Naar aanleiding van het bezwaar van VPH c.s. dat de patiënt op het moment van het verlenen van de toestemming nog niet bekend kan zijn met zijn toekomstige gegevens, overweegt de rechtbank dat in de Brochure duidelijk is beschreven voor welke situatie de toestemming wordt verleend. Daarmee is voldaan aan de door De Artikel 29 Groep gestelde voorwaarde dat de toestemming betrekking moet hebben op “een welbepaalde concrete situatie waarin het voornemen bestaat medische gegevens te verwerken”. De eis dat degene die toestemming verleent op het moment van toestemmingverlening reeds bekend is met de inhoud van de gegevens, wordt niet gesteld. Het is inherent aan het doel (spoed- en waarneemsituaties) dat de toestemming wordt verleend voor verwerken van gegevens in de toekomstige situatie dat de eigen huisarts of apotheek niet beschikbaar is. Gelet op het feit dat de Brochure een concrete beschrijving geeft van de omstandigheden waarvoor de toestemming geldt en de aard van de in die omstandigheden te raadplegen gegevens, is geen sprake van een algemeen akkoord voor het verzamelen van medische gegevens in verleden en toekomst, zoals VPH c.s. stelt.”
\nIn aanvulling daarop overweegt het hof het volgende (rov. 4.12): “(…) Met de rechtbank is het hof van oordeel dat voor een voldoende specifieke wilsuiting niet nodig is dat degene die toestemming verleent op dat moment reeds bekend is met de inhoud van de gegevens die zullen worden uitgewisseld. Zeker wanneer het doel van de gegevensuitwisseling op grond van het HWD (waar de voornaamste bezwaren tegen worden geuit) in ogenschouw wordt genomen, geldt immers dat het op voorhand moeilijk is om te voorzien wanneer een waarneemsituatie zich zal voordoen en welke medische klacht(en) die waarneming zal betreffen. Zolang degene die toestemming verleent weet welke gegevensset in welke situatie voor welk type zorgverleners inzichtelijk is, dient de toestemming als voldoende specifiek te worden beschouwd. Of dat laatste het geval is, komt hierna aan de orde bij de bespreking van de “informed consent”.
\nWel merkt het hof in dit verband nog op dat op dit moment de patiënt nog beperkt is in zijn keuzemogelijkheid ten aanzien van de (type) zorgaanbieders die gegevens mogen inzien. Vooralsnog kan de patiënt niet aangeven dat hij wel instemt met uitwisseling van het HWD ten behoeve van waarnemingen, maar niet met de uitwisseling van ICA-gegevens in het EMD ten behoeve van bijvoorbeeld medisch specialisten (waarbij meestal geen sprake zal zijn van een spoedeisende situatie; ter zitting is immers komen vast te staan dat SEH-artsen niet tot de medisch specialisten behoren). VZVZ stelt bezig te zijn met de ontwikkeling van patiënt-toestemmingsprofielen, waarbij de patiënt (bepaalde categorieën) zorgaanbieders van de toestemming kan uitsluiten en hij aldus meer regie heeft over de gegevensuitwisseling.
\nHet is haar bedoeling om die mogelijkheid vanaf eind 2016 te kunnen aanbieden. Het hof merkt hierover op dat die mogelijkheid maakt dat de patiënt gerichter, en dus specifieker, kan bepalen welke zorgaanbieder hij toestemming verleent om zijn gegevens in te zien. Naar het oordeel van het hof behoort het tot de verantwoordelijkheid van VZVZ om zoveel mogelijk beslisvrijheid te bieden aan mensen die aan de zorginfrastructuur (willen) deelnemen en deelnemers op die manier zoveel mogelijk regie te geven over het systeem en aldus maatwerk aan te bieden. Het hof overweegt in dat kader nu reeds dat van VZVZ verwacht mag worden dat, zodra het technisch mogelijk en uitvoerbaar is om de onderhavige ‘iedereen-of-niemand-toestemming’ te vervangen door een systeem waarbij bepaalde (categorieën) zorgaanbieders kunnen worden uitgesloten van de toestemming, zij het ertoe leidt dat het systeem ook daadwerkelijk in die zin zal worden gewijzigd.”
\n8.2 De onderdelen 3.1-3.3 bevatten uitsluitend een inleiding. Onderdeel 3.4 klaagt dat het hof heeft miskend dat het vereiste van specifieke toestemming meebrengt dat deze gericht – dat wil zeggen: op een bepaalde en/of gespecificeerde gegevensverwerking – moet worden verleend. Volgens het onderdeel impliceert dit dat de betrokkene, indien sprake is van uiteenlopende verwerkingen van medische persoonsgegevens, daartussen onderscheid moet kunnen maken: “hij dient zijn toestemming te kunnen onthouden voor hem onwelgevallige verwerkingen en deze te kunnen verlenen voor wel gewenste gegevensverwerkingen”. Het onderdeel stelt dat “een zeer brede en onbepaalde machtiging om gegevens te verwerken” hieraan niet voldoet. Althans heeft het hof volgens het onderdeel miskend dat voor de toestemming die met betrekking tot de verschillende elementen van een verwerking van medische persoonsgegevens wordt verleend, het vereiste van gedifferentieerdheid bestaat: “de toestemming kan niet worden geacht betrekking te hebben op ‘alle gerechtvaardigde doeleinden’ van de voor de verwerking verantwoordelijke”. Het onderdeel betoogt dat een (eenmalig gegeven) toestemming voor uiteenlopende verwerkingen van medische persoonsgegevens die niet gedifferentieerd of ‘granulair’ kan worden gegeven, niet voldoende specifiek is.
\nAlthans is het bestreden oordeel volgens onderdeel 3.5 onvoldoende (begrijpelijk) gemotiveerd. Het onderdeel stelt ter toelichting dat vaststaat dat de patiënt via het Toestemmingsformulier uitsluitend toestemming kan verlenen of onthouden om zijn gegevens beschikbaar te stellen zoals aangegeven in de brochure “Uw medische gegevens elektronisch delen?”. De patiënt kan alleen “ja” of “nee” aankruisen. Het hof heeft in rov. 4.12 onderkend dat de patiënt niet kan aangeven dat hij wel instemt met uitwisseling van het HWD ten behoeve van waarnemingen, maar niet met de uitwisseling van ICA-gegevens in het EMD ten behoeve van bijvoorbeeld medisch specialisten. Van gerichte of gedifferentieerde toestemming is volgens het onderdeel derhalve geen sprake. Het onderdeel wijst er verder op dat volgens het hof van VZVZ verwacht mag worden dat zij, zodra dit technisch mogelijk en uitvoerbaar is, de ‘iedereen-of-niemand-toestemming’ vervangt door een systeem waarbij bepaalde (categorieën) zorgaanbieders kunnen worden uitgesloten van de toestemming. Dat een dergelijk systeem op dit moment nog niet technisch mogelijk en uitvoerbaar is, impliceert volgens het onderdeel echter niet dat de ongedifferentieerde ‘iedereen-of- niemand-toestemming’ desalniettemin voldoende specifiek zou zijn. Althans heeft het hof volgens het onderdeel niet gemotiveerd waarom dat zo zou zijn.
\n8.3 In de toelichting op het onderdeel stelt VPH c.s. dat een betrokkene toestemming moet kunnen geven die gericht is op een specifieke voorgenomen bewerking. De toestemming moet zo gedifferentieerd worden gegeven, dat deze (slechts) ziet op een duidelijk omschreven, concrete situatie. Het primaire standpunt van VPH c.s. is dat het vereiste van specifieke toestemming inhoudt dat de betrokkene toestemming moet kunnen geven die specifiek is gericht, op een concrete gegevensuitwisseling tussen bepaalde zorgaanbieders voor een actuele behandelrelatie. Subsidiair stelt VPH c.s. dat in ieder geval is vereist dat betrokkene gespecificeerd onderscheid moet kunnen maken tussen door hem wel gewenste gegevensverwerkingen en ongewenste verwerkingen. In het huidige systeem kan dat niet, zoals ook het hof onderkent. In de toelichting beroept VPH c.s. zich voorts op de reeds aangenomen Wet cliëntenrechten bij elektronische verwerking van gegevens, die op een nog te bepalen moment in werking zal treden. In deze wet is bepaald dat de patiënt gespecificeerde toestemming moet kunnen geven “voor het beschikbaar stellen van alle of bepaalde gegevens aan bepaalde door de cliënt aan te duiden zorgaanbieders of categorieën van zorgaanbieders.”
\n8.4 VPH c.s. verwijst ter nadere onderbouwing naar de amicus curiae-brief die bij haar schriftelijke toelichting is gevoegd van de organisaties Privacy First en Platform Bescherming Burgerrechten. In deze brief van 30 november 2016 wordt benadrukt dat iedere vorm van ‘generieke toestemming’ onrechtmatig is, en dat de toestemming die van patiënten wordt gevraagd voor uitwisseling via de zorginfrastructuur en het LSP ‘een vrijwel ongelimiteerde carte blanche’ vormt. In de context van medische gegevens moet de eis van specifieke toestemming volgens de organisaties zo worden opgevat, dat de toestemming altijd zo specifiek mogelijk dient te (kunnen) zijn. De organisaties leiden dit onder meer af uit Werkdocument 131 van de Artikel 29-werkgroep. Volgens de organisaties voldoet de toestemming van de patiënt niet daaraan, alleen al omdat de zorginfrastructuur en het LSP is ontworpen voor generieke in plaats van specifieke toestemming. Dit is een ontwerpfout in het systeem (gebrek aan privacy by design). Nu art. 25 van de Algemene Verordening Gegevensbescherming privacy by design als harde eis stelt, is reeds daarom de gegevensuitwisseling via zorginfrastructuur en LSP onrechtmatig. Tenslotte merken de organisaties nog op dat de Autoriteit Persoonsgegevens nooit feitelijk en juridisch heeft getoetst of de ten behoeve van de zorginfrastructuur en het LSP te verlenen toestemming van de patiënt, voldoet aan het vereiste van ‘specifieke toestemming’.
\n8.5 Art. 1, aanhef en onder i, Wbp, definieert ‘toestemming van de betrokken’ als “elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem, betreffende persoonsgegevens worden verwerkt”. Ingevolge art. 23 lid 1, aanhef en onder a j° art. 1, aanhef en onder i, Wbp moet de door de patiënt gegeven toestemming voor de verwerking van zijn persoonsgegevens derhalve voldoende specifiek zijn. Er zijn meerdere bronnen die inzicht geven in hoe het begrip ‘specifieke instemming’ moet worden ingevuld: (i) de wetsgeschiedenis bij art. 23 lid 1, aanhef en onder a j° art. 1, aanhef en onder i, Wbp, (ii) de Privacyrichtlijn met toelichting en (iii) de Werkdocumenten van de Artikel 29-werkgroep. Daarnaast is van belang (iv) de nog in werking te treden Algemene Verordening Gegevensbescherming met toelichting, en de per 1 juli 2017 in werking te treden (v) Wet Cliëntenrechten bij elektronische verwerking van gegevens. ad (i) Wetsgeschiedenis Wet bescherming persoonsgegevens 8.6 De memorie van toelichting bij art. 1, aanhef en onder i, Wbp vermeldt het volgende met betrekking tot dit vereiste: “Als tweede voorwaarde geldt dat de wilsuiting van de betrokkene betrekking moet hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen. Duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden, en als het daarbij gaat om een verstrekking aan derden, ook aan welke derden. In aansluiting op artikel 12 WPR betekent dit dat een zeer brede en onbepaalde machtiging tot het verwerken van gegevens niet als zodanig kan worden aangemerkt. De ondertekening door de betrokkene van een formulier voldoet niet aan dit criterium, als in het formulier een algemeen geformuleerde machtiging voor de verantwoordelijke is opgenomen, om de persoonsgegevens van de betrokkene te verwerken zonder nadere specificatie van bijvoorbeeld de categorieën van derden aan wie de verantwoordelijke de gegevens voornemens is te verstrekken en de soorten van gegevens die aan deze personen zullen worden verstrekt. Zo is ook de zinsnede in een contract met een reisagentschap, waarin de betrokkene toestemming geeft voor de verstrekking van persoonsgegevens aan een willekeurige derde voor de toezending van reclame, onvoldoende specifiek. De betrokkene moet weten om welke gegevensverwerking het gaat en hiervoor gerichte toestemming geven. Er kan evenmin van een rechtsgeldige toestemming worden gesproken wanneer de betrokkene geconfronteerd wordt met een geheel andere gegevensverwerking dan waarvoor hij toestemming had verleend.”
