Rb. Midden-Nederland, 23-07-2019, nr. AWB - 16 , 4199

Eiseres heeft aan het College bescherming persoonsgegevens (Cbp), de rechtsvoorganger van verweerster, op 3 mei 2015 verzocht om handhavend op te treden tegen het verzamelen, verwerken en het aan derden verstrekken van gegevens door de overheid via het Diagnose-behandelcombinatie-informatiesysteem (het DIS).

Bij besluit van 18 januari 2016 (het primaire besluit) heeft verweerster dit verzoek afgewezen.

Bij besluit van 22 juni 2016 (het bestreden besluit) heeft verweerster het bezwaar van eiseres ongegrond verklaard.

Eiseres heeft tegen het bestreden besluit beroep ingesteld.

Verweerster heeft een verweerschrift ingediend. De Nederlandse Zorg autoriteit (NZa) heeft een uiteenzetting over de zaak ingediend.

De eerste zitting heeft plaatsgevonden op 10 maart 2017. Eiseres heeft zich laten vertegenwoordigen door haar gemachtigde en mr. A. van Eldijk. Verweerster heeft zich toen laten vertegenwoordigen door mr. H.A.H.D. de Vries en mr. F.E. van Beek. De NZa heeft zich laten vertegenwoordigen door R.N. van Donk, [A] , [B] en mr. [C] .

In de tussenuitspraak van 7 juli 2017 (de tussenuitspraak) heeft de rechtbank verweerster in de gelegenheid gesteld om binnen acht weken na verzending van de tussenuitspraak, met inachtneming van wat in de tussenuitspraak is overwogen, de geconstateerde gebreken in het bestreden besluit te herstellen1..

In de tweede tussenuitspraak van 21 augustus 2017 (de verlengingsuitspraak) heeft de rechtbank de termijn die zij verweerster heeft gegeven om de gebreken te herstellen, verlengd tot 26 weken na verzending van de tussenuitspraak.

Verweerster heeft in reactie op de tussenuitspraak bestreden besluit 2 genomen..

Eiseres heeft hierop een schriftelijke zienswijze (de zienswijze) gegeven.

Een tweede zitting heeft plaatsgevonden op 15 februari 2019. Eiseres heeft zich laten vertegenwoordigen door haar gemachtigde en mr. A. van Eldijk. Verweerster en NZa hebben zich laten vertegenwoordigen door hun gemachtigden.

Inleiding

Verweerster heeft naar aanleiding van het handhavingsverzoek van eiseres onderzoek gedaan naar de verwerking van de gegevens in het DIS door de NZa. Zij heeft geconstateerd dat de NZa op grond van artikel 70 van de Wet marktordening gezondheidszorg (Wmg) en de Regeling categorieën Wmg (de Regeling) bepaalde medische persoonsgegevens mag verstrekken aan de Autoriteit Consument en Markt (ACM), het Centraal Bureau voor de Statistiek (CBS) en het Zorginstituut Nederland (ZiNL). De Wmg en de Regeling bieden volgens haar echter geen mogelijkheid om medische persoonsgegevens te verstrekken aan de Minister van Volksgezondheid, Welzijn en Sport (Minister van VWS) en aan het Centraal Planbureau (CPB), zoals wel is gebeurd. De NZa is daarom gestopt met de verstrekking van de medische persoonsgegevens aan deze laatste twee instanties. Omdat NZa is gestopt met de verstrekking, is volgens verweerster geen sprake meer van een overtreding en is er dus ook geen reden meer om handhavend op te treden. Zij heeft dit standpunt neergelegd in het bestreden besluit, waartegen het beroep is gericht.De tussenuitspraak

4. In de tussenuitspraak heeft de rechtbank eiseres gedeeltelijk gelijk gegeven, in die zin dat verweerster onvoldoende heeft onderzocht of de gegevens die de NZa verzamelt en zelf verwerkt, ook echt noodzakelijk zijn voor de uitvoering van haar wettelijke taken. Ook heeft verweerster onvoldoende onderzocht of het verstrekken van gegevens aan de ACM, het CBS en ZiNL noodzakelijk is voor de uitoefening van hun wettelijke taak of taken. De rechtbank vindt dat verweerster onvoldoende onderzoek heeft gedaan naar de vraag of voor de uitvoering van sommige wettelijke taken zou kunnen worden volstaan met geanonimiseerde gegevens. Tot slot vindt de rechtbank dat verweerster had moeten onderzoeken en moeten motiveren waarom zij niet handhavend heeft opgetreden in de richting van de NZa vanwege de onrechtmatige vestrekking van bijzondere persoonsgegevens aan de Minister van VWS en het CPB. Zij had ook moeten onderzoeken en motiveren waarom zij geen handhavingsinstrumenten heeft ingezet om de aan de Minister van VWS en het CPB onrechtmatig verstrekte gegevens terug te laten sturen of te laten vernietigen. De rechtbank heeft verweerster in de gelegenheid gesteld om deze gebreken te herstellen.Standpunt van verweerster

5. Verweerster heeft naar aanleiding van de tussenuitspraak opnieuw onderzoek gedaan. Zij heeft daarbij gewezen op de publieke taak van de NZa, die in de Wmg is neergelegd. In de Wmg is ook geregeld dat de NZa medische persoonsgegevens aan andere instanties kan verstrekken. De NZa heeft op verzoek van verweerster voorbeelden gegeven van de concrete uitwerking van haar taken, waarbij zij gebruik maakt van medische persoonsgegevens uit het DIS. Voor de verschillende taken van de NZa is van belang dat er een koppeling blijft bestaan tussen de individuele verzekerde en de aan die verzekerde verleende medische zorg in de vorm van diagnose behandelcombinaties (dbc’s), zodat een compleet behandeltraject van de verzekerde in beeld wordt gebracht. Met geheel geanonimiseerde gegevens kan dat niet worden bereikt, omdat daar de koppeling tussen de verzekerde en de genoten zorg ontbreekt. De NZa heeft toegelicht dat het voor de uitvoering van haar taken kan verschillen of zij kan volstaan met minder medische persoonsgegevens. Sinds begin 2016 beoordeelt zij per taak of voor een bepaald doel noodzakelijk is dat er medische persoonsgegevens uit het DIS worden gebruikt. Deze beoordeling vindt plaats aan de hand van een Privacy Impact Assessment (PIA), die, voorzien van een nota van toelichting, wordt voorgelegd aan de functionaris gegevensbescherming (fg) van de NZa. Verweerster vindt op basis van deze toelichting aannemelijk dat de NZa bij de uitvoering van haar wettelijke taken in de meeste gevallen niet kan volstaan met volledig geanonimiseerde gegevens. De NZa waarborgt verder met de procedure van de PIA met nota van toelichting dat alleen gebruik wordt gemaakt van gegevens als dat ook echt noodzakelijk is.

Voor de verstrekking van medische persoonsgegevens aan ZiNL, de ACM en het CBS heeft NZa gewezen op de wettelijke taken van deze bestuursorganen en op de artikelen 60, 65 en 70 van de Wmg die de basis vormen voor het verstrekken van de medische persoonsgegevens aan deze instanties. Met de medische persoonsgegevens kunnen deze instanties hun wettelijke taken uitvoeren. Verweerster heeft verschillende voorbeelden gegeven van mogelijke verwerkingsdoelen, die passen binnen de wettelijke taak van deze instanties. Daarbij hebben deze instanties medische persoonsgegevens nodig. De NZa volgt, net als bij interne verzoeken om gegevensverstrekking, de PIA-procedure om de noodzakelijkheid van de gegevensverstrekking per verstrekking te toetsen. Verweerster vindt de gegevensverstrekking van de NZa aan deze instanties gelet hierop rechtmatig.

In het verleden heeft de NZa tot twee keer toe medische persoonsgegevens uit het DIS aan de Minister van VWS verstrekt. De gegevensverstrekking van de NZa aan de Minister van VWS ten behoeve van het onderzoek naar hoofdbehandelaarsschap in de geestelijke gezondheidszorg (GGZ) is achteraf bezien onrechtmatig, omdat daarvoor geen wettelijke basis bestaat. De NZa heeft dus een overtreding begaan maar, omdat de Minister de aan hem verstrekte medische persoonsgegevens heeft laten vernietigen, en de NZa geen nieuwe overtredingen heeft begaan, vindt verweerster dat er geen aanleiding bestaat om handhavend op te treden. Voor het verstrekken van medische persoonsgegevens aan de Minister van VWS voor de vaststelling van de risicovereveningsbijdrage ziet verweerster, anders dan zij eerder heeft aangenomen, een wettelijke grondslag in artikel 32, vierde lid, aanhef en onder c, in samenhang bezien met de artikelen 88 en 89 van de Zorgverzekeringswet (Zvw). Volgens de NZa kan de Minister bij de vaststelling van de risicovereveningsbijdrage geen gebruik maken van anonieme gegevens en moet hij gebruikmaken van de brongegevens uit het DIS. Verweerster vindt dit aannemelijk en vindt verder van groot belang dat de risicoverevening, zoals deze is vormgegeven, blijft bestaan om de solidariteit in de zorg te behouden. De Europese commissie heeft het systeem van berekening, zoals die nu plaatsvindt, goedgekeurd. Deze berekening moet nauwkeurig plaatsvinden, omdat, als er naar verhouding teveel compensatie wordt verstrekt, deze compensatie een vorm van ongeoorloofde staatssteun zal zijn.

Over de verstrekking van medische persoonsgegevens aan het CPB heeft de NZa toegelicht dat zij tot drie keer toe in strijd met de wet datasets aan het CPB heeft verstrekt. Het CPB heeft de datasets die zij in 2010 en 2013 heeft ontvangen, vernietigd. Het CPB maakt nog steeds gebruik van de dataset die hij in 2015 heeft ontvangen. Per 1 september 2017 is de Regeling aangepast en is de NZa wel bevoegd om medische persoonsgegevens aan het CPB te verstrekken. Het CPB heeft de gegevens uit de dataset van 2015 inmiddels zelf bewerkt en als hij deze bewerkte set gegevens eerst moet vernietigen en daarna opnieuw moet opvragen bij de NZa, gaat er veel werk verloren. Verweerster vindt handhaving om die reden onevenredig.

