gesteld dat zij de facto gedwongen worden zich aan te sluiten (of aangesloten te blijven) bij het LSP en deel te nemen in de onderhavige zorginfrastructuur. Nu het de aangesloten leden van VPH c.s. vrijstaat om (onder andere in verband met de door hen genoemde beveiligingsrisico’s) uit te treden uit de zorginfrastructuur, valt niet in te zien dat VZVZ jegens hen onrechtmatig handelt door inrichting en handhaving van de gekozen zorginfrastructuur. 4.20 Ook de overige door VPH c.s. genoemde klachten kunnen in het licht van het hiervoor overwogene niet leiden tot het oordeel dat VZVZ jegens hen onrechtmatig handelt. Wat betreft de stelling van VPH c.s. dat de doelomschrijving van VZVZ voor deze zorginfrastructuur niet voldoet aan de eis van artikel 7 Wbp, overweegt het hof ten overvloede nog dat onder meer uit de preambule van het Convenant Gebruik Landelijke Zorginfrastructuur 2013-2016 blijkt dat de brancheorganisaties van zorgaanbieders, de Nederlandse Patiënten/Consumenten Federatie, de brancheorganisatie Zorgverzekeraars Nederland en Nictiz hebben afspraken gemaakt over de ontwikkeling en het gebruik van de zorginfrastructuur (aangehaald in 2.6 van het bestreden vonnis) genoegzaam blijkt dat de medische persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Het hof verwijst naar hetgeen de rechtbank onder 5.9 van het bestreden vonnis heeft overwogen. 4.21 De in de memorie van grieven geformuleerde vorderingen van VPH c.s. kunnen gezien het voorgaande niet worden toegewezen. Het hof komt daarmee niet toe aan de vraag of de rechtbank VPH c.s. terecht ontvankelijk heeft geacht. 5De slotsom 5.1 Het hoger beroep faalt, zodat het bestreden vonnis moet worden bekrachtigd. 5.2 Als de (overwegend) in het ongelijk te stellen partij zal het hof VPH c.s. in de kosten van het hoger beroep veroordelen. De kosten voor de procedure in hoger beroep aan de zijde van VZVZ zullen worden vastgesteld op: - griffierecht € 704,- - salaris advocaat € 2.682,- (3 punten x tarief II) 5.3 Als niet weersproken zal het hof ook de gevorderde wettelijke rente over de proceskosten en de nakosten toewijzen zoals hierna vermeld. 6De beslissing Het hof, recht doende in hoger beroep: bekrachtigt het vonnis van de rechtbank Midden-Nederland, locatie Utrecht van 23 juli 2014; veroordeelt VPH c.s. in de kosten van het hoger beroep, tot aan deze uitspraak aan de zijde van VZVZ vastgesteld op € 704,- voor griffierecht en op € 2.682,- voor salaris overeenkomstig het liquidatietarief, te voldoen binnen veertien dagen na dagtekening van dit arrest, en – voor het geval voldoening binnen bedoelde termijn niet plaatsvindt – te vermeerderen met de wettelijke rente te rekenen vanaf bedoelde termijn voor voldoening; veroordeelt VPH c.s. in de nakosten, begroot op € 131,-, met bepaling dat dit bedrag zal worden verhoogd met € 68,- in geval VPH c.s. niet binnen veertien dagen na aanschrijving aan deze uitspraak hebben voldaan én betekening heeft plaatsgevonden, een en ander vermeerderd met de wettelijke rente te rekenen vanaf veertien dagen na aanschrijving én betekening; verklaart dit arrest voor zover het de hierin vermelde proceskostenveroordeling betreft uitvoerbaar bij voorraad. Dit arrest is gewezen door mrs. L.J. de Kerpel-van de Poel, C.J.H.G. Bronzwaer en S.B. Boorsma en is in tegenwoordigheid van de griffier in het openbaar uitgesproken op 8 maart 2016.