\n8.7 Blijkens deze passage geldt een toestemming als ‘voldoende specifiek’ wanneer duidelijk is (i) welke verwerking, (ii) van welke gegevens, (iii) voor welk doel zal plaatsvinden, en (iv) als het gaat om een verstrekking aan derden, ook aan welke derden. In de passage staat dat een zeer brede en onbepaalde machtiging tot het verwerken van gegevens niet als zodanig kan worden aangemerkt, maar het gegeven voorbeeld van het tekenen van een formulier maakt duidelijk dat voldoende kan zijn dat (a) de categorieën van derden aan wie de verantwoordelijke de gegevens voornemens is te verstrekken en (b) de soorten van gegevens die aan deze personen zullen worden verstrekt, worden gespecificeerd. Om te voldoen aan het vereiste van ‘voldoende specifieke toestemming’ is het dus niet noodzakelijk dat voor elke afzonderlijke gegevensverwerking c.q. voor elke afzonderlijke verstrekking aan een derde specifieke toestemming hoeft te worden gegeven. De wilsuiting kan ook betrekking kan hebben op een ‘categorie van derden’ of ‘soorten van gegevens’. Dit is een belangrijke nuancering ten opzichte van het door VPH c.s. (en de organisaties) verdedigde standpunt.
\nAd (ii) Privacyrichtlijn 8.8 De in art. 1, aanhef en onder i, Wbp gegeven definitie is vrijwel letterlijk overgenomen uit art. 2, aanhef en sub h, van de Privacyrichtlijn: ““toestemming van de betrokkene”, elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem/haar betreffende persoonsgegevens worden verwerkt.”
\nDe considerans bevat geen nadere toelichting op het toestemmingsbegrip. Ook heb ik geen rechtspraak van het HvJ over het toestemmingsbegrip uit de Privacyrichtlijn kunnen vinden. Wel is (van zijdelings belang) nog te noemen het arrest Deutsche Telekom van het HvJ over het toestemmingsvereiste in art. 12 van de Richtlijn betreffende privacy en elektronische communicatie (Richtlijn 2002/58/EG). Naar deze uitspraak wordt ook verwezen in het hierna te bespreken Werkdocument 187 van de Artikel 29-werkgroep. In dit arrest oordeelde het Hof dat de onderneming die telefoonnummers toekent niet gehouden is de abonnee later opnieuw om toestemming te vragen voor publicatie van zijn gegevens in een vergelijkbare telefoongids.
\nDie analyse was gebaseerd op het feit dat de toestemming van de abonnee betrekking heeft op het doel van de publicatie van de persoonsgegevens en niet de identiteit van de aanbieder. Daarmee is de uitleg verworpen dat de abonnee een selectief beslissingsrecht heeft. Dat het doel van de eerste publicatie van gegevens beslissend is voor de reikwijdte van de toestemming, is herhaald in het arrest Tele2/ACM. Uit deze arresten (die dus gewezen zijn in het kader van een andere Richtlijn) is af te leiden – en dat kan wellicht worden doorgetrokken naar de onderhavige zaak – dat het er met name om gaat dat voorafgaand aan het verlenen van toestemming voldoende duidelijk is gemaakt voor welke doeleinden de gegevens worden gebruikt en dat de toestemming ook betrekking heeft op díe doeleinden.
\nAd (iii) Werkdocumenten Artikel 29-werkgroep 8.9 De Artikel 29-werkgroep schrijft in haar Werkdocument 187 over de definitie van ‘toestemming’ het volgende met betrekking tot de specificatie-eis (onderstreping mijnerzijds, A-G): “Wil een toestemming rechtsgeldig zijn, dan moet ze “specifiek” zijn. Met andere woorden: een algemene toestemming zonder dat duidelijk is aangegeven wat precies het doel van de verwerking is, is niet aanvaardbaar.
\nWil een toestemming specifiek zijn, dan moet zij om te beginnen begrijpelijk zijn: uit de formulering van de toestemming moet duidelijk zijn dat de betrokkene precies op de hoogte is van de reikwijdte en de gevolgen van de gegevensverwerking waarvoor hij zijn toestemming geeft. De toestemming kan niet betrekking hebben op een open reeks van verwerkingactiviteiten. Met andere woorden: een toestemming is maar in een beperkte context geldig. De verschillende elementen van de verwerking moeten duidelijk worden omschreven en voor elk element is toestemming vereist. De toestemming heeft met name betrekking op de gegevens die worden verwerkt en de doeleinden waarvoor dat gebeurt. Het begrip hiervan moet zijn gebaseerd op de redelijke verwachtingen van de partijen. Het is dan ook inherent aan een “specifieke toestemming” dat deze op informatie berust (informed consent). Voor de toestemming die met betrekking tot de verschillende elementen van een verwerking wordt verleend, bestaat het vereiste van gedifferentieerdheid: de toestemming kan niet worden geacht betrekking te hebben op “alle gerechtvaardigde doeleinden” van de voor de verwerking verantwoordelijke. Verder kan zij […] alleen betrekking hebben op verwerkingen die gezien het doeleinde ervan redelijk en noodzakelijk zijn.
\nIn beginsel zou het mogelijk moeten zijn dat voor gegevensverwerking verantwoordelijken voor verschillende verwerkingen slechts éénmaal toestemming verkrijgen, als de betrokkene die verwerkingen redelijkerwijs had mogen verwachten.
\nHet Europees Hof van Justitie heeft onlangs een prejudiciële beslissing inzake artikel 12, lid 2, van de e-privacyrichtlijn gegeven, betreffende de noodzaak van een nieuwe toestemming van abonnees die al hadden ingestemd met de publicatie van hun persoonsgegevens in een enkele telefoongids, voor het doorgeven van die gegevens voor publicatie door andere telefoongidsdiensten.
\nHet Hof oordeelde dat wanneer de abonnee naar behoren is geïnformeerd over de mogelijkheid van doorgifte van zijn persoonsgegevens aan derde ondernemingen en hij al heeft ingestemd met de publicatie van die gegevens in een openbare telefoongids, geen nieuwe toestemming van de abonnee nodig is voor de doorgifte van dezelfde gegevens, “indien wordt gewaarborgd dat de betrokken gegevens niet voor andere doeleinden zullen worden gebruikt dan die waarvoor zij met het oog op de eerste publicatie ervan zijn verzameld” (punt 65).
\nToch kan een afzonderlijke toestemming nodig zijn als de voor de verwerking verantwoordelijke voornemens is de gegevens voor verschillende doeleinden te verwerken. Toestemming voor het toesturen van informatie over nieuwe producten zou ook toestemming voor het toezenden van informatie over specifieke promotieacties kunnen omvatten, omdat de betrokkene dit redelijkerwijs had kunnen verwachten. Maar voor het doorgeven van gegevens van de betrokkene aan derden zou een afzonderlijke toestemming moeten worden verkregen.
\nDe noodzaak van gedifferentieerdheid bij het verkrijgen van toestemming moet van geval tot geval worden bepaald, afhankelijk van het doel/de doeleinden of de ontvangers van de gegevens.
\nWij roepen in herinnering dat voor een gegevensverwerking verschillende wettelijke gronden kunnen bestaan. Sommige gegevens worden bijvoorbeeld verwerkt omdat ze noodzakelijk zijn voor de uitvoering van een contract met de betrokkene (bijv. voor product fulfilment of service management). Voor verwerkingen die verder gaan dan voor de uitvoering van het contract nodig is (bijv. het beoordelen van de kredietwaardigheid van de betrokkene (credit scoring)), is mogelijk een afzonderlijke toestemming nodig.
\nDe Groep heeft over dit element van toestemming duidelijkheid verschaft in WP 131, een advies over elektronische medische dossiers: om “specifiek” te zijn, moet een toestemming betrekking hebben op een duidelijk omschreven, concrete situatie waarin de verwerking van medische gegevens is voorzien. Vandaar dat een “algemene instemming” van de betrokkene − bijv. met de verzameling van zijn medische gegevens voor een elektronisch patiëntendossier en een eventuele doorgifte van deze gegevens aan zorgverleners − geen toestemming in de zin van artikel 2, onder h), van de richtlijn zou vormen .
\nDezelfde redenering wordt gevolgd in WP 115, een advies over het gebruik van locatiegegevens voor het verstrekken van diensten met toegevoegde waarde: “(De) definitie sluit uitdrukkelijk uit dat het geven van toestemming deel zou uitmaken van het aanvaarden van de algemene voorwaarden van de aangeboden elektronische communicatiedienst. […] Afhankelijk van welke dienst wordt aangeboden, kan de toestemming op een specifieke verrichting slaan of een akkoord behelzen om continu gelokaliseerd te worden.”
\nIn het arrest van het Europees Hof van Justitie waarnaar in hoofdstuk II (onder “Belang van toestemming: rechtmatigheidsgrond”) werd verwezen, wordt het woord “specifiek” weliswaar niet gebruikt, maar ook het Hof wijst er in zijn motivering met nadruk op dat een toestemming specifiek moet zijn, zij het met andere woorden: “[het] volstaat […] niet dat de arbeidsovereenkomst van de belanghebbende verwijst naar een collectieve arbeidsovereenkomst die een dergelijke overschrijding toestaat”.
\n8.10 In het Advies van de Artikel 29-werkgroep staat dat de verschillende elementen van de verwerking duidelijk moeten worden omschreven en dat voor elk element toestemming is vereist. Dit biedt op zich steun voor het standpunt van VPH c.s. dat de betrokkene, indien sprake is van uiteenlopende verwerkingen, hiervoor afzonderlijk toestemming moet kunnen geven, in die zin dat hij onderscheid moet kunnen maken tussen gewenste en ongewenste gegevensverwerkingen. Maar het Advies vermeldt ook dat de toestemming met name betrekking heeft op de gegevens die worden verwerkt en de doeleinden waarvoor dat gebeurt. Het begrip hiervan moet zijn gebaseerd op “de redelijke verwachtingen van de partijen”. De Werkgroep schrijft verder dat het in beginsel mogelijk zou moeten zijn dat slechts éénmaal toestemming wordt verkregen voor verschillende verwerkingen, als betrokkene die verwerkingen “redelijkerwijs had mogen verwachten”.
\nVan belang is verder dat uit het Advies blijkt dat het vereiste van specifieke toestemming nauw samenhangt met het doel van de gegevensverwerking; “de noodzaak van gedifferentieerdheid bij het verkrijgen van toestemming moet van geval tot geval worden bepaald, afhankelijk van het doel/de doeleinden of de ontvangers van de gegevens”. Het hangt dus uiteindelijk van de omstandigheden van het geval af of verkregen toestemming voldoende specifiek is. Dit betekent dat níet in zijn algemeenheid kan worden gezegd dat het vereiste van specifieke toestemming meebrengt dat altijd afzonderlijke toestemming wordt verkregen voor elke gegevensverwerking of voor elke verstrekking aan een derde.
\n8.11 De passage die overgenomen is uit Werkdocument 131 heeft specifiek betrekking op de verwerking van persoonsgegevens betreffende gezondheid in elektronische medische dossiers. Daarin staat dat om ‘specifiek’ te zijn, een toestemming betrekking moet hebben op een duidelijk omschreven, concrete situatie waarin de verwerking van medische gegevens is voorzien. Een ‘algemene instemming’ van de betrokkene − bijvoorbeeld ten behoeve van de verzameling van zijn medische gegevens voor een elektronisch patiëntendossier en een eventuele doorgifte van deze gegevens aan zorgverleners – is volgens het Werkdocument geen toestemming in de zin van art. 2, onder h, van de Privacyrichtlijn. In dit voorbeeld is dus zowel niet nader omlijnd welke medische gegevens worden opgenomen, aan wie de gegevens worden verstrekt, en voor welk doel verwerking plaatsvindt.
\n8.12 In het onderhavige geval kan niet gezegd worden dat sprake is van een brede, ‘algemene instemming’ voor gegevensverwerking. De met het Toestemmingsformulier te verlenen toestemming heeft blijkens de Brochure betrekking op bepaalde medische gegevens (namelijk de gegevens genoemd onder 1.9), op verstrekking aan bepaalde zorgaanbieders (HWD: aan waarnemend huisartsen en huisartsenposten; EMD: aan waarnemend huisartsen, huisartsenposten, apotheken en medisch specialisten) en op verstrekking voor een bepaald doel, namelijk het raadplegen van de gegevens als dat nodig is voor de behandeling. Dat de te verlenen toestemming hierop betrekking heeft, blijkt uit het Toestemmingsformulier, waarin de toestemming verleend wordt zoals in de Brochure is aangegeven (zie onder 1.12).