Verweerster komt samenvattend tot de conclusie dat er geen aanleiding bestaat om tot handhaving over te gaan.

Standpunt van eiseres

6. De kern van het beroep van eiseres is dat zij vindt dat het onderzoek van verweerster niet op de juiste wijze is uitgevoerd, dat niet de juiste vragen zijn gesteld en dat de conclusie die verweerster heeft getrokken ook niet deugt. Primair stelt eiseres zich op het standpunt dat uitgangspunt van het DIS was dat er geen persoonsgegevens verwerkt zouden worden. De situatie die nu is ontstaan, waarbij dus wel met medische persoonsgegevens wordt gewerkt, staat haaks op en is onverenigbaar met dit uitgangspunt. Verweerster heeft zich volgens eiseres verder ten onrechte op het standpunt gesteld dat geen sprake is van een overtreding door de NZa; die is er volgens eiseres namelijk wel. Volgens eiseres wordt onvoldoende getoetst of het verwerken van medische persoonsgegevens door de NZa en de verstrekking daarvan aan derden, voldoet aan de vereisten van noodzakelijkheid, subsidiariteit en proportionaliteit, in relatie tot welbepaalde doelstellingen zoals bedoeld in artikel 7 van de Wbp. Volgens eiseres zijn de door de NZa genoemde wettelijke doelstellingen veel te breed geformuleerd om op basis daarvan de verwerking van medische persoonsgegevens te rechtvaardigen. De doelbinding is daarmee volgens eiseres dus niet in orde. De meeste instanties hebben volgens eiseres de medische persoonsgegevens ook helemaal niet nodig om beleidsondersteunend onderzoek te doen en er zou kunnen worden volstaan met geaggregeerde of anonieme gegevens. Ook pleit eiseres ervoor dat de gegevens niet meer fysiek worden verstrekt aan derden, maar dat derden eventueel zoekopdrachten in de DIS database zelf kunnen doen en de resultaten daarvan kunnen gebruiken voor hun onderzoek. Eiseres wijst als voorbeeld op de werkwijze van het CBS. In veel gevallen kunnen derden zich overigens ook wenden tot het CBS in plaats van tot de Nza om de benodigde data te verkrijgen en er zou vaak ook kunnen worden volstaan met data uit Vektis, de database die wordt bijgehouden door de zorgverzekeraars. Eiseres vindt dat verweerster te weinig oog heeft gehad voor de vraag of het beleidsondersteunend onderzoek, waarvoor verzocht wordt om medische persoonsgegevens, wel past bij de wettelijke taak van de aanvrager en of dat onderzoek wel noodzakelijk is en of er niet op andere manieren onderzoek kan worden gedaan.Bespreking van het beroepStand van zaken na de tussenuitspraak

7. De rechtbank zal in deze uitspraak beoordelen of de Nza een overtreding heeft begaan bij het verwerken van DIS-data en of verweerster hiertegen handhavend had moeten optreden. Deze uitspraak bouwt voort op de tussenuitspraak. De rechtbank blijft bij alles wat zij in de tussenuitspraak heeft overwogen en beslist, tenzij hierna uitdrukkelijk anders wordt overwogen. Het staat de rechtbank namelijk ook niet vrij om terug te komen van zonder voorbehoud gegeven oordelen in de tussenuitspraak. Dit is alleen anders in zeer uitzonderlijke gevallen. Het standpunt van eiseres over het aanvankelijke uitgangspunt van het DIS dat niet met persoonsgegevens gewerkt zou worden, heeft de rechtbank in de tussenuitspraak al besproken onder overweging 6. Zij komt niet terug van dit standpunt en verwijst kortheidshalve naar de tussenuitspraak.Aanvullende motivering of nieuw besluit?

8. Verweerster heeft nader onderzoek gedaan zoals omschreven in artikel 60 van de Wbp. Daarbij heeft zij zich niet beperkt tot een beoordeling van de stand van zaken op het moment van het handhavingsverzoek van eiseres of de datum van het bestreden besluit, te weten 22 juni 2016. Verweerster heeft bijvoorbeeld, bij haar beoordeling, of zij handhavend zou moeten optreden tegen de onrechtmatige gegevensverstrekking aan het CPB, betrokken dat de NZa sinds de wijziging van de Regeling per 1 september 2017 de gevraagde bijzondere persoonsgegevens aan het CPB nu wel zou mogen verstrekken. Ook heeft zij bij de vraag of handhaving evenredig is, betrokken dat de NZa sinds 2016 geen overtredingen meer heeft begaan. Het feit dat verweerster een onderzoek heeft gedaan naar de periode van ná het bestreden besluit en daarop haar huidige standpunt baseert, maakt dat zij feitelijk een nieuw besluit op het bezwaar van eiseres heeft genomen. Dat de rechtsgevolgen van dat besluit niet anders zijn, namelijk dat zij niet overgaat tot handhaving, maakt daarvoor geen verschil. Daarom volgt de rechtbank verweerster niet in haar standpunt dat de reactie van 9 januari 2018 alleen een aanvullende motivering is op het bestreden besluit, maar merkt zij deze aanvullende motivering aan als een nieuw besluit op het bezwaar van eiseres. Het besluit op bezwaar van 22 juni 2016 noemt de rechtbank voor de leesbaarheid van deze uitspraak verder het bestreden besluit 1 en het besluit van 9 januari 2018 noemt zij het bestreden besluit 2.

9. Het beroep van eiseres, gericht tegen het bestreden besluit 1 wordt, gelet op artikel 6:19 van de Awb, geacht ook gericht te zijn tegen het bestreden besluit 2. Uit de formulering en de inhoud van het bestreden besluit 2 volgt verder dat dit besluit het bestreden besluit 1 vervangt. Aan het bestreden besluit 1 komt geen zelfstandige betekenis meer toe. Daarbij heeft de rechtbank gekeken of het verschil in periodes waarover bestreden besluit 1 en 2 gaan, vraagt om ook een toetsing van bestreden besluit 1. Gelet op de aard van het bestreden besluit 2 en de wijze waarop na de tussenuitspraak het onderzoek is verricht en de reikwijdte van besluit 2, ziet de rechtbank daar geen aanleiding toe en ziet zij ook geen procesbelang voor eiseres bij die beoordeling. Het beroep van eiseres tegen het bestreden besluit 1 is daarom niet-ontvankelijk. De rechtbank zal in deze uitspraak verder ingaan op de beroepsgronden die zijn gericht tegen het bestreden besluit 2.Toetsing ex-nunc of ex-tunc?

10. Hoofdregel in het bestuursrecht is dat de heroverweging in de bezwaarprocedure plaatsvindt met inachtneming van de feiten en omstandigheden die zich dan voordoen en de op dat moment geldende rechts- en beleidsregels (ex-nunc). Bij het heroverwegen van een besluit tot het opleggen van een last onder dwangsom kan dit in specifieke situaties anders zijn. Dat is bijvoorbeeld het geval bij handhavingszaken, waarbij de situatie kan spelen dat voorafgaand aan het besluit op bezwaar de overtreding is beëindigd.2.In dit soort zaken beoordeelt het bestuursorgaan een moment in het verleden, namelijk het moment van het handhavingsverzoek. Een wijziging van wet- en regelgeving moet het bestuursorgaan echter wel bij de heroverweging van zijn handhavingsbesluit betrekken3., zoals verweerster hier ook terecht heeft gedaan. De rechtbank ziet, ondanks dat het hier om een verzoek om handhaving gaat, in dit geval geen aanleiding om af te wijken van de hoofdregel dat de heroverweging in bezwaar plaatsvindt naar de stand van zaken op het moment van de beslissing op bezwaar. Hierbij heeft de rechtbank betrokken dat het handhavingsverzoek van eiseres zeer ruim geformuleerd is en het, anders dan in veel andere handhavingssituaties, niet om één concrete eenmalige overtreding gaat die naar het verleden beoordeeld zou kunnen worden. Verweerster heeft naar aanleiding van de tussenuitspraak vervolgens zelf haar onderzoek verruimd en heeft zich gericht op feiten en omstandigheden die dateren van na het handhavingsverzoek. Verweerster heeft de heroverweging zoals neergelegd in het bestreden besluit 2 dus op goede gronden niet gedaan naar het moment waarop het handhavingsverzoek is gedaan. De rechtbank toetst zoals gebruikelijk naar het moment waarop bestreden besluit 2 is genomen, te weten 9 januari 2018. Beoordelingskader

11. Persoonsgegevens mogen op grond van artikel 7 van de Wbp alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Deze doeleinden zijn alleen gerechtvaardigd als zij met inachtneming van artikel 8 van de Wbp kunnen worden bereikt4.. Ook als de gegevensverwerking in beginsel is toegestaan op één van de in artikel 8 van de Wbp limitatief opgesomde gronden, blijft de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. Dit volgt ook uit het door eiseres genoemde arrest van de Hoge Raad van 9 september 20115.. De verwerking van medische persoonsgegevens is ingevolge artikel 16 van de Wbp in beginsel verboden, maar de artikelen 21 en 23 van de Wbp geven uitzonderingen op deze hoofdregel. De kern van de uitzonderingen is dat er voor de verwerking van de medische persoonsgegevens een wettelijke basis moet zijn en dat het verwerken van de medische persoonsgegevens noodzakelijk moet zijn voor het uitvoeren van een wettelijke taak. De rechtbank moet zonder terughoudendheid beoordelen of voor de verwerking van de NZa van medische persoonsgegevens en de verstrekking van deze gegevens aan andere instanties een wettelijke grondslag bestaat. Bij de beoordeling van de vereiste noodzakelijkheid, door beoordeling van de subsidiariteit en proportionaliteit van de verwerking (waaronder de verstrekking aan derden), zal de rechtbank minder indringend moeten toetsen, omdat de NZa en verweerster, als toezichthoudster, op dat vlak een zekere beoordelingsruimte toekomt.

Verzamelen persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven doeleinden

12. Voordat de rechtbank toekomt aan de vraag of verweerster de in de tussenuitspraak geconstateerde gebreken heeft hersteld, gaat zij eerst in op de voornaamste beroepsgrond van eiseres dat NZa de gegevens in DIS verzamelt zonder dat aan het doelbindingsbeginsel van artikel 7 van de Wbp is voldaan.Verweerster heeft toegelicht dat de NZa een wettelijke taak heeft die is neergelegd in onder meer artikel 16, aanhef en onder a, van de Wmg. De NZa is volgens dit artikel belast met marktoezicht, marktontwikkeling en tarief- en prestatieregulering op het terrein van de gezondheidszorg. Verweerster heeft verder verwezen naar de artikelen 60 tot en met 71 van de Wmg en naar artikel 3 van de Regeling, als verdere basis voor de gegevensverwerking. Verweerster zich op het standpunt gesteld dat NZa gegevens in DIS verzamelt voor de verschillende doelen die voortvloeien uit haar wettelijke taak, zoals die nader omschreven zijn in de Wmg. Als voorbeelden daarvan zijn onder andere genoemd het onderhoud van prestatiebeschrijvingen en tarieven van de medisch specialistische zorg, de geestelijke gezondheidszorg en forensische zorg en daarmee verband houdende kostenontwikkelingen (artikelen 50 tot en met 56b van de Wmg) en analyses die nodig zijn voor de monitoring van kostenontwikkelingen (artikel 32 van de Wmg).In het bestreden besluit 2 heeft verweerster het belang benadrukt van het vaste pseudoniem dat via de versleuteling van de medische persoonsgegevens per verzekerde wordt verkregen. Pas als dit vaste pseudoniem wordt gekoppeld aan de concrete dbc’s die de NZa van de verzekeraars ontvangt, kan zij een compleet behandeltraject van een persoon in beeld krijgen, waarmee zij de aan haar opgedragen publiekrechtelijke taken, zoals hiervoor genoemd, naar behoren kan uitvoeren. Ter uitvoering van de aan haar opgedragen taken voert NZa onder andere verschillende onderzoeken uit.Als voorbeeld van een onderzoek dat hoort bij de prestatie- en tariefregulering heeft de NZa gewezen op het onderzoek dat is gedaan naar de kosten van GGZ-jeugdzorg na de overheveling van deze vorm van zorg naar de verschillende gemeenten. Per postcodegebied is onderzoek gedaan naar patiënten die jonger zijn dan 18 jaar en GGZ-zorg hebben ontvangen. Aan de hand van de verschillende dbc’s kon het effect worden berekend van de overheveling op de door NZa vast te stellen maximumtarieven en kon de Minister van VWS worden geadviseerd over het naar de gemeenten over te hevelen bedrag voor zorg. Een ander voorbeeld van onderzoek dat de NZa heeft uitgevoerd binnen de haar opgedragen taak van tarief- en prestatieregulering is een onderzoek naar transplantatiezorg, waarbij specifiek onderzoek is gedaan naar het verschil in kosten tussen zorgproducten voor kinderen en volwassenen. In het kader van haar taak om de marktontwikkelingen te monitoren, voert NZa marktscans uit voor het evalueren van het zorgstelsel en van bepaald ingezet beleid. Hierbij maakt zij gebruik van gegevens uit het DIS, waarbij zij bij de te maken scans alle vormen van zorg (zowel basis- als gespecialiseerde zorg) betrekt om inzicht te verkrijgen in de ontwikkelingen in de zorg. Ter uitvoering van haar toezichthoudende en handhavende taken voert NZa onderzoeken uit naar onder meer het declaratiegedrag bij zorginstellingen. Zo kan bijvoorbeeld worden gecontroleerd of een zorginstelling niet meer dan het maximum aantal te vergoeden behandelingen per patiënt declareert en of de gemiddelde behandelduur overeenkomt met de ingediende declaraties.De rechtbank komt tot de conclusie dat de doeleinden waarvoor NZa de medische persoonsgegevens verzamelt in de Wmg welbepaald en uitdrukkelijk zijn omschreven als bedoeld in artikel 7 van de Wbp. De voorbeelden illustreren dat het verzamelen van deze gegeven nodig is om de wettelijke taak van de Nza uit te voeren. Het verzamelen van de gegevens, een vorm van gegevensverwerking, is in overeenstemming met artikel 8 van de Wbp omdat het verzamelen van de gegevens door de NZa in DIS noodzakelijk is voor de goede vervulling van haar publiekrechtelijke taak.De rechtbank volgt eiseres niet in haar betoog dat de doelen te breed zijn omschreven om als welbepaald doel te kunnen worden aangemerkt en dat de onderzoeken die NZa vervolgens met de medische persoonsgegevens uitvoert onrechtmatig zijn. Anders dan eiseres wil, kan namelijk niet vooraf al precies worden vastgelegd welke onderzoek de NZa in het kader van haar wettelijke taken zal gaan uitvoeren. Het doelbindingsbeginsel strekt ook niet zo ver dat dit vereist is. Het gaat er om dat de doelen waarvoor de medische persoonsgegevens worden gebruikt, passen binnen de wettelijke taak van de NZa en de instanties aan wie zij deze gegevens verder verstrekt. Het doelbindingsbeginsel van artikel 7 van de Wbp is, anders dan eiseres betoogt, dan ook niet geschonden. Deze beroepsgrond van eiseres slaagt dus niet.

Noodzakelijkheid verwerking persoonsgegevens

13. Ook als de gegevensverwerking in beginsel is toegestaan blijft de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. De noodzakelijkheidstoets betekent dat moet worden voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dit brengt met zich dat de inbreuk op de belangen van de betrokkenen niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dat dit doel in redelijkheid niet op een andere, voor de betrokkenen minder nadelige, wijze kan worden verwerkelijkt.

14. Verweerster heeft bij de beoordeling van de vraag of het verwerken van medische persoonsgegevens noodzakelijk is, gewezen op de PIA-beoordeling die sinds begin 2016 per verwerking plaatsvindt. Het PIA-toetsmodel, dat als voorbeeld bij de gedingstukken is gevoegd, heeft de vorm van een vragenlijst dat zowel feitelijke- en technische vragen bevat die gebaseerd zijn op nationale en Europese juridische vereisten. Onder I van de vragenlijst staan vragen die gaan over de noodzaak van de gegevensverwerking en de mogelijkheid van gegevensminimalisering. I.3 en I.3a stellen aan de orde de kwestie of de gevraagde persoonsgegevens onontbeerlijk zijn voor het bereiken van de beleidsdoelstellingen. Daarbij wordt betrokken het punt wat er niet inzichtelijk zou worden als er voor wordt gekozen bepaalde gegevens niet te verwerken. I.4 en I.4a stellen vervolgens aan de orde de vraag of, als het om gevoelige persoonsgegevens gaat, hetzelfde beleidseffect of technische resultaat bereikt kan worden door het (gecombineerd) gebruik van normale persoonsgegevens of door gebruik van geanonimiseerde of gepseudoanonimiseerde gegevens. Verweerster heeft aannemelijk mogen vinden dat de NZa met de procedure van de PIA met nota van toelichting waarborgt dat alleen gebruik wordt gemaakt van medische persoonsgegevens als dat ook echt noodzakelijk is. Eiseres heeft zich bij herhaling op het standpunt gesteld dat er te weinig controle zou zijn op de noodzakelijkheid van de gegevensverwerking van de NZa en dat als het ware sprake zou zijn van een zogenaamde ‘blanco cheque’ om aan wie daar ook maar om vraagt medische persoonsgegevens te verstrekken. Dit beeld komt niet overeen met de geschetste werkwijze van de NZa, waarbij zorgvuldig met medische persoonsgegevens wordt omgegaan. Verweerster heeft zich onder verwijzing naar de wettelijke taken van de NZa en degene aan wie verder medische persoonsgegevens worden verstrekt, in combinatie met de keer op keer te verrichten PIA-beoordeling, op het standpunt mogen stellen dat NZa waarborgt dat er geen overmatig en onbeperkt gebruik gemaakt kan worden van de medische persoonsgegevens. De NZa beoordeelt per verwerking of deze verwerking noodzakelijk is en daarbij vindt keer op keer een concrete belangenafweging plaats. Zoals ook volgt uit het eerder aangehaalde arrest van de HR6.geldt als uitgangspunt bij deze belangenafweging, dat van de verwerker alleen een belangenafweging verlangd mag worden aan de hand van de beschikbare gegevens. Dit is belangrijk om de Wbp praktische hanteerbaar te houden. De rechtbank vindt dat de NZa het proces zo heeft ingekleed dat per gegevensverstrekking relevante gegevens worden ingewonnen op basis waarvan de NZa een zorgvuldige afweging kan maken of de gegevens noodzakelijk zijn.Verweerster heeft in het bestreden besluit 2 kunnen concluderen dat de NZa niet in strijd met het noodzakelijkheidsbeginsel handelt. De beroepsgrond van eiseres faalt dan ook.

Voorgestelde alternatieven

15. Eiseres betoogt dat de NZa geen gebruik zou hoeven maken van het DIS, maar dat de database van het CBS of het declaratiesysteem van de zorgverzekeraars Vektis ook de benodigde gegevens zouden kunnen opleveren. Bovendien zou de NZa ervoor kunnen kiezen om gegevens niet langer aan anderen te verstrekken, maar derden zoekopdrachten kunnen laten uitvoeren op de locatie van de NZa. Eiseres verwijst naar de procedure die het CBS volgt bij het laten inzien van gegevens door derden.

16. De rechtbank overweegt dat verweerster aangedragen alternatieven in beginsel bij haar beoordeling van een handhavingsverzoek moet betrekken (ABRvS van 20 september 2017). Echter in dit geval heeft eiseres de genoemde alternatieven niet eerder aangedragen dan op de tweede zitting na de tussenuitspraak. Het onderzoek dat verweerster naar aanleiding van de tussenuitspraak heeft gedaan was toen al uitgevoerd. Verweerster heeft dus onmogelijk rekening kunnen houden met de aangedragen alternatieven en deze beroepsgrond valt daarmee vanwege strijd met de goede procesorde buiten de omvang van het geding. Onderzoek naar privaatrechtelijke verstrekkingen

17. Eiseres betoogt dat verweerster ten onrechte de verstrekkingen die op basis van privaatrechtelijke contracten zijn gedaan, buiten het onderzoek heeft gehouden. Uit de brief van de NZa van 9 december 2015, met als onderwerp ‘Overeenkomst inzake levering van DIS-gegevens’, die door NZa als bijlage is gevoegd bij haar zienswijze van 7 november 2016, blijkt volgens eiseres dat NZa de levering van de gegevens alleen tijdelijk heeft opgeschort en dat zij in de toekomst alsnog aan de wensen van private partijen tegemoet wil komen. Eiseres vreest dat de verstrekking van de medische persoonsgegevens aan private partijen is hervat, of ieder moment weer zal kunnen worden hervat. Op de zitting heeft eiseres daaraan toegevoegd dat verweerster zich naar aanleiding van het handhavingsverzoek ook had moeten inzetten om de op basis van deze contracten onrechtmatig verstrekte gegevens terug te halen en te (laten) vernietigen.