\n8.13 Erkend kan worden dat de toestemming in zekere mate een generiek karakter heeft en dat het denkbaar is dat een meer specifieke toestemming voor gegevensverwerking wordt gevraagd. Gedifferentieerd zou kunnen worden tussen zorgaanbieders aan wie wel en aan wie geen toestemming wordt verleend (bijvoorbeeld wél het HWD aan waarnemend huisartsen maar níet het EMD aan specialisten); gedifferentieerd zou kunnen worden naar gegevensverstrekking voor bepaalde behandelingen of voor bepaalde situaties en ook zou een verdere differentiatie van de te verstrekken gegevens kunnen worden gegeven (bijvoorbeeld: níet de ICA-gegevens in het EMD). Bij dit laatste merk ik op dat het weliswaar mogelijk is om op verzoek bepaalde gegevens uit te sluiten, zoals VZVZ steeds heeft benadrukt, maar dat daarbij niet kan worden onderscheiden tussen verschillende zorgaanbieders en/of verschillende behandelingen, voor wie wel of niet bepaalde gegevens worden uitgesloten.
\n8.14 De vraag is echter of naar de huidige stand van het recht zo’n verdere differentiatie rechtens noodzakelijk is als vereiste voor een rechtmatige gegevensverwerking. Ik denk dat dat niet het geval is. Daarvoor pleit niet alleen dat het blijkens de wetsgeschiedenis van de Wbp mogelijk is om toestemming te verlenen voor categorieën of soorten gegevens (zie onder 8-6-8.7). Ook de standpunten van de Artikel 29-werkgroep wijzen daarop. Uit Werkdocument 187 blijkt dat de eis van specifiekheid van de toestemming contextafhankelijk is, te beoordelen mede aan de hand van de doelomschrijving van de gegevensverwerking en van hetgeen degene die toestemming geeft redelijkerwijs mag verwachten. Nu voor het HWD omschreven is welke gegevens daarin zijn opgenomen (‘categorieën van gegevens’) én de toestemming alleen geldt voor waarnemend huisartsen en dus voor een situatie van waarneming, denk ik dat de toestemming van de patiënt voldoende specifiek is en dat voldaan is aan het criterium dat het gebruik van de gegevens voldoet aan wat de patiënt redelijkerwijs mag verwachten. Voor wat betreft het EMD heeft VPH c.s. geen daarop toegespitste argumenten aangevoerd.
\n8.15 De vraag of het gekozen systeem ook in overeenstemming is met het toekomstige recht, met name de Algemene Verordening Gegevensbescherming, die geldt vanaf 25 mei 2018 en de per 1 juli 2017 in werking tredende Wet cliëntenrechten bij elektronische verwerking van gegevens. Daarover is het volgende op te merken.
\nAd (iv) Algemene Verordening Gegevensbescherming 8.16 Art. 4, aanhef en sub 11, van de Algemene Verordening Gegevensbescherming omschrijft ‘toestemming van de betrokkene’ als: “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.” In de toelichting is hierover in par. 32 het volgende vermeld: “Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt. Hiertoe zou kunnen behoren het klikken op een vakje bij een bezoek aan een internetwebsite, het selecteren van technische instellingen voor diensten van de informatiemaatschappij of een andere verklaring of een andere handeling waaruit in dit verband duidelijk blijkt dat de betrokkene instemt met de voorgestelde verwerking van zijn persoonsgegevens. Stilzwijgen, het gebruik van reeds aangekruiste vakjes of inactiviteit mag derhalve niet als toestemming gelden. De toestemming moet gelden voor alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doeleinden dienen. Indien de verwerking meerdere doeleinden heeft, moet toestemming voor elk daarvan worden verleend. Indien de betrokkene zijn toestemming moet geven na een verzoek via elektronische middelen, dient dat verzoek duidelijk en beknopt te zijn en niet onnodig storend voor het gebruik van de dienst in kwestie.”
\nUit deze toelichting blijkt dat het niet noodzakelijk is dat toestemming wordt gegeven voor elke afzonderlijke verwerkingsactiviteit, maar dat de toestemming ook kan worden gegeven voor ‘alle verwerkingsactiviteiten die hetzelfde doel of dezelfde doeleinden’ dienen. Dit sluit aan bij de toestemming voor een categorie verwerkingsactiviteiten, zoals aangeduid in de wetsgeschiedenis bij de Wbp. Het sluit ook aan bij het uitgangspunt in Werkdocument WP 187 van de Artikel 29-werkgroep, dat toestemming in een beperkte context geldig is, mede gebaseerd op de redelijke verwachtingen van partijen, en dat toestemming niet geacht kan worden betrekking te hebben op ‘alle gerechtvaardigde verwerkingen’. Ik lees in de toelichting geen aangescherpte eis voor wat betreft de specifiekheid van de toestemming.
\nAd (v) Wet cliëntenrechten bij elektronische verwerking van gegevens 8.17 De Wet cliëntenrechten bij elektronische verwerking van gegevens heeft als belangrijkste doel om een aangescherpt juridisch kader te bieden voor de elektronische verwerking van medische gegevens. Op grond van art. II van deze wet, die per 1 juli 2017 in werking zal treden, worden in de Wet gebruik burgerservicenummer in de zorg de artikelen 15a tot en met 15i toegevoegd in hoofdstuk 3A, “Elektronische verwerking van gegevens”. De nieuwe artikelen 15a en 15b luiden als volgt: “ Artikel 15a 1. De zorgaanbieder stelt gegevens van de cliënt slechts beschikbaar via een elektronisch uitwisselingssysteem, voor zover de zorgaanbieder heeft vastgesteld dat de cliënt daartoe uitdrukkelijk toestemming heeft gegeven.
\nArtikel 15b 1. Het raadplegen van gegevens die beschikbaar zijn gesteld via een elektronisch uitwisselingssysteem, of een afschrift maken van die gegevens is alleen toegestaan indien de cliënt binnen die behandelrelatie daartoe uitdrukkelijke toestemming heeft gegeven.
\nDe Wet cliëntenrechten schrijft hiermee voor alle systemen waarin elektronische uitwisseling van medische gegevens plaatsvindt, een ‘opt in’ systeem voor. In alle gevallen is dus vereist dat de cliënt uitdrukkelijke toestemming geeft voor het delen van zijn medische gegevens. Bovendien schrijft de wet voor dat de toestemming gespecificeerd moet zijn. Dat betekent dat de cliënt zijn toestemming kan differentiëren door voor bepaalde gegevens wél, en voor andere géén toestemming te verlenen. Voorts krijgen cliënten het recht om bepaalde of bepaalde categorieën zorgaanbieders uit te sluiten van toegang tot de gegevens die beschikbaar zijn via het elektronisch uitwisselingssysteem.
\n8.18 Over het nieuwe systeem van toestemming in de artikelen 15a en 15b van de Wet cliëntenrechten heeft de minister het volgende opgemerkt: “Met de voorgestelde wijzigingen van artikel 15a en 15b wordt beoogd duidelijkheid te geven over de vraag wanneer toestemming aan een cliënt moet worden gevraagd, en wat de reikwijdte is van die toestemming.
\nArtikel 15a regelt de zogenaamde «opt-in» vraag. Allereerst wordt aan artikel 15a, eerste lid, toegevoegd dat het om uitdrukkelijke toestemming moet gaan. Zoals betoogd in het nader rapport volgt het feit dat het om uitdrukkelijke toestemming moet gaan al uit artikel 23, eerste lid, onderdeel a, Wbp en is er in lijn met het wetsvoorstel Wet cliëntenrechten zorg, voor gekozen alleen de term «toestemming» te gebruiken. Nu de Wcz komt te vervallen en het wenselijk is dat er geen enkele twijfel bestaat over de aard van de vereiste toestemming, wordt het woord «uitdrukkelijke» alsnog toegevoegd.
\nDe reikwijdte van de «opt-in»-vraag en de mogelijkheid om (categorieën van) zorgaanbieders uit te sluiten, riep blijkens het verslag van de Tweede Kamer de nodige vragen op. In de voorgestelde aanpassing van artikel 15a, tweede lid, wordt nu duidelijk onderscheid gemaakt in het geven van generieke toestemming en het geven van beperkte (gespecificeerde) toestemming. De gespecificeerde toestemming houdt in dat de cliënt benoemt voor welke zorgaanbieders of categorieën van zorgaanbieders zijn gegevens raadpleegbaar kunnen worden gemaakt en daarnaast kan de cliënt bepalen dat slechts bepaalde gegevens beschikbaar worden gesteld. Door gebruik te maken van gespecificeerde toestemming zijn automatisch alle zorgaanbieders die hij niet heeft benoemt uitgesloten om zijn gegevens te raadplegen. Het geven van gespecificeerde toestemming, vereist van de cliënt dat hij goed nadenkt binnen welke kring hij uitwisseling wenselijk acht.”
\n8.19 Tijdens de behandeling van het wetsvoorstel in de Eerste Kamer is uitvoerig stilgestaan bij de betekenis van het wetsvoorstel Cliëntenrechten bij elektronische verwerking van gegevens en, meer specifiek, de voorgestelde art. 15a en 15b van de Wet gebruik servicenummer in de zorg. Minister Schippers heeft hierover in de Nadere memorie van antwoord het volgende geschreven (onderstreping mijnerzijds): “In het parlement wordt het belang van zorgvuldigheid bij elektronische uitwisseling van medische gegevens onderschreven. Voorliggend wetsvoorstel komt tegemoet aan wensen en moties vanuit zowel uw Kamer als de Tweede Kamer (…). Een aantal randvoorwaarden is niet nieuw maar vormt een nadere invulling op de bestaande wet- en regelgeving. Ook nu al moeten zorgaanbieders bij uitwisseling van gegevens voldoen aan de eisen uit de Wet bescherming persoonsgegevens (Wbp) en de Wet geneeskundige behandelingsovereenkomst (WGBO).
\nVanwege het vertrouwelijke karakter van medische gegevens is het van belang dat aan de patiënt uitdrukkelijke toestemming wordt gevraagd om medische gegevens elektronisch beschikbaar te stellen voor raadpleging door andere zorgverleners die zijn aangesloten op het elektronisch uitwisselingssysteem. Toestemming vragen voor het beschikbaar stellen van deze gegevens is ook nu al verplicht op grond van de WGBO en de Wbp. Het oorspronkelijke wetsvoorstel vulde dit aan met het recht om bepaalde zorgaanbieders of bepaalde gegevens van de gegevensuitwisseling uit te sluiten. In de Tweede Kamer is deze bepaling aangescherpt met het amendement Bruins Slot (33 509, nr. 13). De cliënt heeft daardoor het recht bepaalde of alle gegevens voor inzage ter beschikking te stellen aan bepaalde (categorieën van) zorgaanbieders. De mogelijkheid voor zorgaanbieders om toestemming te vragen met een vraag die met eenvoudig «ja» of «nee» kan worden beantwoord is hiermee vervallen. Het staat de patiënt wel vrij om voor alle aangesloten zorgaanbieders toestemming te verlenen of te onthouden, bijvoorbeeld door op een (digitaal) toestemmingsformulier te kiezen voor de optie «ja, ik geef toestemming voor alle genoemde (categorieën) zorgaanbieders», of te kiezen voor de optie: «ik geef geen toestemming». In die zin kan het antwoord wel een generiek karakter hebben.
\nDe zorgaanbieder dient de verleende toestemming te registreren en te zorgen dat gegevens conform de toestemming van de patiënt worden uitgewisseld. (…) Een patiënt dient een goede afweging te kunnen maken bij het verlenen van toestemming. Hiervoor dient hij goed geïnformeerd te worden welke gegevens, met welk doel, aan wie, en op welke manier beschikbaar worden gesteld. De zorgaanbieder die de toestemming vraagt is degene die op grond van dit wetsvoorstel verplicht is de patiënt de benodigde informatie te verschaffen. De informatieplicht voor het verwerken van persoonsgegevens is reeds in de Wbp vastgelegd en wordt in dit wetsvoorstel nader uitgewerkt voor elektronische uitwisseling van gegevens.
\nHet is vanzelfsprekend dat de patiënt recht heeft op elektronische inzage en een elektronisch afschrift van zijn eigen medische gegevens. Voor papieren dossiers is dit in de WGBO vastgelegd.