17. Het handhavingsverzoek van 3 mei 2015 was er, zo blijkt uit de formulering daarvan, op gericht om het verzamelen, verwerken en aan marktpartijen ter beschikking stellen van medische persoonsgegevens via de databank DIS van de overheid onmiddellijk stop te zetten. De NZa is vanaf mei 2015 het bestuursorgaan dat verantwoordelijk is voor het DIS. Sinds mei 2015 is het DIS niet langer in privaat beheer bij DBC-onderhoud maar een publieke verantwoordelijkheid geworden. Verweerster heeft onderzoek gedaan bij de NZa, als verantwoordelijk bestuursorgaan. Dit vindt de rechtbank in lijn met het handhavingsverzoek dat zich uitdrukkelijk richtte op de verstrekking van DIS-gegevens door de overheid en niet door een private partij, zoals DBC-onderhoud. De NZa heeft de verstrekking van gegevens aan private partijen op basis van contracten in november/december 2015 gestopt toen duidelijk werd dat de gegevens persoonsgegevens waren. Dat betekent dat zij in de periode tussen mei 2015 en november/december 2015 ten onrechte op contractuele basis medische persoonsgegevens heeft verstrekt aan derden. Verweerster heeft de verstrekkingen die in die periode hebben plaatsgevonden op basis van contracten echter niet nader onderzocht omdat de NZa deze verstrekkingen heeft stopgezet. Daarmee was NZa, zo heeft verweerster terecht aangenomen, al tegemoet gekomen aan het handhavingsverzoek van eiseres dat immers onmiddellijke stopzetting van de verstrekking aan derden beoogde. Anders dan eiseres aanneemt heeft NZa deze verstrekkingen op contractuele basis ook nooit hervat. Het gaat hier, ondanks de formulering van de brief van 9 december 2015, namelijk niet om een opschorting maar om een beëindiging van de verstrekking van medische persoonsgegevens.Verweerster heeft ervoor gekozen om naar aanleiding van het handhavingsverzoek van eiseres onderzoek te doen naar de verstrekkingen die plaatsvinden op basis van de Wmg. Dit blijkt uit bijlage 3 van de Definitieve bevindingen van het onderzoeksverslag van 13 april 2016. De rechtbank vindt het belangrijk om te wijzen op de beleidsruimte die verweerster toekomt bij de keuze om al dan niet onderzoek in te stellen. De keuze om de contractuele leveringen in de periode tussen mei 2015 en november/december 2015 buiten de reikwijdte van het onderzoek te houden, vindt de rechtbank, gelet op de formulering van het handhavingsverzoek van eiseres en de beleidsruimte die verweerster op dit punt heeft, een aanvaardbare keuze.Dat eiseres met haar handhavingsverzoek ook heeft beoogd om al eerder verstrekte medische persoonsgegevens te laten terugsturen of te laten vernietigen, blijkt niet uit dat verzoek en ook niet uit latere reacties van eiseres op de besluiten van verweerster. Zij heeft dit pas tijdens de tweede zitting naar voren gebracht. Verweerster heeft hiermee dus geen rekening hoeven houden en heeft binnen de haar toekomende beleidsruimte de keuze mogen maken om zich alleen te richten op de verstrekkingen die op basis van de Wmg plaatsvinden en plaatsvonden. Deze beroepsgrond slaagt dus niet.

Herstel gebrek: per taak van de NZa onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verzameld en verwerkt en niet kan worden volstaan met geanonimiseerde gegevens

19. De rechtbank heeft in de tussenuitspraak overwogen dat verweerster het bestreden besluit 1 heeft genomen in strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb (motiveringsbeginsel en zorgvuldigheidsbeginsel) en dat zij om deze gebreken te herstellen per taak van de NZa moet onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verzameld en verwerkt en dat niet kan worden volstaan met geanonimiseerde gegevens. Verweerster heeft in dat verband een nieuw artikel 60-onderzoek uitgevoerd, waarbij het de werkwijze van de NZa heeft weergegeven, zoals hiervoor onder 5 is beschreven. Die werkwijze komt er op neer dat de NZa per interne gegevensverstrekking een PIA-procedure uitvoert ter beoordeling van de noodzakelijkheid van de gegevensverstrekking in relatie tot het doel waarvoor deze gegevens worden gebruikt. Verweerster heeft een aantal concrete onderzoeken genoemd en daarbij uiteengezet waarom de NZa voor die onderzoeken gebruik heeft moeten maken van de medische persoonsgegevens in het DIS. Verweerster heeft zich daarbij naar het oordeel van de rechtbank op het standpunt kunnen stellen dat in die concrete gevallen van belang was dat een totaalbeeld van de verleende zorg zichtbaar werd, waarbij persoonsgegevens gekoppeld werden aan een concrete dbc en dus niet kon worden volstaan met anonieme gegevens. Met de gegeven procesbeschrijving, waarbij per verstrekking de proportionaliteit en subsidiariteit wordt beoordeeld, heeft verweerster naar het oordeel van de rechtbank voldoende gemotiveerd dat per taak van de NZa medische persoonsgegevens moeten worden verwerkt, waarbij niet kan worden volstaan met geanonimiseerde gegevens.

19. Eiseres heeft er op de zitting op gewezen dat de NZa per 15 april 2019 minder gegevens over diagnoses bij psychische klachten zal opnemen in het DIS. Dit blijkt uit de nieuwsbrief van de NZa van 23 november 2018, waarin informatie wordt gegeven over dataminimalisatie. Eiseres stelt zich op het standpunt dat, waar NZa per april 2019 met minder diagnose-informatie toe kan, vaststaat dat het in het verleden ook niet noodzakelijk was om deze informatie te verzamelen en te verwerken. Daaruit blijkt volgens eiseres dat er teveel gegevens worden verwerkt.

19. Verweerster heeft op de zitting toegelicht dat sprake is van een wijziging van het systeem van registreren van GGZ-zorg. Waar voorheen ook in de GGZ werd gekozen voor het algemene systeem van de dbc’s, wordt daar nu (gefaseerd) van afgestapt, omdat dit bij de GGZ niet goed genoeg werkt. Binnen de GGZ wordt gewerkt aan prestatieomschrijvingen om de geleverde zorg in beeld te brengen. Voor de toekomst kan worden volstaan met minder detailleerde medische persoonsgegevens.

22. De rechtbank volgt eiseres niet in haar standpunt dat deze ontwikkeling maakt dat de NZa al eerder kon volstaan met minder medische persoonsgegevens en dat die eerdere gegevensverwerking dus in strijd met de Wbp moet zijn. Deze redenering zou namelijk betekenen dat binnen het privacy-recht er geen enkele veranderingen mogelijk is, omdat dit automatisch tot gevolg heeft dat eerdere gegevensverwerkingen onrechtmatig zijn. Juist om de inbreuk op de privacy zo klein mogelijk te laten zijn, is ontwikkeling over de vraag of in de toekomst met minder gegevens kan worden volstaan essentieel.

22. Verweerster heeft de gegevensverwerking door de NZa alsnog voldoende onderzocht en heeft zich op het standpunt kunnen stellen dat de verwerking van de gegevens door NZa, zoals door haar onderzocht, in beginsel niet in strijd is met de Wbp. Verweerster heeft met het uitgevoerde onderzoek en de motivering in bestreden besluit 2 het geconstateerde gebrek hersteld.

Herstel gebrek: per taak van de ZiNL, de ACM en het CBS onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verstrekt door de NZa en niet kan worden volstaan met geanonimiseerde gegevens

24. De rechtbank heeft in de tussenuitspraak verder overwogen dat verweerster per taak van de ZiNL, de ACM en het CBS moet onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verstrekt door de NZa en niet kan worden volstaan met geanonimiseerde gegevens. Verweerster heeft in het bestreden besluit 2 uiteengezet dat bij verstrekking aan derden in elk geval een wettelijke grondslag voor de verstrekking moet worden gevonden en dat voor de beoordeling of in het kader van de wettelijke taak van deze derde het verstrekken van medische persoonsgegevens uit het DIS noodzakelijk is, gebruik gemaakt wordt van de hiervoor beschreven PIA-beoordeling. In het bestreden besluit 2 heeft verweerster verwezen naar de publiekrechtelijke taken van ZiNL, de ACM en het CBS en voorbeelden gegeven van onderzoeken waarvoor zij gebruik moeten maken van medische persoonsgegevens uit het DIS.Eiseres vindt de verstrekkingen aan deze instanties niet noodzakelijk en zij noemt de verstrekkingen die de NZa verricht opnieuw een ‘blanco cheque’. De rechtbank volgt haar niet in dit standpunt. Eiseres gaat eraan voorbij dat de NZa de noodzakelijkheid van de gegevensverstrekking per geval beoordeelt en dat zij daarbij expliciet de vraag betrekt of met minder gegevens kan worden volstaan. De rechtbank wijst nogmaals op vraag I4 en I4a van de PIA-beoordeling. Op de zitting heeft de NZa toegelicht dat de PIA-beoordeling ook zeker tot gevolg kan hebben dat minder gegevens worden verstrekt dan waar om is gevraagd, waarbij gedacht kan worden aan het verstrekken van minder specifieke gegevens over de leeftijd van personen of hun woonplaats, als dat voor een onderzoek niet noodzakelijk is. De NZa heeft hiervan ter zitting voorbeelden gegeven.Eiseres heeft ook vragen gesteld over de voorzienbaarheid van de gegevensverstrekking. Deze komt echter ook in de PIA-beoordeling expliciet tot uitdrukking. Onder vraag V worden verschillende vragen gesteld over de transparantie en rechten van de betrokkenen.Verweerster heeft naar het oordeel van de rechtbank voldoende onderzoek gedaan naar de verstrekking van de gegevens van de NZa aan de ZiNL, de ACM en het CBS en heeft in het bestreden besluit 2 voldoende gemotiveerd dat deze verstrekkingen van de medische persoonsgegevens niet in strijd zijn met de artikelen 7 en 8 van de Wbp. Zij heeft het op dat punt geconstateerde gebrek in de tussenuitspraak hersteld.