\nHet wetsvoorstel vereist dat wordt vastgelegd wie gegevens heeft ingezien of heeft toegevoegd en op welke datum (logging). Hiermee vult het wetsvoorstel de eisen die de Wbp stelt aan logging aan en de gedragscode van de beroepsorganisaties in de zorg (EGIZ 2014) aan. (...) Zorgen over uitvoerbaarheid van gespecificeerde toestemming Tijdens de bijeenkomst met deskundigen in uw Kamer is mij gebleken dat met name de bepaling rond gespecificeerde toestemming in het wetsvoorstel (artikel 15a, lid 2) verschillend wordt geïnterpreteerd en op zorgen rond uitvoerbaarheid stuit. Dit was voor mij aanleiding om na die bijeenkomst op 13 april jongstleden het overleg met de KNMG, de KNMP, de LHV, de NPCF en Nictiz voort te zetten. Het doel van het overleg was te komen tot een eensluidende interpretatie van het artikel en een aanpak die werkbaar is voor zowel de cliënt als de zorgaanbieder. Voor de cliënt is het belangrijk dat hij overzicht houdt aan wie hij welke toestemming heeft verleend voor het beschikbaar stellen van gegevens. Voor de zorgaanbieders is het van belang dat het vragen van toestemming en de registratie ervan in de dagelijkse zorgpraktijk uitvoerbaar is en vermijdbare toename van administratieve lasten wordt voorkomen. In dit verband verwijst u (…) terecht naar mijn toezegging over het reduceren van de regeldruk. Het is geenszins mijn intentie de regeldruk voor zorgaanbieders te verhogen.
\nIn het overleg is gebleken dat gespecificeerde toestemming niet alleen gevolgen heeft voor de wijze waarop de toestemmingsvraag aan patiënten dient te worden gesteld, maar ook voor de wijze waarop de verleende toestemming wordt geregistreerd. Dit vergt organisatorische en technische aanpassingen aan de werkwijze en de uitwisselingsystemen van zorgaanbieders. Daarnaast moeten systemen van zorgaanbieders worden aangepast om te zorgen dat alleen gegevens worden uitgewisseld met andere zorgaanbieders conform de verleende gespecificeerde toestemming.
\nVanwege de grote diversiteit in landelijke, regionale en lokale systemen bij aanbieders en verschillen in uitwisselingsnetwerken hebben zorgaanbieders tijd nodig om gespecificeerde toestemming in de praktijk te implementeren.
\nOplossingsrichting: groeimodel De KNMG, KNMP, LHV en NPCF hebben nadrukkelijk blijk gegeven van een gedeelde visie op een veilige en verantwoorde elektronische uitwisseling van gegevens. In het perspectief dat partijen voor ogen hebben, zal de patiënt zelf zijn toestemmingsprofiel kunnen vastleggen, inzien en aanpassen, bijvoorbeeld met behulp van een te ontwikkelen patiëntenportaal. Juist door het beheer van het toestemmingprofiel bij de patiënt zelf te leggen is hij in staat om goed te overzien waarvoor hij toestemming geeft en hier regie op te voeren. Ik deel deze visie die aansluit bij de doelstelling van het amendement Bruins Slot en bij de ontwikkelingen in de zorg, waarbij de patiënt steeds meer regie houdt op, en verantwoordelijkheid neemt voor zijn eigen zorg. Door de regie over het toestemmingsprofiel bij patiënten te leggen worden onnodige administratieve lasten bij zorgaanbieders voorkomen.
\nDe zorgpartijen stellen, gefaciliteerd door VWS en Nictiz, een gezamenlijk plan op, waarin ze enerzijds toewerken naar het geschetste eindperspectief en tegelijkertijd concrete stappen zetten om de noodzakelijke veranderingen ten opzichte van de huidige situatie in kaart te brengen, de impact van deze veranderingen voor zorgaanbieders in beeld te brengen en van oplossingen te voorzien.
\nOm de zorgpraktijk in de gelegenheid te stellen zich aan te passen aan de eisen van dit wetsvoorstel en de beroeps- en cliëntenorganisaties de mogelijkheid te bieden toe te werken naar het geschetste eindperspectief zal ik gebruikmaken van de mogelijkheid die het wetsvoorstel mij biedt om de bepalingen ten aanzien van gespecificeerde toestemming (art. 15a, tweede lid) en het bijhouden van de registratie van gespecificeerde toestemming (art. 15c, tweede lid) drie jaar na inwerkingtreding van dit wetsvoorstel in werking te laten treden.
\nBij het toetsen van het wetsvoorstel aan de zorgpraktijk zijn nog twee uitvoeringskwesties aan het licht gekomen. Zo is gebleken dat de verplichting om toestemming te vragen de gegevens te mogen raadplegen (art.15b) die met toestemming van de cliënt elektronisch beschikbaar zijn gesteld, in veel gevallen niet uitvoerbaar is. In de praktijk is er niet altijd sprake van direct contact met de cliënt op het moment dat het dossier geraadpleegd wordt. Illustratief is de situatie waarin een zieke cliënt een familielid vraagt met een recept naar de apotheek te gaan voor het afhalen van zijn medicatie. Ook stuurt een groot aantal huisartsen recepten direct naar de apotheek waar de medicatie al klaar staat op het moment dat de cliënt verschijnt. Op basis van deze concrete signalen uit de zorgpraktijk ben ik voornemens deze bepaling niet in werking te laten treden. In deze afweging heb ik meegewogen dat de cliënt door het amendement Bruins Slot gespecificeerd toestemming zal geven om gegevens beschikbaar te stellen aan bepaalde (categorieën) zorgaanbieders. Opnieuw toestemming vragen door deze zorgaanbieders om de gegevens te raadplegen zal door veel cliënten dan ook als herhaling worden ervaren.
\nTen tweede is gebleken dat veel zorgaanbieders op dit moment nog geen adequate en veilige invulling kunnen geven aan het recht op elektronische inzage en elektronisch afschrift. Wenkend perspectief is dat de burger beschikt over veilige authenticatiemiddelen op voldoende hoog betrouwbaarheidsniveau waarmee hij toegang kan krijgen tot zijn gegevens. Helaas verloopt de ontwikkeling van een veilig authenticatiemiddel minder snel dan verwacht. Daarom laat ik ook de bepalingen ten aanzien van elektronische inzage en elektronisch afschrift niet eerder in werking treden dan drie jaar na inwerkingtreding van het wetsvoorstel. Ik ga ervan uit dat op dat moment een authenticatiemiddel op hoog niveau beschikbaar is voor veilige elektronische inzage en afschrift.
\nResumerend stel ik voor de volgende bepalingen later in werking te laten treden: •Artikel 15a, tweede lid, gespecificeerde toestemming •Artikel 15c, tweede lid, registratie van de gespecificeerde toestemming •Artikel 15d, elektronische inzage en afschrift •Artikel 15e, elektronisch afschrift van de logging.
\nDaarnaast stel ik voor artikel 15b, de verplichting om toestemming te vragen voor het raadplegen van gegevens, niet in werking te laten treden. Ten slotte (…) verzocht u door middel van een cijfermatige beoordeling inzichtelijk te maken welke gevolgen het geamendeerde wetsvoorstel heeft op de regeldruk, c.q. aan te geven in hoeverre die gevolgen afwijken van de oorspronkelijk ingeschatte regeldrukeffecten. Uw bezorgdheid richt zich met name op de effecten van de door het amendement Bruins Slot (33 509, nr. 13) ingebrachte «gespecificeerde toestemming». De bevindingen uit het geschetste traject dat partijen met steun van VWS en Nictiz starten zijn randvoorwaardelijk voor een antwoord op uw brief van 20 april jongstleden en de in het nader verslag gestelde vragen door de leden van meerdere fracties (VVD, CDA (…) en D66) over regeldruk en administratieve lasten voor zorgaanbieders. Immers, zolang niet duidelijk is hoe gespecificeerde toestemming wordt geïmplementeerd is het niet mogelijk aan te geven wat dit betekent voor de regeldruk. Ik verwacht dat in het eindperspectief, waarin de cliënt zelf zijn toestemmingsprofiel beheert, de toename van administratieve lasten voor de zorgpraktijk beperkt kan blijven.
\nReactie op de vragen in het nader verslag (…) De leden van de VVD-fractie geven aan dat de introductie van de term gespecificeerde toestemming verwarring wekt en opheldering behoeft. Ook de leden van de fractie van GroenLinks vragen om een nadere duiding van de term en vragen naar het verschil met specifieke toestemming. De leden van de fractie van GroenLinks stellen dat in de praktijk «gespecificeerd» meer op generiek dan op specifiek lijkt.
\nIn het overleg met de beroepsorganisaties is gewerkt aan een gezamenlijke interpretatie van het begrip gespecificeerde toestemming.
\nDe Wet bescherming persoonsgegevens (Wbp) stelt dat toestemming (onder andere) specifiek moet zijn. Dat wil zeggen dat duidelijk moet zijn voor welke verwerking, van welke gegevens, voor welk doel de zorgaanbieder toestemming vraagt. Op basis van die specifieke informatie geeft de cliënt uitdrukkelijke toestemming door de toestemmingsvraag met een eenvoudig «ja» of «nee» te beantwoorden.
\nOok op grond van dit wetsvoorstel mag een zorgaanbieder alleen gegevens beschikbaar stellen via een elektronisch uitwisselingssysteem, als de cliënt uitdrukkelijk toestemming heeft gegeven. Toestemming mag niet worden verondersteld.
\nEchter, bij gespecificeerde toestemming op grond van dit wetsvoorstel moet de patiënt bovendien de mogelijkheid krijgen nader te specificeren of deze zorgaanbieder alle of bepaalde gegevens beschikbaar mag stellen en aan welke zorgaanbieders of categorieën van zorgaanbieders hij die gegevens beschikbaar mag stellen. Met het amendement Bruins Slot is het stellen van een toestemmingsvraag die alleen met «ja» of «nee» kan worden beantwoord niet meer mogelijk.
\nZoals ik in mijn inleiding al aan heb gegeven kan de patiënt wel kiezen om toestemming te geven om alle gegevens beschikbaar te stellen aan alle zorgaanbieders of in het geheel geen toestemming te verlenen voor uitwisseling van zijn gegevens. In die zin kan het antwoord van de patiënt wel een generiek karakter hebben.
\nOm te zorgen dat de patiënt met deze bepaling ook daadwerkelijk het overzicht houdt is het van belang dat de toestemmingsvraag voldoende helder is voor de patiënt. Indien de toestemmingsvraag op een te hoog detailniveau is gespecificeerd verliest de patiënt het overzicht en schiet de wetgever zijn doel voorbij. Zorgaanbieders maken afspraken welke gegevens moeten worden uitgewisseld voor een bepaalde zorginhoudelijke doelstelling, bijvoorbeeld veilig medicijngebruik. Het ligt in de rede dat in de toestemmingsvraag wordt aangesloten bij deze afspraken. Dit is transparant en overzichtelijk voor de patiënt.
\nOm te voldoen aan de eisen ten aanzien van gespecificeerde toestemming is het niet noodzakelijk dat de patiënt per zorgaanbieder toestemming kan geven. Indien die optie niet beschikbaar is in het elektronisch uitwisselingssysteem dat de zorgaanbieder gebruikt, heeft de patiënt de keuze tussen categorieën zorgaanbieders. (…) In de praktijk kan de situatie ontstaan – en ik verwijs naar het door de leden van de fractie van D66 aangehaalde voorbeeld in mijn Memorie van Antwoord van 26 maart 2015 – waarbij «apotheek X in plaats Y tegelijk voor alle apotheken in plaats Y toestemming vraagt om de medicatiegegevens beschikbaar te stellen». Een cliënt kan immers besluiten om alle of bepaalde gegevens aan bepaalde zorgaanbieders dan wel categorieën van zorgaanbieders beschikbaar te laten stellen. In het geval van het voorbeeld wordt er toestemming gegeven aan de apothekers in plaats Y, zijnde een categorie van zorgaanbieders.
\nDe leden van de fractie van GroenLinks vragen in dit verband of het niet zuiverder is om in plaats van categorieën zorgverleners toestemming te geven, de specificatie te doen slaan op een specifieke zorgverlener. Zoals uit het bovenstaande duidelijk wordt, is het allebei mogelijk, al naar gelang de behoefte van de cliënt en de mogelijkheden van het gebruikte systeem. De Patiëntenfederatie NPCF heeft in haar bijdrage aan de deskundigenbijeenkomst benadrukt dat aan de diverse behoeften van cliënten tegemoet moet worden gekomen en dat de cliënt zelf wil bepalen aan wie hij of zij de eigen medische gegevens toevertrouwt.
\nIn het perspectief dat partijen voor ogen hebben, zal de patiënt zelf zijn toestemmingsprofiel kunnen vastleggen, inzien en aanpassen, bijvoorbeeld met behulp van een te ontwikkelen patiëntenportaal. Dit biedt mogelijkheden voor patiënten om op het niveau van individuele zorgverleners toestemming te verlenen. Indien deze optie niet beschikbaar is in het systeem van de zorgaanbieder heeft de patiënt de keuze tussen categorieën zorgaanbieders . In het verlengde daarvan en tevens in antwoord op de vraag van de leden van de fractie van D66, mag een cliënt alle categorieën, geen enkele categorie of bepaalde categorieën van zorgaanbieders aanwijzen. De leden van de fractie van D66 vragen hoe en door wie deze categorieën worden bepaald.
\nDe leden van de fractie van SP veronderstellen dat zo lang er geen categorieën zijn vastgesteld, het voor zowel de zorgaanbieder als de cliënt onduidelijk is waarvoor toestemming is gegeven.
\nDe uitwerking en vaststelling van de categorieën zorgaanbieders wordt opgepakt door de betrokken partijen bij de verdere uitwerking . Overigens, het is niet zo dat er in het geheel geen categorieën te benoemen zijn waarvan voor iedereen de reikwijdte helder is. Voor zowel patiënt als zorgaanbieder zijn zorginstellingen als ziekenhuizen, apotheken of huisartspraktijken heldere categorieën.
\nHet antwoord op de vraag van de leden van de fractie van SP waarom ik vasthoud aan het vereiste van gespecificeerde toestemming is dat ik recht wil doen aan het amendement Bruins Slot. (…) In mijn inleiding heb ik toegelicht hoe ik tegemoet kom aan de zorgen over de uitvoerbaarheid van dit wetsvoorstel en hoe partijen samen toe gaan werken naar een eindperspectief waarin de patiënt zelf regie voert over zijn toestemmingsprofiel. (…) (...) De leden van de SP-fractie vragen uiteen te zetten wat het verschil is tussen opt-in, specifieke toestemming en gespecificeerde toestemming.
\nDe opt-in systematiek houdt in dat voorafgaand aan het beschikbaar stellen van gegevens via een elektronisch uitwisselingssysteem, toestemming van de cliënt vereist is. Op deze wijze kan de cliënt actief bepalen al dan niet deel te willen nemen aan de uitwisseling van zijn medische gegevens. Opt-outsystemen zijn niet toegestaan. In art. 1, sub i, van de Wbp staat als definitie van toestemming van betrokkene: «elke vrije, specifieke en op informatie berustende wilsuiting», waarbij «specifiek» betekent dat duidelijk is welke verwerking van welke gegevens, voor welk doel en aan wie kunnen worden verstrekt. Dit heeft betrekking op uitwisseling van gegevens in het algemeen en ziet niet specifiek op medische gegevens. Specifieke toestemming vragen op grond van de Wbp is mogelijk met een vraag waarop de cliënt met een eenvoudig «ja» of «nee» kan antwoorden, mits de vraag voldoende specifiek is gemaakt.
\nGespecificeerde toestemming op grond van dit wetsvoorstel houdt in dat de cliënt bij het geven van toestemming aangeeft welke gegevens hij beschikbaar wil laten stellen en aan welke zorgaanbieders of categorieën van zorgaanbieders hij die gegevens beschikbaar wil stellen. Dit is een vraag die niet met een eenvoudig «ja» of «nee» kan worden beantwoord . Alle (categorieën van) zorgaanbieders die hij niet heeft benoemd zijn automatisch uitgesloten om zijn gegevens die beschikbaar zijn in een elektronisch uitwisselingssysteem te raadplegen. De doelstelling van gespecificeerde toestemming is om de cliënt bewust keuzes te laten maken ten aanzien van het geven van toestemming.
\nTevens vragen de leden van de SP-fractie of na het geven van eerdere generieke toestemming (men spreekt van generiek opt-in) er altijd gespecificeerde toestemming (men spreekt van opt-out) moet volgen. De leden van de fractie van D66 stellen een nagenoeg gelijke vraag: is het juist dat na inwerkingtreding van het onderhavige wetsvoorstel een eerder gegeven toestemming ongeldig wordt en opnieuw om toestemming moet worden gevraagd.
\nAls eerder gegeven toestemming niet uitdrukkelijk is geweest, zal alsnog uitdrukkelijke en gespecificeerde toestemming moeten worden gevraagd. Als wel uitdrukkelijke toestemming is gegeven, kan worden volstaan met het goed informeren van de cliënten over de wetswijziging en hen erop te attenderen dat zij het recht hebben de toestemming nader te specificeren tot bepaalde gegevens of bepaalde categorieën van zorgaanbieders. (…)”
\n8.20 Uit deze uiteenzetting blijkt dat de Wet cliëntenrechten, naast het al bekende begrip “specifieke toestemming” een nieuw begrip introduceert (althans: het begrip ‘specifieke toestemming’ nader invult), namelijk “gespecificeerde toestemming”. Gespecificeerde toestemming houdt in dat de cliënt (patiënt) bij het geven van toestemming aangeeft welke gegevens hij beschikbaar wil laten stellen en aan welke zorgaanbieders of categorieën van zorgaanbieders hij die gegevens beschikbaar wil stellen. Met gespecificeerde toestemming wordt derhalve nader gedifferentieerd voor welke gegevens, voor welke zorgaanbieders of categorieën daarvan, toestemming wordt verleend. Ik ga ervan uit dat een dergelijke, gespecificeerde toestemming, de toestemming is die VPH c.s. voor ogen staat. Ik weet dat echter niet zeker, omdat ook in het nieuwe systeem gewerkt gaat of kan worden met ‘categorieën van zorgaanbieders’.
\n8.21 Uit de nadere memorie van antwoord blijkt echter ook dat de eis dat toestemming gespecificeerd moet zijn, zoals in de nieuwe wet bedoeld, naar huidig recht nog niet geldt. De minister onderkent dat het op dit moment technisch en organisatorisch nog niet mogelijk is een systeem te ontwerpen waarin wordt uitgegaan van gespecificeerde toestemming. Om die reden heeft de regering, na overleg met beroeps- en cliëntenorganisaties, toegezegd de bedoelde eis niet tegelijkertijd met de rest van de Wet cliëntenrechten in werking te laten treden (1 juli 2017), maar pas drie jaar later. In de Nota naar aanleiding van Verslag heeft de minister dit herhaald.Bij wet van 5 oktober 2016 is de Wet gebruik servicenummer in de zorg gewijzigd in die zin dat de art. 15a en 15b, hiervoor weergegeven, zijn opgenomen. Art. IX van de wet van 5 oktober 2016 bepaalt dat de Wet cliëntenrechten bij elektronische verwerking van gegevens op een bij koninklijk besluit te bepalen tijdstip in werking treedt en dat die datum voor de verschillende artikelen en onderdelen verschillend kan worden vastgesteld. Het feit dat art. 15b (de verplichting om toestemming te vragen voor het raadplegen van gegevens), waarover de minister eerder had gezegd dat ze het voornemen heeft om het niet in werking te laten treden, toch is opgenomen in de nieuwe wet, betekent dat de mogelijkheid wordt opengelaten dat deze bepaling te zijner tijd toch in werking treedt.
\n8.22 Uit het voorgaande kan worden afgeleid dat na inwerkingtreding van de eis van gespecificeerde toestemming, zoals neergelegd in het te wijzigen art. 15a van de Wet gebruik servicenummer in de zorg, het systeem zoals dat in de onderhavige procedure ter beoordeling voorligt, niet meer rechtmatig is. Nu duidelijk blijkt dat sprake is van een aanscherping van de huidige eisen en het in de bedoeling ligt dat de thans fungerende uitwisselingssystemen daarop zullen worden aangepast, is er geen reden om uit de nieuwe eis consequenties te trekken voor de wijze waarop naar huidig recht beoordeeld moet worden of voldaan is aan het vereiste van ‘specifieke toestemming’.
\n8.23 In het licht van het bovenstaande heeft het hof niet blijk gegeven van een onjuiste rechtsopvatting door het vereiste van een ‘specifieke toestemming’ uit te leggen zoals het heeft gedaan. Daarmee faalt de rechtsklacht van onderdeel 3.4.
\n8.24 Voor de motiveringsklacht van onderdeel 3.5 geldt het volgende. Ook het hof heeft onder ogen gezien dat een verdere mate van gespecificeerdheid van de te verlenen toestemming denkbaar (en wenselijk) is. In dat verband heeft het hof overwogen dat van VZVZ mag worden verwacht dat zij, zodra dit technisch mogelijk en uitvoerbaar is, het systeem ook zodanig aanpast. Zoals hiervoor is besproken, is die aanpassing binnen enkele jaren ook juridisch vereist. Nu naar de huidige stand van het recht de toestemming naar mijn mening voldoet aan de eis van ‘specifieke toestemming’, hoefde het hof aan zijn overweging geen verdere gevolgen te verbinden en zijn oordeel ook niet nader te motiveren. Ook de motiveringsklacht faalt hiermee.
\n9Onderdeel 4; informed consenten taak huisartsen 9.1 Onderdeel 4 is gericht tegen de volgende overweging in rov. 4.15: “Wat betreft de eis dat de toestemming op informatie moet berusten, overweegt het hof dat een huisarts die vreest zijn beroepsgeheim te schenden omdat zijn patiënt onvoldoende geïnformeerd toestemming verleent (…) nadere informatie over de zorginfrastructuur kan verschaffen dan wel de patiënt kan verwijzen naar VZVZ voor nadere informatie. Doordat de huisarts kan nagaan of zijn patiënt voldoende heeft begrepen waar zijn toestemming op ziet en ervoor kan zorgen dat de patiënt alsnog voldoende geïnformeerd raakt, kan niet worden geoordeeld dat de huisartsen door VZVZ (dan wel de inrichting van de zorginfrastructuur) worden gedwongen op basis van een onvolkomen toestemming hun geheimhoudingsplicht te schenden. Zoals reeds overwogen onder 4.11 volgt het hof VPH c.s. niet in hun stelling dat van een huisarts niet gevergd kan worden dat hij over de uitwisseling van medische gegevens met zijn patiënt in gesprek gaat. Dit kan immers uitdrukkelijk de wens zijn van die patiënt en ook mogelijk in diens belang met het oog op een goede behandeling in (onder meer) waarneemsituaties.”
\n9.2 Onderdeel 4.1 bevat geen klacht. Onderdeel 4.2 klaagt dat het hof met zijn oordeel over wat tot de taak van een huisarts behoort, blijk geeft van een onjuiste rechtsopvatting, nu een regel zoals weergegeven in de bestreden rechtsoverweging in zijn algemeenheid geen steun vindt in het recht. Het onderdeel stelt dat waartoe een redelijk bekwaam en redelijk handelend huisarts jegens zijn patiënt is gehouden, afhangt van de omstandigheden van het geval.
\n9.3 In de bestreden overweging in rov. 4.15 respondeert het hof op de stelling van VPH c.s. dat VZVZ onrechtmatig zouden handelen jegens de huisartsen omdat zij gedwongen worden hun beroepsgeheim te schenden, door gegevensuitwisseling te laten plaatsvinden op grond van gebrekkige toestemming van de patiënt. In die overweging lees ik niet dat het hof van oordeel zou zijn dat de regel geldt dat op de huisarts altijd de verplichting rust om te onderzoeken of de patiënt voldoende geïnformeerd is over het LSP. Daarmee faalt onderdeel 4.2.
\n9.4 Onderdeel 4.3 klaagt dat het hof in de bestreden overweging heeft miskend dat niet de huisarts maar VZVZ, als verantwoordelijke voor de gegevensverwerking, ervoor moet zorgen dat toestemming op voldoende informatie berust. Volgens het onderdeel wordt VZVZ van deze verantwoordelijkheid niet gekweten doordat de huisarts, wanneer dit in het belang van de patiënt is, deze voorlicht over de uitwisseling van medische gegevens via de zorginfrastructuur.
\n9.5 In rov. 4.1 stelt het hof vast dat VZVZ verantwoordelijke is in de zin van art. 1, aanhef en onder d, Wbp. Deze vaststelling is juist, aangezien het VZVZ is die het doel van en de middelen voor de verwerking van de medische persoonsgegevens vaststelt. Dat VZVZ verantwoordelijke is in de zin van de Wbp, is ook niet bestreden in cassatie. Dit laat echter onverlet dat het de eigen huisarts is die verantwoordelijk is voor de inhoud van de gegevens die in het HWD worden opgenomen. Het is immers de huisarts die uit hoofde van de dossierplicht van art. 7:454 BW gehouden is aantekening te houden van de medische gegevens van de patiënt en deze te bewaren (zie onder 4.37). Zoals het hof in rov. 4.1 heeft overwogen, blijft de in het dossier opgenomen informatie decentraal opgeslagen in de eigen systemen van de huisarts of de apotheek van de patiënt. In dit systeem blijft de huisarts inhoudelijk verantwoordelijk voor het dossier van de betrokken patiënt. Hiervan wordt ook uitgegaan in Werkdocument 131 van de Artikel 29-werkgroep inzake de verwerking van persoonsgegevens in elektronische medische dossiers (EMD). In dit Werkdocument worden drie organisatiemogelijkheden voor een elektronisch medisch dossier onderscheiden. Eén van die mogelijkheden is de decentrale opslag zoals in het onderhavige geval aan de orde is. Hierover wordt het volgende opgemerkt: “Bij decentrale opslag , een model dat slechts door de toevoeging van zoekpaden een “systeem” wordt, blijft de bestaande documentatiestructuur van de gezondheidsgegevens bij de verschillende zorgverleners ongewijzigd. (...).