Herstel gebreken: onderzoeken en motiveren waarom er geen last onder dwangsom of andere handhavingsinstrumenten zijn ingezet in de richting van de NZa vanwege de onrechtmatige vestrekking van medische persoonsgegevens aan de Minister van VWS en het CPB en in de richting van de Minister van VWS en het CPB met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen

25. De rechtbank heeft in de tussenuitspraak verder overwogen dat verweerster moest onderzoeken en motiveren waarom er geen last onder dwangsom of andere handhavingsinstrumenten zijn ingezet in de richting van de NZa, vanwege de onrechtmatige verstrekking van medische persoonsgegevens aan de Minister van VWS en het CPB in het verleden. In het verlengde daarvan heeft zij verder overwogen dat verweerster moest onderzoeken en motiveren waarom er geen handhavingsinstrumenten zijn ingezet in de richting van de Minister van VWS en het CPB met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen.

25. Verweerster heeft in het bestreden besluit toegelicht dat een deel van de aan het CPB ten onrechte verstrekte gegevens is vernietigd en dat zij niet optreedt tegen het resterende deel, omdat het CPB nog onderzoek uitvoert op deze gegevens en het laten vernietigen of terugsturen van die gegevens volgens verweerster voor het CPB onevenredig uitpakt. De rechtbank verwijst naar de samenvatting van het standpunt van verweerster zoals dat onder 5 is gegeven. Met de gegeven motivering heeft verweerster naar het oordeel van de rechtbank aan de in de tussenuitspraak gegeven opdracht voldaan. Eiseres heeft hiertegen verder ook geen beroepsgronden gericht.Dit geldt eveneens voor de onrechtmatige verstrekking van gegevens aan de Minister van VWS ten behoeven van onderzoek naar hoofdbehandelaarschap in de GGZ. Verweerster heeft toegelicht dat deze gegevens inmiddels zijn vernietigd en zij heeft in voldoende mate gemotiveerd waarom zij geen handhavingsinstrumenten heeft ingezet tegen deze onrechtmatige gegevensverstrekking in het verleden. Ook hiertegen heeft eiseres geen nadere beroepsgronden gericht.Verweerster heeft in haar onderzoek vervolgens vastgesteld dat, anders dan zij in het bestreden besluit 1 heeft aangenomen, niet alle verstrekkingen van de NZa aan de Minister van VWS onrechtmatig zijn geweest. Zij ziet in de artikelen artikel 32, vierde lid, aanhef en onder c, in samenhang bezien met de artikelen 88 en 89 van de Zvw alsnog voldoende basis voor het verstrekken van medische persoonsgegevens ten behoeve van het vaststellen van de risicovereveningsbijdrage. Deze verstrekkingen zijn volgens verweerster dus rechtmatig geweest en daarom is er geen grondslag voor handhaving.

25. Verweerster heeft op de zitting toegelicht dat de systematiek die tot gegevensverstrekking leidt in dit geval anders is dan de hiervoor besproken verstrekkingen aan andere instanties. Die verstrekkingen vinden allemaal plaats op grond van de Wmg en hebben alleen betrekking op instanties die een wettelijke taak hebben. Vervolgens is in de Regeling neergelegd welke specifieke persoonsgegevens de NZa aan deze instanties mag verstrekken. Volgens verweerster is echter sprake van wederkerigheid bij de vaststelling van de publieke taak. In artikel 32, vierde lid, aanhef en onder c, van de Zvw is bepaald dat de Minister van VWS bij Ministeriële regeling statistisch onderbouwt hoe zij de risicovereveningsbijdrage vaststelt. De Minister van VWS heeft de medische persoonsgegevens uit het DIS dus nodig om die statistische onderbouwing vorm te geven. De artikelen 88 en 89 geven een grondslag voor de Minister van VWS om de NZa om persoonsgegevens te vragen en de NZa is volgens verweerster, gehouden deze dan te verstrekken. Dat het systeem anders is dan bij de andere verstrekkingen en niet op grond van de Wmg plaatsvindt, maakt volgens verweerster echter niet dat deze verstrekking in strijd met de Wbp is.

25. De rechtbank is van oordeel dat verweerster er ten onrechte aan voorbij gaat dat het hier om medische persoonsgegevens gaat. Verwerking van medische persoonsgegevens is op grond van artikel 16 van de Wbp in beginsel verboden. Artikel 23, eerste lid, van de Wbp biedt de mogelijkheid om een uitzondering op dit verbod te maken. De rechtbank stelt vast dat de artikelen 23, eerste lid, aanhef en onder a tot en met e, en g, van de Wbp niet van toepassing zijn. Voor de uitzondering op grond van onderdeel f is nodig dat een formele wet uitdrukkelijk voorziet in de verwerking van het bijzondere persoonsgegeven, zoals medische persoonsgegevens7.. De artikelen 88 en 89 van de Zvw regelen dat een ieder op verzoek van de Minister van VWS voor de uitoefening van zijn wettelijke taken inlichtingen verstrekt, waaronder persoonsgegevens. Deze bepalingen geven echter geen uitdrukkelijke bevoegdheid om een uitzondering te maken op het verbod om bijzondere persoonsgegevens te verwerken. De omstandigheid dat de Minister van VWS aangewezen is op de gegevens uit het DIS om de benodigde statistische onderbouwing voor de risicovereveningsbijdrage te kunnen vormgeven, doet er niet aan af dat de wettelijke grondslag voor de levering van die medische persoonsgegevens uit het DIS ontbreekt. Ook het belang dat verweerster schetst bij het behouden van de huidige door de Europese commissie goedgekeurde vaststelling van de risicovereveningsbijdrage, biedt zo’n wettelijke grondslag niet. Er is dus, zoals in het primaire besluit al was aangenomen en ook door de rechtbank is overwogen in de tussenuitspraak, geen grondslag voor de levering van de medische persoonsgegevens aan de Minister van VWS als bedoeld in artikel 8, aanhef en onder c, van de Wbp. Daarmee heeft de NZa gehandeld in strijd met artikel 16 van de Wbp door toch medische gegevens aan de Minister van VWS te verstrekken. Verweerster heeft dus nog steeds niet voldoende gemotiveerd waarom zij niet optreedt tegen de in de tussenuitspraak genoemde onrechtmatige verstrekking van medische persoonsgegeven van de NZa aan de Minister van VWS en waarom zij geen middelen inzet in de richting van de Minister van VWS om al verstrekte medische persoonsgegevens terug te halen. Zij heeft de in de tussenuitspraak geconstateerde gebreken op dit punt dan ook niet hersteld. De beroepsgrond van eiseres slaagt op dit punt. De rechtbank zal hierna uiteenzetten wat hiervan het gevolg moet zijn.Overschrijding van de redelijke termijn

29. Eiseres heeft aanspraak gemaakt op schadevergoeding in verband met overschrijding van de redelijke termijn.

30. Gelet op het verzoek is de Staat der Nederlanden (hierna: de Staat) na sluiting van het onderzoek aangemerkt als derde-belanghebbende. Gelet op de Beleidsregel van de Minister van Veiligheid en Justitie van 8 juli 2014 (nr. 436935) heeft de rechtbank geen aanleiding gezien het onderzoek te heropenen.

30. De vraag of de redelijke termijn als bedoeld in artikel 6 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) is overschreden, moet worden beoordeeld aan de hand van de omstandigheden van het geval. De behandeling van zaken als deze, waarin van een bezwaar- en beroepsprocedure sprake is, mag maximaal twee jaar in beslag nemen. De te beoordelen periode begint met de datum waarop het bezwaarschrift is ingediend en loopt door tot de datum waarop de rechtbank (eind)uitspraak heeft gedaan. De omstandigheden van het geval kunnen maken dat een langere behandelduur gerechtvaardigd is. Als de redelijke termijn is overschreden, geldt voor de schadevergoeding als uitgangspunt, een tarief van € 500,- per half jaar waarmee die termijn is overschreden, waarbij het totaal van de overschrijding naar boven wordt afgerond. De rechtbank moet beoordelen op welke manier de termijnoverschrijding moet worden toegerekend aan de bezwaar- en aan de beroepsfase. De veroordeling tot vergoeding van die schade moet naar evenredigheid worden uitgesproken ten laste van het bestuursorgaan of, als de overschrijding van de termijn heeft plaatsgevonden in beroep, ten laste van de Staat der Nederlanden (de Staat).

30. De hoofdregel is dat de bezwaarfase een half jaar in beslag mag nemen en de beroepsfase anderhalf jaar. In een geval zoals dit, waarin na een tussenuitspraak einduitspraak wordt gedaan, wordt de overschrijding van de redelijke termijn in beginsel in zijn geheel aan het bestuursorgaan toegerekend. Maar als er in de loop van de procedure één of meer keren sprake is (geweest) van een langere behandelingsduur dan gerechtvaardigd in de rechterlijke fase, dan komt die overschrijding niet voor rekening van het bestuursorgaan maar van de Staat. Van een overschrijding in de rechterlijke fase is geen sprake als de periode tussen het instellen van beroep en de tussenuitspraak ten hoogste anderhalf jaar heeft geduurd en als de rechtbank vervolgens binnen één jaar na ontvangst van de mededeling van het bestuursorgaan van de wijze waarop de in de tussenuitspraak geconstateerde gebreken zijn hersteld, einduitspraak doet.8.