\nIn dit organisatiemodel blijft de zorgverlener/zorginstelling “verantwoordelijk” voor het dossier (meer bepaald het gedeelte van het EMD dat door hem/haar is aangemaakt). (...)”
\n9.6 De verantwoordelijkheid van de huisarts voor de in het HWD opgenomen gegevens van de patiënt maakt dat, naast VZVZ, óók de huisarts verantwoordelijk is in de zin van de Wbp, namelijk voor wat betreft de door hem ter beschikking gestelde gegevens. In het systeem van de Wbp kunnen namelijk meerdere organen of personen als verantwoordelijke worden aangemerkt, zoals reeds volgt uit de in art. 1, aanhef en onder d, Wbp gebruikte woorden ‘alleen of samen met anderen’. Zie over de mogelijkheid van meerdere verantwoordelijken voor gegevensverwerking de memorie van toelichting bij art. 1, aanhef en sub d, Wbp: “Een belangrijke nuancering is voorts dat in bepaalde situaties ook sprake kan zijn van gezamenlijke of gedeelde verantwoordelijkheid. De richtlijn houdt hier rekening mee. Het Europees Parlement heeft door een amendement in de definitie van «voor de verwerking verantwoordelijke» door de toevoeging daarin van de zinsnede «alleen of te zamen met anderen» de mogelijkheid van een regeling voor samenwerkende verantwoordelijken getroffen. Deze clausule is overgenomen in het wetsvoorstel. Ten aanzien van een geheel van gegevensverwerkingen is het mogelijk dat meerdere personen of instanties, dus een pluraliteit van verantwoordelijken, als zodanig worden aangemerkt. Daarbij kunnen drie vormen van verantwoordelijkheid onderscheiden worden.
\n9.7 Gelet op de verantwoordelijkheid van de huisarts voor de inhoud en opname van medische gegevens van de patiënt in het dossier, ligt het in de rede dat op de huisarts de verplichting rust om ervoor te zorgen dat de patiënt die toestemming verleent tot het verstrekken van inlichtingen aan derden, over voldoende informatie beschikt om die toestemming goed geïnformeerd te verlenen. Nu voor opname van de patiëntgegevens in de zorginfrastructuur en het LSP de patiënt aan de huisarts toestemming moet geven voor opheffing van zijn beroepsgeheim, is het noodzakelijk dat de huisarts verifieert of deze toestemming berust op ‘informed consent’. Ook dat brengt mee dat op de huisarts – en niet VZVH – de taak rust om over de uitwisseling van de gegevens in gesprek te gaan met de patiënt. Het is ook (alleen) de huisarts die met de patiënt kan bespreken of bepaalde gegevens wellicht níet in het HWD moeten worden opgenomen. Dat deze taak op de huisarts rust, wordt ook aangenomen in de Richtlijn Omgaan met medische gegevens van de KNMG (mijn onderstreping): “Vanwege het beroepsgeheim verstrekt de arts in beginsel geen medische informatie aan derden. Op deze hoofdregel bestaan verschillende uitzonderingen (…). Een van die uitzonderingen treedt op, wanneer de patiënt expliciet toestemming geeft voor het verstrekken van informatie op verzoek van een derde.
\nHiervoor moet de patiënt weten met welk doel de gegevens worden opgevraagd en/of verstrekt, wat de inhoud is van de informatie en wat de mogelijke consequenties van de gegevensverstrekking zijn. De arts moet zich ervan vergewissen dat de patiënt hiervan op de hoogte is . In de wet is niet voorgeschreven dat de patiënt de toestemming schriftelijk geeft, maar dit verdient wel de voorkeur. De arts mag van de patiënt verlangen dat hij schriftelijk toestemming geeft, maar hij mag ook besluiten de mondelinge toestemming zelf in het dossier aan te tekenen.”
\n9.8 Het voorgaande leidt tot de conclusie dat ook onderdeel 4.3 faalt.
\n10Onderdeel 5: doelbinding 10.1 Onderdeel 5 is gericht tegen rov. 4.20. Daarin overweegt het hof het volgende: “4.20 Ook de overige door VPH c.s. genoemde klachten kunnen in het licht van het hiervoor overwogene niet leiden tot het oordeel dat VZVZ jegens hen onrechtmatig handelt. Wat betreft de stelling van VPH c.s. dat de doelomschrijving van VZVZ voor deze zorginfrastructuur niet voldoet aan de eis van artikel 7 Wbp, overweegt het hof ten overvloede nog dat onder meer uit de preambule van het Convenant Gebruik Landelijke Zorginfrastructuur 2013-2016 blijkt dat de brancheorganisaties van zorgaanbieders, de Nederlandse Patiënten/Consumenten Federatie, de brancheorganisatie Zorgverzekeraars Nederland en Nictiz hebben afspraken gemaakt over de ontwikkeling en het gebruik van de zorginfrastructuur (aangehaald in 2.6 van het bestreden vonnis) dat de medische persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Het hof verwijst naar hetgeen de rechtbank onder 5.9 van het bestreden vonnis heeft overwogen.”
\nIn rov. 5.9 van het vonnis heeft de rechtbank het volgende overwogen: “5.9. In de preambule van het Convenant hebben de bij het Convenant betrokken partijen doeleinden geformuleerd (…). De beschreven doeleinden “betere en veiliger zorg”, “het bevorderen van doelmatigheid in de zorg” en “meer betrokkenheid van patiënten bij hun eigen gezondheid” hebben betrekking op de registratie en verwerking van medische persoonsgegeven en vormen naar het oordeel van de rechtbank daarvoor een voldoende rechtvaardiging. Daarbij is in aanmerking genomen dat de noodzaak voor registratie en uitwisseling van medische persoonsgegevens voor een goede en veilige gezondheidszorg algemeen is aanvaard. Dat thans eveneens algemeen is aanvaard dat registratie en uitwisseling plaatsvinden langs elektronische weg blijkt onder meer uit het (…) advies en werkdocument van De Artikel 29 Groep en het advies van het Cbp van 18 januari 2012. In deze documenten wordt niet in twijfel getrokken dat is voldaan aan het vereiste dat het leveren van een betere gezondheidszorg een gerechtvaardigd doel vormt voor de registratie en verwerking van medische persoonsgegevens langs elektronische weg. VPH c.s. erkent dit zelf ook. De omschrijving van de doeleinden in een convenant is naar haar aard in algemene bewoordingen gesteld en zal pas bij de uitwerking daarvan concreter kunnen zijn. De rechtbank acht de in het Convenant gegeven doeleindenomschrijving, anders dan VPH c.s. heeft gesteld, voldoende concreet.”
\n10.2 De onderdelen 5.1 en 5.2 bevatten geen klacht. Onderdeel 5.3 klaagt dat het hof, door zijn oordeel te baseren op de preambule van het Convenant, de feitelijke grondslag heeft aangevuld en art. 24 Rv heeft geschonden. Het onderdeel voert in dat verband aan dat VZVZ het standpunt heeft ingenomen dat VPH c.s. ten onrechte uitsluitend kijkt naar de omschrijving in het Convenant, want: “de doelstellingen die daarin staan vermeld zijn niet gericht aan de betrokkene, uitsluitend van beleidsmatige aard en niet opgesteld met als doel het verwerkingsdoeleinde te bepalen.” Volgens het onderdeel volgt hieruit dat ook VZVZ van opvatting is dat de in het Convenant omschreven doeleinden niet voldoen als welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden als bedoeld in art. 7 Wbp. Onderdeel 5.4 neemt tot uitgangspunt dat het hof, net als de rechtbank, aan zijn oordeel ten grondslag heeft gelegd dat ‘de omschrijving van de doeleinden in een convenant naar haar aard in algemene bewoordingen is gesteld en pas bij de uitwerking daarvan concreter kunnen zijn’. Het klaagt dat het hof in dat geval is uitgegaan van een onjuiste rechtsopvatting omtrent art. 7 Wbp, omdat het dan heeft miskend dat dit artikel (althans het element ‘welbepaald’ daarin) eist dat het doel van de verwerking voorafgaand aan die verwerking geformuleerd is, opdat dit een kader kan bieden waaraan getoetst kan worden of de gegevens nodig zijn voor dat doel of niet.
\n10.3 Art. 7 Wbp bepaalt dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Het woord ‘welbepaald’ houdt volgens de wetsgeschiedenis in dat de doelomschrijving duidelijk moet zijn, niet zo vaag of ruim bijvoorbeeld dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan worden over de gegevens nodig zijn voor dat doel of niet. Zie de memorie van toelichting: “Persoonsgegevens mogen enkel voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verkregen. «Welbepaald en uitdrukkelijk omschreven» houdt in dat men geen gegevens mag verzamelen zonder een precieze doelomschrijving. Het doel moet zijn bepaald alvorens men tot verzamelen overgaat. «Welbepaald» houdt in dat deze doelomschrijving duidelijk moet zijn, niet zo vaag of ruim bij voorbeeld dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan worden over de gegevens nodig zijn voor dat doel of niet. Het doel mag ook niet in de loop van het verzamelproces geformuleerd worden.”
\n10.4 VZVZ heeft in de passage in de memorie van antwoord waarnaar onderdeel 5.3 verwijst (par. 4.12), aangevoerd dat VPH c.s. in de memorie van grieven, par. 3.6 en 3.9, ten onrechte uitsluitend kijken naar de omschrijving in het Convenant. In deze stelling ligt besloten de opvatting dat de doelstellingen van de zorginfrastructuur ook in andere bronnen (documenten) uiteen worden gezet. De vervolgopmerking van VZVZ dat de in het Convenant vermelde doelstellingen niet gericht zijn aan de betrokkene, uitsluitend van beleidsmatige aard zijn en niet zijn opgesteld met als doel het verwerkingsdoeleinde te bepalen, impliceert niet dat VZVZ van mening zelf van mening zou zijn dat de in het Convenant genoemde doelstellingen niet “welbepaald, uitdrukkelijk omschreven en gerechtvaardigd” zijn. Van een aanvulling van de feitelijke grondslag is geen sprake, nu VPH c.s. zelf de in het Convenant vermelde doelstellingen heeft betrokken in de discussie over de doelomschrijving van de gegevensverwerking. Onderdeel 5.3 faalt derhalve.
\n10.5 Het hof verwijst ter onderbouwing van zijn oordeel dat de doelomschrijving van VZVZ voor de zorginfrastructuur aan de eis van art. 7 Wbp voldoet, naar rov. 5.9 van het vonnis van de rechtbank. Deze overweging kan niet anders worden begrepen dan dat de doelomschrijving uit het Convenant naar het oordeel van de rechtbank weliswaar in algemene bewoordingen is gesteld, maar dat die wel als “voldoende concreet” moet worden aangemerkt, dus ook zonder nadere, meer concrete uitwerking. Dit blijkt ook uit de slotzin van rov. 5.9. Hieruit volgt dat de doelomschrijving uit het Convenant, ook zonder nadere uitwerking, naar oordeel van rechtbank en hof voldoet aan de eisen van art. 7 Wbp. Het hof betrekt hierbij blijkens rov. 5.9 ook dat de noodzaak voor registratie en uitwisseling van medische persoonsgegevens voor een goede en veilige gezondheidszorg algemeen is aanvaard. Het voorgaande betekent dat het hof er níet vanuit is gegaan dat de doeleinden van gegevensverwerking niet voorafgaand aan die verwerking is geformuleerd, zoals het onderdeel veronderstelt.
\n10.6 Dit betekent dat ook onderdeel 5.4 niet kan slagen.
\n11Conclusie De conclusie strekt tot verwerping van het cassatieberoep.
\nDe Procureur-Generaal bij de Hoge Raad der Nederlanden A-G Gerechtshof Arnhem-Leeuwarden 8 maart 2016, ECLI:NL:GHARL:2016:1697, GJ 2016/93 m.nt. M.H.L. Hemmer en JBP 2016/18; rechtbank Midden-Nederland 23 juli 2014, ECLI:NL:RBMNE:2014:3097, GJ 2014/158 m.nt. E.F. Vaal en M.H.L. Hemmer en JBP 2014/91 m.nt. A.C. Hendriks.
\nProd. 3 inleidende dagvaarding.