33. De rechtbank stelt vast dat er vanaf de ontvangst van het bezwaarschrift van eiseres op 1 maart 2016 tot deze (eind)uitspraak drie jaar en vier en halve maanden (40,5 maand) zijn verstreken. Er is geen aanleiding om deze lange behandelduur gerechtvaardigd te achten. Dit betekent dat de procedure (naar boven afgerond) één jaar en vijf maanden (17 maanden) te lang heeft geduurd. Uitgaande van deze overschrijding heeft eiseres recht op € 1.500,- schadevergoeding.

33. De bezwaarprocedure heeft – gerekend vanaf de ontvangst van het bezwaarschrift op 1 maart 2016 tot het bestreden besluit 1 op 22 juni 2016 (afgerond) drie maanden geduurd. De procedure bij de rechtbank heeft – gerekend vanaf de ontvangst van het beroepschrift op 5 augustus 2016 tot aan deze uitspraak – drie jaar geduurd (afgerond 18 maanden te lang). Op het moment van het toepassen van de bestuurlijke lus door de rechtbank op 7 juli 2017 waren er elf maanden verstreken en de rechtbank heeft dus binnen de hiervoor genoemde anderhalf jaar tussenuitspraak gedaan. Verweerster heeft vervolgens binnen zes maanden na de tussenuitspraak op 9 januari 2018 het bestreden besluit 2 genomen. De rechtbank had na dat besluit nog één jaar de tijd om een einduitspraak te doen. Dat heeft zij niet gehaald. De overschrijding van de redelijke termijn in de periode ná 9 januari 2019, een periode van 6,5 maand, moet dan ook worden toegerekend aan de rechterlijke fase. De overige overschrijding wordt volgens vaste rechtspraak toegerekend aan het bestuursorgaan. Dat wil zeggen dat aan verweerster de overige 11,5 maand termijnoverschrijding wordt toegerekend, omdat dit deel van de langere behandelduur bij de rechtbank is veroorzaakt door de nieuwe besluitvorming van verweerster. Dit betekent dat 11,5/18 deel moet worden toegerekend aan verweerster en 6,5/18 deel aan de rechtbank. Verweerster zal daarom tot betaling van € 958,- (11,5/18 deel van € 1.500,-) worden veroordeeld en de Staat zal tot betaling van € 542,- (6,5/18 deel van € 1.500,-) worden veroordeeld.Conclusie

33. Zoals de rechtbank hiervoor onder 9 heeft overwogen is het beroep van eiseres gericht tegen het bestreden besluit 1 niet-ontvankelijk. Het beroep van eiseres gericht tegen het bestreden besluit 2 slaagt op het punt van de gegevensverstrekking aan de Minister van VWS. Het beroep is daarom gegrond. Het bestreden besluit 2 moet worden vernietigd, voor zover verweerster daarin niet heeft onderzocht en gemotiveerd waarom zij geen handhavingsinstrumenten heeft ingezet in de richting van de NZa vanwege onrechtmatige gegevensverstrekking aan de Minister van VWS en voor zover verweerster daarin niet heeft onderzocht en gemotiveerd waarom zij geen handhavingsinstrumenten heeft ingezet in de richting van de Minister van VWS met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen.De rechtbank ziet geen aanleiding om een tweede bestuurlijke lus toe te passen, omdat dat naar het zich laat aanzien geen doelmatige en efficiënte afdoeningswijze zou inhouden omdat verweerster op precies ditzelfde punt al eerder de mogelijkheid heeft gehad om het gebrek te herstellen en dat dus niet is gelukt. Verweerster moet daarom een nieuw besluit nemen met inachtneming van deze uitspraak en de tussenuitspraak. Dat nieuwe besluit hoeft dan alleen te gaan over het gedeelte van het bestreden besluit 2 dat vernietigd is, namelijk de gegevensverstrekking aan de Minister van VWS. De rechtbank stelt hiervoor een termijn van acht weken na de dag van verzending van deze uitspraak.

33. Omdat de rechtbank hierboven heeft geconcludeerd dat de redelijke termijn is overschreden, wijst zij het verzoek om schadevergoeding toe in die zin dat zij verweerster veroordeelt tot vergoeding van € 958,- en de Staat tot betaling van € 542,-.

33. Omdat de rechtbank het beroep gegrond verklaart, bepaalt zij dat verweerster aan eiseres het door haar betaalde griffierecht vergoedt. De rechtbank is niet gebleken dat eiseres proceskosten heeft gemaakt.

De rechtbank:

- draagt verweerster op het betaalde griffierecht van € 334,- aan eiseres te vergoeden.

Deze uitspraak is gedaan door mr. J.J. Catsburg, voorzitter, en mr. M.C. Stoové en mr. H.H.L. Krans, leden, in aanwezigheid van mr. M.E.C. Bakker, griffier. De beslissing is in het openbaar uitgesproken op 23 juli 2019.

griffier mr. M.E.C. Bakker rechter mr. M.C. Stoové

De voorzitter is verhinderd de uitspraak mede te ondertekenen.

Afschrift verzonden aan partijen op:

Tegen deze uitspraak en de tussenuitspraak kan binnen zes weken na de dag van verzending van deze uitspraak hoger beroep worden ingesteld bij de Afdeling bestuursrechtspraak van de Raad van State.

Bijlage

Wet bescherming persoonsgegevens

Artikel 7

Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld.

Artikel 8

Persoonsgegevens mogen slechts worden verwerkt indien:

[…]

c. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is;

[…]

e. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, […].

Artikel 9

1. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.

2. Bij de beoordeling of een verwerking onverenigbaar is als bedoeld in het eerste lid, houdt de verantwoordelijke in elk geval rekening met:

a. de verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens zijn verkregen;

b. de aard van de betreffende gegevens;

c. de gevolgen van de beoogde verwerking voor de betrokkene;

d. de wijze waarop de gegevens zijn verkregen en

e. de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen.

[…]

Artikel 11

1. Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn.

[…]

Artikel 16

De verwerking van persoonsgegevens betreffende iemands […] gezondheid […] is verboden behoudens het bepaalde in deze paragraaf. […].

Artikel 21

1. Het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door:

[…]

f. bestuursorganen, pensioenfondsen, werkgevers of instellingen die te hunnen behoeve werkzaam zijn voor zover dat noodzakelijk is voor:

1°. een goede uitvoering van wettelijke voorschriften, pensioenregelingen of collectieve arbeidsovereenkomsten die voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene of

[…]

5 Bij algemene maatregel van bestuur kunnen omtrent de toepassing van het eerste lid, onder b en f, nadere regels worden gesteld.

Artikel 23

1. Onverminderd de artikelen 17 tot en met 22 is het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken niet van toepassing voor zover:

a. dit geschiedt met uitdrukkelijke toestemming van de betrokkene;

[…]

f. dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het College ontheffing heeft verleend. Het College kan bij de verlening van ontheffing beperkingen en voorschriften opleggen;[…]

2 Het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken ten behoeve van wetenschappelijk onderzoek of statistiek is niet van toepassing voor zover:

a. het onderzoek een algemeen belang dient,

b. de verwerking voor het betreffende onderzoek of de betreffende statistiek noodzakelijk is,

c. het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost en

d. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

[…]

Artikel 60

1. Het College kan ambtshalve of op verzoek van een belanghebbende, een onderzoek instellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan het bepaalde bij of krachtens de wet.

[…]

Wet marktordening gezondheidszorg

Artikel 16:De zorgautoriteit is belast met:a. markttoezicht, marktontwikkeling en tarief- en prestatieregulering, op het terrein van de gezondheidszorg;[…].

Artikel 60

1. In dit hoofdstuk worden persoonsgegevens onderscheiden in:

a. identificerende persoonsgegevens,

b. medische persoonsgegevens,

c. strafrechtelijke persoonsgegevens.

2 Onder identificerende persoonsgegevens wordt verstaan:

a. naam, adres, woonplaats, postadres;

b. geboortedatum en geslacht;

c. administratieve gegevens, zoals nummers van bank-, giro- en creditcard, gegevens uit de basisregistratie personen en registratie ingevolge de Wet op de beroepen in de individuele gezondheidszorg.

3 Onder medische persoonsgegevens wordt in het kader van deze wet verstaan de persoonsgegevens betreffende de gezondheid als bedoeld in artikel 21 van de Wet bescherming persoonsgegevens.

[…]

Artikel 65

Onze Minister geeft bij Ministeriële regeling aan:

a. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens noodzakelijk zijn voor de uitoefening van de in die regeling aangewezen taken en bevoegdheden van de zorgautoriteit;

b. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens de zorgautoriteit mag verstrekken aan de in artikel 70 genoemde instanties ten behoeve van de uitoefening van hun taken en bevoegdheden.

Artikel 70

1. De zorgautoriteit, het Zorginstituut, het College sanering en het Staatstoezicht op de volksgezondheid verstrekken elkaar die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

2 De zorgautoriteit verstrekt desgevraagd aan de Autoriteit Consument en Markt, de Nederlandsche Bank, de Stichting Autoriteit Financiële Markten, het College bescherming persoonsgegevens en de FIOD-ECD die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

3 De zorgautoriteit verstrekt desgevraagd aan de Gezondheidsraad, het Rijksinstituut voor de volksgezondheid en milieu, de Raad voor de Volksgezondheid en Zorg, de Raad voor gezondheidsonderzoek, het Centraal Planbureau, het Centraal Bureau voor de Statistiek en het Sociaal Cultureel Planbureau in verband met de beperking van administratieve lasten die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

4 Bij de verstrekkingen als bedoeld in het eerste tot en met derde lid wordt het bepaalde krachtens artikel 65 in acht genomen.

5 De zorgautoriteit maakt bij de toepassing van het eerste tot en met derde lid geen gebruik van haar bevoegdheden, bedoeld in de artikelen 61 en 64.