\nRov. 4.3 van het arrest van het hof Arnhem-Leeuwarden van 8 maart 2016. Zie prod. 11 inleidende dagvaarding.
\nVersie van de brochure van oktober 2014, prod. 24 memorie van antwoord.
\nSchriftelijke toelichting mrs. Tjittes en Dekker, punt 9-14.
\nWet van 5 oktober 2016 tot wijziging van de Wet gebruik burgerservicenummer in de zorg, de Wet marktordening gezondheidszorg en de Zorgverzekeringswet (cliëntenrechten bij elektronische verwerking van gegevens). Stb. 2016, 373. De wet treedt per 1 juli 2017 in werking. Zie de brief van minister Schippers van 14 november 2016, Kamerstukken I, 2016-2017, 33 509, U.
\nMemorie van antwoord, p. 4.
\nVia de zorginfrastructuur kan ook voor andere toepassingen worden gebruikt (memorie van antwoord 7.3), maar deze zijn in de onderhavige procedure niet aan de orde.
\nMemorie van grieven punt 3.88.
\nHet standpunt van VPH c.s. dat een onbepaalde groep van derden toegang heeft tot de dossiers (zie onder meer memorie van grieven, punt 2.3, 2.21, 3.81) is door het hof niet gevolgd. Zie ook schriftelijke toelichting VPH c.s. punt 2.16.
\nZie hiervoor de Richtlijn gegevensuitwisseling huisarts en Centrale Huisartsenpost van het NHG (memorie van antwoord punt 5.18). Zie over de professionele samenvatting voorts prod. 11 bij de inleidende dagvaarding.
\nRichtlijn overdracht van medicatiegegevens in de keten, opgesteld door NHG, KNMP, NVZA en FMS (memorie van antwoord punt 5.18).
\nKamerstukken 31 466, Wetsvoorstel Wet gebruik burgerservicenummer in de zorg in verband met de elektronische informatie-uitwisseling in de zorg.
\nAdvies W13.07.0256/I, Kamerstukken II, 2007-2008, 31 466, nr. 4.
\nUit in mei 2009 door het Cbp gedaan onderzoek bleek dat twee onderzochte regionale EPD’s in strijd met de wet zouden handelen Die strijd zou met name bestaan op drie terreinen: de informatieplicht, de logging en de toegangsbeveiliging. Zie hierover Medisch Contact 17 juni 2009: “EPD: misverstanden over de centrale opslag en regionale EPD’s.”
\nBrief KNMG van 17 april 2009 aan de Eerste Kamer inhoudende commentaar ten behoeve van de behandeling in de Eerste Kamer van de Wijziging van de Wet gebruik burgerservicenummer in de zorg i.v.m. de elektronische informatieuitwisseling in de zorg (31 466).
\nZie voor dit punt het Advies van de Raad van State W13.07.0256/I, Kamerstukken II, 2007-2008, 31 466, nr. 4.
\nDe Eerste Kamer heeft het wetsvoorstel verworpen op 5 april 2011. Zie Handelingen I, 2010-2011, nr. 23, item 4 (Stemmingen). Zie voor het debat over het EPD Handelingen I, 2010-2011, nr. 20, item 2 (datum vergadering 15 maart 2011).
\nKamerstukken II, 2011-2012, 33 000 XVI, nr. 39.
\nLandelijke Huisartsen Vereniging (LHV), de Vereniging Huisartsenposten Nederland (VHN), de Koninklijke Nederlandse Maatschappij ter bevordering der Pharmacie (KNMP), de Nederlands Vereniging van Ziekenhuizen (NVZ) en de Patiëntenfederatie Nederland (NPCF).
\nZie de nota Doorstartmodel elektronische gegevensuitwisseling in de zorg met behulp van het hergebruik van onderdelen van de landelijke infrastructuur en de juridische aspecten ervan van 21 december 2011. Het voorstel is afkomstig van LHV, KNMP, VHN en NVZ (prod. 2 inleidende dagvaarding).
\nArt. 13f lid 2 sub b van wetsvoorstel 31 466.
\nZie memorie van antwoord punt 5.19.
\nZie hiervoor de website van VZVZ: www.vzvz.nl/page/Zorgconsument/Het-LSP/Het-LSP/Zo-werkt-het.
\nIn de praktijk betekent dit dat een huisartsenpost gegevens kan uitwisselen met de huisartsen in de regio en dat apotheken gegevens kunnen uitwisselen met andere apotheken, ziekenhuizen en huisartsenposten uit de omgeving.
\nOok voor andere zorgverleners, bijvoorbeeld huisartsen en apotheken, kan om bepaalde redenen een uitzondering worden gemaakt. Als zij patiënten uit meerdere regio’s zien, kunnen zij een verzoek indienen om met meerdere regio’s gegevens uit te wisselen. Zie hiervoor de website van VZVZ: www.vzvz.nl/page/Zorgconsument/Het-LSP/Gegevens-uitwisselen/Wie-kan-gegevens-inzien.
\nMemorie van grieven punt 2.25.
\nZie memorie van grieven punt 2.24-2.25 ; pleitnota hoger beroep VPH c.s. punt 9, 15, 22, 28.
\nStb. 2000, 302.
\nJ. Gerards, SDU Commentaar EVRM, art 8, par. C.6.1. Zie over de bescherming van persoonsgegevens onder art. 8 EVRM voorts Harris, O’Boyle & Warbrick, Law of the European Convention on Human Rights, Oxford University Press 2014, p. 559-562.
\nEHRM 16 februari 2000, ECLI:NL:XX:2000:AP0622 (Amann/Zwitserland).
\nEHRM 6 september 1978, A-serie nr. 28 (Klass c.s./Duitsland), EHRM 2 augustus 1984, ECLI:NL:XX:1984:AB8061, NJ 1988/534 m.nt. J.V. van Dijk (Malone/Verenigd Koninkrijk), EHRM 16 december 1992, ECLI:NL:XX:1992:AD1800, NJ 1993/400 m.nt. EJD (Niemietz/Duitsland).
\nEHRM 28 januari 2003, nr. 00044647/98 (Peck/Verenigd Koninkrijk). Zie ook EHRM 5 oktober 2010, ECLI:NL:XX:2010:BP3541, NJ 2011/566 m.nt. E.J. Dommering (Köpke/Duitsland).
\nEHRM 7 december 2006, nr. 29514/05, ECLI:NL:XX:2009:BJ8705, EHRC 2007/40 m.nt. Koops (Van der Velden/ Nederland); EHRM 20 januari 2009, ECLI:NL:XX:2009:BJ8705, NJ 2009/411 (W./Nederland); EHRM 4 december 2008, ECLI:NL:XX:2008:BH1813, NJ 2009/410 m.nt. E.A. Alkema (S. en Marper/Verenigd Koninkrijk).
\nEHRM 18 april 2013, nr. 19522/09 (M.K./Frankrijk).
\nZie bijvoorbeeld EHRM 4 december 2015, nr. 47143/06, NJ 2017/185 m.nt. E.J. Dommering (Zakharov/Rusland). Zie voor een overzicht J. Gerards, SDU Commentaar EHRM, art 8, par. C.6.1.
\nEHRM 25 februari 1997, ECLI:NL:XX:1997:AD4448, NJ 1999/516 m.nt. G. Knigge (Z/Finland). Zie ook, EHRM 6 juni 2013, nr. 1585/09 (Avilkina e.a./ Rusland) en EHRM 29 april 2014, nr. 52019/07 (L.H./Letland). Zie over de bescherming van medische gegevens door art. 8 EVRM onder meer M.C. Ploem, Het (landelijk) elektronisch patiëntendossier: een toets aan artikel 8 EVRM. In: Grondrechten in de gezondheidszorg. Liber Amicorum voor prof. J.K.M. Gevers (red. A.C. Hendriks e.a.), Houten 2010, p. 79-89 en C.P.J. Wijnakker, Omgaan met medische informatie in overeenstemming met art. 8 EVRM. In: VRA 2012/115.
\nZie ook het onder 5.4 nog te bespreken arrest Santander, HR 9 september 2011, ECLI:NL:HR:2011:BQ8097, NJ 2011/595 m.nt. E.J. Dommering.
\nMerel Koning, Het recht op bescherming van persoonsgegevens in de Europese en nationale rechtsorde na Lissabon. In J. Gerards, H. de Waele en K. Zwaan (red.), Vijf jaar bindend EU-Grondrechtenhandvest. Deventer 2015, p. 355. Zie ook H.R. Kranenborg en L.F.M. Verhey, Wet bescherming persoonsgegevens in Europees perspectief. Deventer 2011, p. 21.
\nZie voor dit toetsingsschema onder meer Harris, O’Boyle & Warbrick, Law of the European Convention on Human Rights, Oxford University Press 2014, p. 505-520.
\nC.P.J. Wijnakker, Omgaan met medische informatie in overeenstemming met art. 8 EVRM. In: VRA 2012/115.
\nMerel Koning, a.w. p. 355.
\nT. Barkhuysen en A.W. Bos, De betekenis van het Handvest van de Grondrechten van de Europese Unie voor het bestuursrecht. In: JBplus 2011, p. 3-34, p. 9. Zie over het Handvest ook: J. Gerards, H. de Waele en K. Zwaan (red.), Vijf jaar bindend EU-Grondrechtenhandvest. Doorwerking, consequenties, perspectieven. Deventer 2015; P.J.G. Kapteyn, De reikwijdte van het Handvest van de grondrechten van de Europese Unie als onderdeel van een Grondwet voor Europa. In: RM Themis 2004, p. 111 e.v.
\nBarkhuysen en Bos, a.w., p. 15.
\nZie over de horizontale werking van het Handvest in privaatrechtelijke verhoudingen C. Sieburgh, Het Handvest en het algemene vermogensrecht. In: J. Gerards, H. de Waele en K. Zwaan (red.), Vijf jaar bindend EU-Grondrechtenhandvest. Doorwerking, consequenties, perspectieven. Deventer 2015, p. 505-531.
\nRichtlijn 95/46/EG van 24 oktober 1995, laatstelijk gewijzigd door Pb EU 2003 L 284. De Richtlijn is in werking getreden per 13 december 1995.
\nVerordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).
\nZie over de Algemene Verordening Gegevensbescherming onder meer J.P. de Jong, De Algemene verordening gegevensbescherming, Ars Aequi 2016, p. 770-773; H. de Vries en M. Goudsmit, Voorsorteren op de Algemene Verordening Gegevensbescherming. Twee stappen vooruit, één stap terug, Nederlands Juristenblad 2016, p. 1077 e.v.
\nDe inspraaktermijn voor de consultatie van het concept wetsvoorstel Uitvoeringswet Algemene verordening gegevensbescherming is op 17 januari 2017 gesloten. Zie over de Uitvoeringswet: Diana Comijs, De bescherming van bijzondere persoonsgegevens in de Uitvoeringswet AVG. In: NJB 2017, p. 1669-1675.
\nDe naam van de werkgroep is ontleend aan art. 29 van (de Privacyrichtlijn). Zie voor de taken en publicaties van de Artikel 29-werkgroep https://autoriteitpersoonsgegevens.nl/nl/over-de-autoriteit-persoonsgegevens/internationale-samenwerking/artikel-29-werkgroep. Een overzicht van de publicaties van de Artikel 29-werkgroep is ook te vinden in Jan Berkvens & Cathérine Jakimowicz, Tekstuitgave Privacyverordening. Den Haag: 2016, p. 647 e.v.
\nKamerstukken II, 1997-1998, 25 892, nr. 3, p. 14.
\nZie hierover uitvoerig H.J.J. Leenen, J.C.J. Dute e.a., Handboek gezondheidsrecht, 2014, par. 2.12.2.
\nBesluit van 7 mei 2001, houdende aanwijzing van verwerkingen van persoonsgegevens die zijn vrijgesteld van de melding bedoeld in art. 27 Wbp.
\nKamerstukken II, 1997-1998, 25 892, nr. 3, p. 79 e.v.
\nZie daarover ook E.M.L. Moerel en J.E.J. Prins, Privacy voor de homo digitalis. Proeve van een nieuw toetsingskader voor gegevensbescherming in het licht van big data en Internet of Things. In: Homo Digitalis (Preadviezen Nederlandse Juristenvereniging). Deventer 2016, p. 65 e.v.
\nKamerstukken II, 1997-1998, 25 892, nr. 3, p. 9.
\nKranenborg en Verhey, a.w. par. 3.4.6.
\nKranenborg en Verhey, a.w. par. 3.4.6.
\nKranenborg en Verhey, a.w. par. 3.8.
\nZie bijv. HvJ EU 16 december 2008, nr. C-524/06, NJ 2009, 194 m.nt. M.R. Mok, EHCR 2009/23 m.nt. E. Brems (Huber).
\nHet gaat om de verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging, alsmede om strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag (art. 16 Wbp).
\nKamerstukken II, 1997-1998, 25 892 nr. 3, p. 101.
\nKamerstukken II, 1997-1998, 25 892 nr. 6, p. 42.
\nKamerstukken II, 1997-1998, 25 892 nr. 3, p. 122.
\nKamerstukken II, 1997-1998, 25 892 nr. 3, p. 23-24.
\nDe Wgbo is neergelegd in afdeling 7.7.5 BW en in werking getreden per 1 april 1995. Zie over de Wgbo onder meer Asser/Tjong Tjin Tai 7-IV 2014/381 e.v.
\nZie de noot van J. Legemate bij HR 5 juli 2011, NJ 2011/416 (Verpleeghuis Maastricht). Zie ook H.J.J. Leenen, J.C.J. Dute e.a., Handboek gezondheidsrecht, 2014, par. 2.11.1.
\nM. Buijsen, O. Floris, E. Hulst en T. van Noord, Medisch beroepsgeheim in dubio. De verhouding van het medisch beroepsgeheim tot andere zwaarwegende maatschappelijke belangen, Rotterdam 2012 (Erasmus Universiteit, in opdracht van het ministerie van VWS), p. 25.
\nDat geldt ook voor het met het beroepsgeheim samenhangende verschoningsrecht van de arts, zie onder meer (in verband met het verschoningsrecht van de notaris) HR 1 maart 1995, NJ 1986/173 (notaris Maas-beschikking).
\nH.J.J. Leenen, J.C.J. Dute e.a., Handboek gezondheidsrecht, 2014, par. 2.11.1.
\nZie voor een opsomming van voorbeelden van dergelijke bepalingen H.J.J. Leenen, J.C.J. Dute e.a., Handboek gezondheidsrecht, 2014, par. 2.11.2.
\nT&C Gezondheidsrecht, aant. 2 bij art. 7:457 BW (Stolker).
\nT&C Gezondheidsrecht, aant. 2 bij art. 7:457 BW (Stolker).
\nH.J.J. Leenen, J.C.J. Dute e.a., Handboek gezondheidsrecht, 2014, par. 2.11.2. Leenen formuleert zes cumulatieve criteria voor het opheffen van het beroepsgeheim in geval van conflict van plichten. In het genoemde rapport Medisch beroepsgeheim in dubio, p. 54-55, worden deze criteria overgenomen.
\nH.J.J. Leenen, J.C.J. Dute e.a., Handboek gezondheidsrecht, 2014, par. 2.11.2. Zie o.m. HR 20 april 2001, RvdW 2001, 87.
\nKamerstukken II, 1997-1998, 25 892, nr. 3, p. 94-95.
\nKamerstukken II, 1990-1991, 21 561, nr. 3, p. 23.
\nKamerstukken II, 1990-1991, 21 561, nr. 6, p. 6 e.v. Zie voorts Kamerstukken II, 1991-1992, nr. 11 p. 4. e.v.
\nT.F.M. Hooghiemstra en S. Nouwt, Sdu Commentaar Wet bescherming persoonsgegevens, 2013, Algemene toelichting, aant. 11.1.
\nH.E.G.M. Hermans en M.A.J.M. Buijsen, Recht en gezondheidszorg, 2010 (2e druk), p. 248. Zie ook TK 1990-1991, 21 561, nr. 6, p. 46.
\nAsser-Tjong Tjin Tai, 7-IV/427.
\nAsser-Tjong Tjin Tai, 7-IV/427.
\nHet onderdeel verwijst in dat verband naar de memorie van grieven, par. 2.18, 3.78-3.94, en de pleitnotities in hoger beroep, par. 15-16.
\nHR 9 september 2011, ECLI:NL:HR:2011:BQ8097, NJ 2011/595 m.nt. E.J. Dommering (Santander).
\nZie voor deze uitleg - onder verwijzing naar het Santander-arrest - ook het onderzoeksrapport van de Autoriteit Persoonsgegevens ‘Verwerking van persoonsgegevens in het sociaal domein: De rol van toestemming. Onderzoeksrapport op basis van inlichtingen van 41 gemeenten’ van april 2016 (gepubliceerd 10 juni 2016). Zie Bijlage I van het rapport. Vgl. repliek in cassatie punt 2.5.
\nMemorie van grieven, par. 2.18, 3.78-3.94 (grief XIV); pleitnotities in hoger beroep, par. 15-16.
\nDe in de vorige noot genoemde vindplaatsen bevatten een groot aantal andere stellingen. Een deel daarvan heeft een zeer algemeen karakter en een deel daarvan - met name dat er een grote groep van derden is die de gegevens kunnen raadplegen - (‘iedere zorgverlener met een UZI-pas’, zie de noot van Vaal en Hemmer bij het vonnis van de rechtbank) berust op een aanname, die in cassatie niet tot uitgangspunt kan worden genomen. Nu niet duidelijk blijkt dat VPH c.s. (ook) op deze stellingen doelt, laat ik die rusten.
\nHet onderdeel verwijst naar de memorie van grieven, punt 3.101-106.
\nZie ook M.H.L. Hemmer in zijn noot onder het bestreden arrest, GJ 2016/93: “Appellanten deden ook nog een beroep op art. 9.4 Wbp, dat bepaalt dat de verwerking van persoonsgegevens achterwege dient te blijven voor zover een geheimhoudingsplicht zich daartegen verzet. Het Hof meent met een verwijzing naar eerdere oordelen van het Cbp (de voorganger van de Autoriteit Persoonsgegevens) en de wetsgeschiedenis dat dit artikel niet aan het gebruik van een EPD in de weg kan staan, wanneer de gegevensverwerking in het EPD op een geldige toestemming is gebaseerd. Dit komt logisch voor.”
\nCBP 23 mei 2001, z2000-1330.
\nSchriftelijke toelichting mrs. Van Aerde en Menger, par. 4.14-4.16.
\nHet artikellid luidt: “Persoonsgegevens betreffende erfelijke eigenschappen mogen slechts worden verwerkt voor zover deze verwerking plaatsvindt met betrekking tot de betrokkene bij wie de betreffende gegevens zijn verkregen, tenzij: a. een zwaarwegend geneeskundig belang prevaleert of b. de verwerking noodzakelijk is ten behoeve van wetenschappelijk onderzoek of statistiek.
\nIn het geval als bedoeld onder b, is artikel 23, eerste lid, onder a, en tweede lid, van overeenkomstige toepassing.”
\nKamerstukken II, 199701998, nr. 3, p. 115.
\nHet eerste lid van dit artikel luidt: “Bij een keuring in verband met het aangaan of wijzigen van een verzekering mogen geen vragen worden gesteld over in artikel 3, tweede lid, onderdeel a, genoemde ziekten, voor zover die op erfelijkheid betrekking hebben, bij de bloedverwanten van de aspirant-verzekerde en, tenzij de ziekte manifest is, bij de aspirant-verzekerde zelf en over onderzoek bij de aspirant-verzekerde en bij diens bloedverwanten gericht op de erfelijke aanleg voor ziekte en de resultaten van dergelijk onderzoek, indien de te sluiten verzekering de vragengrens niet overschrijdt. Bij de behandeling van de aanvrage voor het aangaan of wijzigen van een verzekering en bij een keuring in dat verband mogen geen uit andere hoofde reeds bij de keuringvrager, de keurend arts of geneeskundig adviseur aanwezige erfelijke gegevens over de aspirantverzekerde en diens bloedverwanten worden gebruikt.”
\nHet onderdeel verwijst naar de memorie van grieven, par. 2.31-2.39, en de pleitnotities van mr. De Die in hoger beroep, par. 5.
\nHet onderdeel verwijst in dat verband naar het volgende oordeel van het hof in rov. 4.12: “Wel merkt het hof in dit verband nog op dat op dit moment de patiënt nog beperkt is in zijn keuzemogelijkheid ten aanzien van de (type) zorgaanbieders die gegevens mogen inzien. Vooralsnog kan de patiënt niet aangeven dat hij wel instemt met uitwisseling van het HWD ten behoeve van waarnemingen, maar niet met de uitwisseling van ICA-gegevens in het EMD ten behoeve van bijvoorbeeld medisch specialisten (waarbij meestal geen sprake zal zijn van een spoedeisende situatie; ter zitting is immers komen vast te staan dat SEH-artsen niet tot de medisch specialisten behoren).”
\nKamerstukken II, 1997-1998, 25 892, nr. 3, p. 65.
\nWerkdocument WP 131, 00323/07/NL, goedgekeurd op 15 februari 2007, p. 9 en 10. Het document is te raadplegen via: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp131_nl.pdf.
\nAdvies 15/2011 (Werkdocument WP 187) over de definitie van “toestemming”, goedgekeurd op 13 juli 2011, p. 14-17. Het document is te raadplegen via: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2011/wp187_nl.pdf.
\nAdvies 15/2011 van 13 juli 2011 (Werkdocument WP 187) over de definitie van “toestemming”, p. 14-17.
\nSchriftelijke toelichting mrs. Van Aerde en Menger, par. 5.2-5.9.
\nE.M.L. Morel en J.E.J. Prins, Privacy voor de homo digitalis. Proeve van een nieuw toetsingskader voor gegevensbescherming in het licht van big data en Internet of Things. In: Homo Digitalis (Preadviezen Nederlandse Juristenvereniging). Deventer 2016, p. 45.
\nMemorie van antwoord punt 3.6-3.7; punt 5.14.
\nPunt 7 van de Brochure is niet opgenomen bij de weergave van de vaststaande feiten, maar er wordt naar verwezen in punt 5.14 van de memorie van antwoord. De Brochure zelf is integraal opgenomen als prod. 24 bij de memorie van antwoord.
\nMemorie van grieven 3.34-3.38; 3.43-3.46.
\nKamerstukken II, 1997–1998, 25 892, nr. 3, p. 65.
\nHvJ EU 5 mei 2011, C-543/09, ECLI:EU:C:2011:279 (Deutsche Telekom).
\nZie het arrest, § 62-64. Zie ook de conclusie van A-G Bot van 9 november 2016, ECLI:EU:C:2016:845 (Tele2 e.a./ACM), § 29.
\nConclusie A-G 9 november 2016, § 31.
\nHvJ EU 15 maart 2017, C-536/15 (Tele2/ACM).
\nAdvies 15/2011 van 13 juli 2011 over de definitie van “toestemming” (WP 187), p. 19-21.
\nGedoeld wordt op HvJ EU 5 mei 2011, C-543/09, ECLI:EU:C:2011:279 (Deutsche Telekom). In deze zaak is uitleg gegeven aan het toestemmingsbegrip in art. 12 lid 1 van de Richtlijn betreffende privacy en elektronische communicatie (Richtlijn 2002/58/EG), mede in het licht van art. 8 Handvest.
\nWet van 5 oktober 2016 tot wijziging van de Wet gebruik burgerservicenummer in de zorg, de Wet marktordening gezondheidszorg en de Zorgverzekeringswet (cliëntenrechten bij elektronische verwerking van gegevens), Stb. 2016, 373. Zie over de wet onder meer M.C. Ploem, Elektronische gegevensuitwisseling in de zorg: zit de wetgever op het goede spoor? In: Tijdschrift voor Gezondheidsrecht 2015-5, p. 300-312.
\nKamerstukken II, 2013–2014, 33 509, nr. 8, p. 3 en 4.
\nKamerstukken I, vergaderjaar 2015–2016, 33 509, J.
\nKamerstukken I, 2015–2016, 33 509, J, p. 4.
\nKamerstukken I, 2015–2016, 33 509, N, p. 5.
\nStb. 2016, 373.
\nKamerstukken I, 2015–2016, 33 509, J, p. 5 (bovenaan).
\nZie met name grief XV en de daarop gegeven toelichting in de nrs. 3.95-3.108 in de memorie van grieven.
\nWerkdocument 131 van de Artikel 29-werkgroep inzake de verwerking van persoonsgegevens betreffende gezondheid in elektronische medische dossiers (EMD) van 15 februari 2007, p. 20.
\nZie over het begrip ‘verantwoordelijke’ ook H.R. Kranenborg en L.F.M. Verhey, Wet bescherming persoonsgegevens in Europees perspectief. Deventer 2011, par. 3.3.3 Kamerstukken II, 1987-1988, 25 892, nr. 3, p. 58.
\nKNMG, Richtlijn Omgaan met medische gegevens, Utrecht 2016, p. 19.
\nHet onderdeel verwijst naar de memorie van antwoord, par. 4.12.
\nKamerstukken II, 1997-1998, 25 892, nr. 3, p. 79.
\nMemorie van grieven 3.6 en 3.9.