Regeling categorieën persoonsgegevens WMG

Artikel 2

Voor de uitvoering van de hieronder aangegeven artikelen uit hoofdstuk 3 en 4 van de wet worden persoonsgegevens verwerkt indien en voor zover zij naar het oordeel van de zorgautoriteit voor die uitvoering noodzakelijk zijn en voor zover zij behoren tot de hieronder bij die artikelen vermelde categorieën van persoonsgegevens:[…]

Artikel 3

Voor de uitvoering van de hieronder aangegeven artikelen uit hoofdstuk 5 van de wet worden persoonsgegevens verwerkt indien en voor zover zij naar het oordeel van de zorgautoriteit voor die uitvoering noodzakelijk zijn en voor zover zij behoren tot de hieronder bij die artikelen vermelde categorieën van persoonsgegevens:

[…]

Artikel 4

De zorgautoriteit verstrekt aan de in artikel 70 van de wet genoemde instanties persoonsgegevens indien en voor zover verwerking van die gegevens voor de uitoefening van hun taken en bevoegdheden noodzakelijk is en voor zover die gegevens behoren tot de hieronder bij die instanties vermelde categorieën van persoonsgegevens:

1. het Zorginstituut: persoonsgegevens behorend tot de categorieën identificerende en strafrechtelijke persoonsgegevens betreffende zorgaanbieders en bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars, dan wel een verzekeraar die verzekeringen als zorgverzekering aanbiedt of uitvoert die niet aan het bepaalde bij of krachtens de Zorgverzekeringswet voldoen en zorgkantoren als bedoeld in artikel 4.2.4 van de Wet langdurige zorg en persoonsgegevens behorend tot de categorieën identificerende, medische en strafrechtelijke persoonsgegevens van consumenten;

[…]

4. de Autoriteit Consument en Markt: persoonsgegevens behorend tot de categorie identificerende en strafrechtelijke persoonsgegevens betreffende consumenten, zorgaanbieders en bestuurders of medewerkers van zorgaanbieders, ziektekostenverzekeraars en zorgkantoren als bedoeld in artikel 4.2.4 van de Wet langdurige zorg en identificerende, medische en strafrechtelijke persoonsgegevens van consumenten;

[…]

7. de Gezondheidsraad, het Rijksinstituut voor de volksgezondheid en milieu, de Raad voor de Volksgezondheid en Zorg, de Raad voor gezondheidsonderzoek, het Centraal Planbureau en het Sociaal Cultureel Planbureau: persoonsgegevens behorend tot de categorie identificerende persoonsgegevens betreffende zorgaanbieders;

8. het Centraal Bureau voor de Statistiek: persoonsgegevens behorend tot de categorieën identificerende en strafrechtelijke persoonsgegevens betreffende zorgaanbieders en bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars, dan wel een verzekeraar die verzekeringen als zorgverzekering aanbiedt of uitvoert die niet aan het bepaalde bij of krachtens de Zorgverzekeringswet voldoen en zorgkantoren als bedoeld in artikel 4.2.4 van de Wet langdurige zorg en persoonsgegevens behorend tot de categorieën identificerende, medische en strafrechtelijke persoonsgegevens van consumenten.

Zorgverzekeringswet

Artikel 32[…]

4 Bij Ministeriële regeling:

c. wordt statistisch onderbouwd aan elk criterium als bedoeld in het derde lid of aan een criterium als bedoeld in onderdeel b een bijdrage gekoppeld;

[…]

Artikel 88

1. Een ieder verstrekt op verzoek aan […] Onze Minister […] kosteloos alle inlichtingen en gegevens, waaronder persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens, die noodzakelijk zijn voor de uitvoering van de zorgverzekeringen of van deze wet.

2 De in het eerste lid bedoelde gegevens en inlichtingen worden op verzoek verstrekt in schriftelijke vorm of in een andere vorm die redelijkerwijs kan worden verlangd, binnen een termijn die schriftelijk wordt gesteld bij het in het eerste lid bedoelde verzoek.

[…]

Artikel 89

1. De in artikel 88, eerste lid, bedoelde zorgverzekeraars en instanties, alsmede de Wlz-uitvoerders, zijn bevoegd uit eigen beweging en verplicht op verzoek binnen een bij dat verzoek genoemde termijn, uit de onder hun verantwoordelijkheid gevoerde administratie, aan elkaar, aan een daartoe door of vanwege hen aangewezen persoon of aan een door Onze Minister aangewezen persoon, kosteloos, de gegevens, waaronder persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens, te verstrekken die noodzakelijk zijn voor de uitvoering van de zorgverzekeringen of van deze wet, of voor de onderlinge afstemming van op grond van de zorgverzekering verzekerde zorg en zorg die is verzekerd op grond van de Wet langdurige zorg.

[…]

Eiseres heeft verweerster op verzocht om handhavend op te treden tegen het verzamelen, verwerken en het aan derden verstrekken van gegevens door de overheid via het Diagnose-behandelcombinatie-informatiesysteem (DIS).

Bij besluit van 18 januari 2016 (het primaire besluit) heeft verweerster dit verzoek afgewezen.

Bij besluit van 22 juni 2016 (het bestreden besluit) heeft verweerster het bezwaar van eiseres ongegrond verklaard.

Eiseres heeft tegen het bestreden besluit beroep ingesteld.

Verweerster heeft een verweerschrift ingediend. De NZa heeft een uiteenzetting over de zaak ingediend.

Het onderzoek ter zitting heeft plaatsgevonden op 10 maart 2017. Eiseres heeft zich laten vertegenwoordigen door haar gemachtigde en mr. [A] . Verweerster heeft zich laten vertegenwoordigen door zijn gemachtigden. De NZa heeft zich laten vertegenwoordigen door haar gemachtigde en mr. [B] , [C] en [D] .

1. Eiseres heeft verzocht om handhavend op te treden tegen de verzameling, verwerking, en verstrekking aan derden van persoonsgegevens in het DIS. Het DIS valt onder de verantwoordelijkheid van de NZa, die daarom is aangemerkt als belanghebbende bij het handhavingsverzoek. Verweerster heeft aanvankelijk bij brief van 26 november 2015 op het verzoek gereageerd. Zij heeft in deze brief toegelicht hoe de verwerking van de gegevens door de NZa in het DIS juridisch is geregeld. Er zijn de NZa ook nadere vragen gesteld over deze kwestie en die zijn beantwoord. In de op die manier verkregen informatie heeft verweerster aanleiding gezien om een onderzoek te starten als bedoeld in artikel 60 van de Wet bescherming persoonsgegevens (Wbp). Afhankelijk van de uitkomst van dit onderzoek beoordeelt verweerster of zij handhavend zal optreden in de richting van de NZa en zo ja, in welke vorm dat dan zal zijn.Eiseres heeft bij brief van 28 december 2015 laten weten dat zij een nader onderzoek niet nodig vindt, omdat volgens haar volstrekt duidelijk is dat sprake is van overtredingen, waartegen verweerster onmiddellijk zou moeten optreden. Verweerster heeft deze brief van eiseres opgevat als een ingebrekestelling en heeft daarom het primaire besluit genomen, waarin zij het verzoek om handhaving heeft afgewezen. Deze afwijzing berust op het gegeven dat het artikel-60-onderzoek van verweerster nog niet was afgerond en dus nog niet vaststond of NZa een overtreding had begaan. Handhaving was in dit stadium dus (nog) niet aan de orde.

2. Op 13 april 2016 heeft verweerster een definitief rapport uitgebracht van het artikel-60-onderzoek. Hierin heeft zij geconcludeerd dat in het DIS persoonsgegevens worden verwerkt. Verweerster dacht hier aanvankelijk anders over, maar heeft haar standpunt gewijzigd naar aanleiding van de uitleg van de Groep Gegevens Bescherming Artikel 29 (de Artikel-29-werkgroep) in haar advies van 10 april 2014 (5/2014) van het begrip persoonsgegevens. De Artikel-29-werkgroep hanteert een ruimere definitie van dit begrip dan verweerster aanvankelijk deed. Een belangrijke factor bij het anonimiseren van gegevens (waardoor het niet langer meer persoonsgegevens zijn) is dat de verwerking van deze gegevens onomkeerbaar moet zijn. De verstrekking van zorgaanbieders aan het DIS vindt plaats via een dubbele versleuteling: de zorgaanbieders leveren versleutelde data aan een Trusted Third Party (TTP) en de TTP voert nog een versleuteling uit voordat de gegevens in het DIS worden gezet. De in het DIS opgenomen gegevens zijn zo bewerkt dat de herleidbaarheid tot het individu wordt beperkt. Maar dit leidt er niet toe dat de herleidbaarheid tot het individu voorgoed onmogelijk wordt gemaakt en dat maakt dat de in het DIS opgenomen gegevens anders dan verweerster voorheen aannam toch moeten worden aangemerkt als persoonsgegevens in de zin van artikel 1, onder a, van de Wbp en dat de verwerking ervan valt onder de werking van de Wbp en andere privacywetgeving. Verweerster heeft er verder op gewezen dat de NZa op grond van de Wet marktordening gezondheidszorg (Wmg) en de Regeling categorieën Wmg (de Regeling) voor zover naar het oordeel van de NZa noodzakelijk medische persoonsgegevens mag verstrekken aan de Autoriteit Consument en Markt (ACM), het Centraal Bureau voor de Statistiek (CBS) en het Zorginstituut Nederland (ZiNL). De Wmg en de Regeling bieden echter geen mogelijkheid om deze medische persoonsgegevens te verstrekken aan de Minister van Volksgezondheid, Welzijn en Sport (Minister van VWS) en aan het Centraal Planbureau (CPB), zoals wel is gebeurd. De NZa is daarom gestopt met de verstrekking van de medische persoonsgegevens aan deze laatste twee instanties. Er is dus geen sprake meer van een overtreding, aldus verweerster, en handhaving is dus niet mogelijk en ook niet opportuun. Bij het bestreden besluit heeft verweerster, onder verwijzing naar het artikel-60-onderzoek, het bezwaar van eiseres ongegrond verklaard.

3. De eerste beroepsgronden van eiseres richten zich tegen verweersters standpunt dat er op dit moment geen sprake meer is van overtredingen van de Wbp en van andere privacywetgeving. Ten onrechte stelt verweerster dat er voldoende wettelijke basis is voor de verzameling, de verwerking en de verstrekking aan derden van de medische persoonsgegevens in het DIS. Eiseres stelt zich op het standpunt dat het DIS als zodanig een grootschalige en systematische inbreuk op de privacy is. Bij de start van het systeem is namelijk gezegd dat er geen sprake zou zijn van verwerking van medische persoonsgegevens. Dat was dus het uitgangspunt. Vervolgens heeft de NZa toch medische persoonsgegevens verzameld, deze verwerkt en ter beschikking gesteld aan anderen. Eiseres stelt dat de levering van de medische persoonsgegevens door de zorgverleners aan de NZa op zichzelf al onrechtmatig is en dat ook alle verstrekkingen van de gegevens aan derden onrechtmatig is. De kern van het betoog van eiseres is dat de noodzaak voor zowel de verzameling, als de verwerking, als de verstrekking aan derden ontbreekt. De NZa en de derden aan wie zij gegevens verstrekt, kunnen hun taak ook uitoefenen met geanonimiseerde gegevens of gegeneraliseerde en geaggregeerde gegevens. De verwerking van de medische persoonsgegevens moet volgens eiseres uitsluitend plaatsvinden bij de zorgverlener. De verwerking van de medische persoonsgegevens moet verder bij formele wet zijn geregeld en daarvan is hier ook geen sprake. Hierdoor handelt NZa in strijd met de kernwaarden van de Wbp en artikel 8 van het (Europees) Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM), aldus eiseres.

4. Artikel 65, van de Wmg bepaalt dat de Minister van VWS bij ministeriële regeling vastlegt:

a. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens noodzakelijk zijn voor de uitoefening van de in die regeling aangewezen taken en bevoegdheden van de NZa;

b. welke van de in artikel 60 onderscheiden categorieën van persoonsgegevens de NZa mag verstrekken aan de in artikel 70 genoemde instanties ten behoeve van de uitoefening van hun taken en bevoegdheden.

Artikel 70, tweede lid, van de Wmg bepaalt dat de NZa desgevraagd aan de Autoriteit Consument en Markt, de Nederlandsche Bank, de Stichting Autoriteit Financiële Markten, het College bescherming persoonsgegevens en de FIOD-ECD die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken verstrekt.

Op grond van artikel 70, derde lid, van de Wmg verstrekt de NZa desgevraagd aan de Gezondheidsraad, het Rijksinstituut voor de volksgezondheid en milieu, de Raad voor de Volksgezondheid en Zorg, de Raad voor gezondheidsonderzoek, het Centraal Planbureau, het Centraal Bureau voor de Statistiek en het Sociaal Cultureel Planbureau in verband met de beperking van administratieve lasten die gegevens en inlichtingen die van belang kunnen zijn voor de uitoefening van hun wettelijke taken.

Op grond van artikel 70, vierde lid, van de Wmg wordt bij de verstrekkingen als bedoeld in het eerste tot en met derde lid artikel 65 in acht genomen.

Artikel 2 van de Regeling regelt kort gezegd dat de NZa voor de uitvoering van bepaalde concreet genoemde taken persoonsgegevens verwerkt indien en voor zover deze gegevens naar het oordeel van de NZa voor die uitvoering noodzakelijk zijn en voor zover zij behoren tot de bepaalde in artikel 2 vermelde categorieën.

In artikel 4 van de Regeling is kort gezegd weergegeven welke categorieën persoonsgegevens (identificerend, strafrechtelijk, medisch) aan welke instantie genoemd in artikel 70 van de Wmg mogen worden verstrekt, als dit naar het oordeel van de NZa noodzakelijk is.

5. De rechtbank stelt vast dat artikel 65 van de Wmg de wettelijke basis is voor de verzameling en verwerking van de persoonsgegevens door de NZa zelf. In de ministeriële regeling is de verantwoordelijkheid welke gegevens dan verzameld en verwerkt mogen worden door de NZa bij de NZa zelf gelegd: de NZa moet bepalen welke gegevens noodzakelijk zijn voor de uitvoering van haar eigen taken.

Artikel 70 van de Wmg biedt de wettelijke basis voor de verstrekking van persoonsgegevens door de NZa aan bepaalde derden. In artikel 70 van de Wmg zijn onder andere de ACM, ZiNL, het CPB en het CBS genoemd. In artikel 4 van de Regeling is uitgewerkt aan wie welke categorie gegevens mag worden verstrekt. Aan ACM, ZiNL en CBS mogen medische persoonsgegevens worden verstrekt als deze noodzakelijk zijn voor de uitoefening van hun taak. Artikel 4 van de Regeling biedt geen ruimte om aan het CPB de medische persoonsgegevens te verstrekken. Ook in artikel 4 van de Regeling ligt de verantwoordelijkheid om te bepalen of de medische persoonsgegevens noodzakelijk zijn voor de uitoefening van de taak van degene aan wie persoonsgegevens worden verstrekt, bij de NZa.

6. Verweerster heeft in reactie op het handhavingsverzoek van eiseres verwezen naar de artikelen 65 en 70 van de Wmg in samenhang bezien met de artikelen 2 en 4 van de Regeling als grondslag voor de verwerking van de gegevens. In deze artikelen is volgens verweerster voldoende duidelijk neergelegd dat de NZa de gegevens mag verzamelen en verwerken en is ook duidelijk geregeld aan wie zij welke gegevens mag verstrekken.De rechtbank geeft verweerster gelijk in haar standpunt dat er in beginsel een wettelijke basis is voor het verzamelen, verwerken en verstrekken van medische persoonsgegevens in het DIS. Dat bij de aanvang van het systeem is gezegd dat er geen gebruik gemaakt zou worden van persoonsgegevens, maakt op zichzelf anders dan eiseres meent nog niet dat het onrechtmatig is dat dit wel gebeurt. De hiervoor genoemde wettelijke bepalingen geven die basis namelijk wel. Wat aan deze discussie ten grondslag ligt, is de gewijzigde opvatting over wat precies persoonsgegevens zijn. De rechtbank moet echter de wet toepassen en zich niet laten afleiden door de aanvankelijke opvatting dat de wijze van verwerken geen persoonsgegevens opleverde. Deze beroepsgrond slaagt niet.

7. Uit het artikel-60-onderzoek en het bestreden besluit blijkt echter niet dat verweerster nader heeft onderzocht of de gegevens die de NZa verzamelt en verwerkt noodzakelijk zijn voor de aan de NZa opgedragen taak of taken. Verweerster heeft verder niet onderzocht of de gegevens die de NZa verstrekt aan de derden die zijn genoemd in artikel 70 van de Wmg noodzakelijk zijn voor de uitoefening van de taak of taken van die derden. Verweerster heeft deze toetsing niet nodig gevonden. De rechtbank is van oordeel dat verweerster hiermee heeft miskend dat het haar taak is om op grond van artikel 8 van de Wbp in samenhang bezien met artikel 51, eerste lid, van die wet toezicht te houden op de rechtmatigheid van de verwerking van persoonsgegevens en zo nodig handhavend op te treden tegen een onrechtmatige gegevensverwerking. Door niet verder te onderzoeken of de gegevens die de NZa verzamelt en verwerkt noodzakelijk zijn voor de uitoefening van haar eigen taken en door evenmin te onderzoeken of de doorlevering van die gegevens aan derden noodzakelijk is voor de uitoefening van de taken van die derden, heeft verweerster niet zorgvuldig gehandeld. Eiseres heeft zich op het standpunt gesteld dat voor de uitoefening van de taken van de NZa en de derden zou kunnen worden volstaan met volledig geanonimiseerde gegevens, dat wil zeggen gegevens die niet meer te herleiden zijn tot de persoon en dus geen persoonsgegevens meer zijn. De noodzaak om persoonsgegevens te verwerken ontbreekt, volgens eiseres. Hier had verweerster in het kader van haar toezichthoudende taak onderzoek naar moeten doen. Op dit punt is het bestreden besluit onvoldoende zorgvuldig voorbereid en onvoldoende gemotiveerd. Er is sprake van een schending van artikel 3:2 van de Algemene wet bestuursrecht (Awb) en artikel 7:12, eerste lid, van die wet. Wat hiervan het gevolg moet zijn, bespreekt de rechtbank later in deze uitspraak.

8. Verweerster heeft bij het bestreden besluit erkend dat in het verleden sprake is geweest van onrechtmatige gegevensverstrekking aan derden. Ten onrechte zijn er medische persoonsgegevens verstrekt aan het CPB en de Minister van VWS. Hieraan is weliswaar een einde gekomen, maar eiseres maakt zich zorgen wat er met de verstrekte medische persoonsgegevens is gebeurd en nog kan gebeuren; immers de medische persoonsgegevens berusten nog bij het CPB en de Minister van VWS. Eiseres heeft zich verder op het standpunt gesteld dat zij ook vreest dat deze onrechtmatige gegevensverstrekking op enig moment zal worden hervat. Verweerster moet handhavend optreden op dit punt, aldus eiseres.

9. De rechtbank staat eerst voor de vraag of de verstrekking van de medische persoonsgegevens aan het CPB en de Minister van VWS een overtreding is. Eiseres en verweerster menen van wel. De NZa heeft echter betoogd dat verweerster pas bij de hiervoor genoemde brief van 26 november 2015 het standpunt heeft ingenomen dat de gegevens die de NZa verzamelt, verwerkt en verstrekt aan derden toch persoonsgegevens zijn. Dit heeft zij in navolging gedaan van de conclusies van de Artikel-29-werkgroep. Aanvankelijk nam verweerster het standpunt in dat het hier niet om persoonsgegevens ging. De NZa ging hier ook altijd van uit en heeft dit ook mogen doen, aldus de NZa. In dat verband wijst de NZa op de brief van het College Bescherming Persoonsgegevens (CBP), de rechtsvoorganger van verweerster, van 10 januari 2006 aan de Minister van VWS (kenmerk z2005-0814), waarin het CBP expliciet heeft gesteld dat het hier niet om persoonsgegevens ging. De NZa meent dat er dus geen sprake kan zijn van een overtreding, omdat de gegevens waar het hier om gaat tot aan 26 november 2015 niet zijn aan te merken als persoonsgegevens en de Wbp daarop dus niet van toepassing kan zijn.

10. De rechtbank onderschrijft dit standpunt van de NZa niet. De omstandigheid dat verweerster de gegevens waar het hier om gaat aanvankelijk niet heeft aangemerkt als medische persoonsgegevens, betekent niet dat het ook geen medische persoonsgegevens waren. Het gaat hier immers alleen om een duiding van verweerster van gegevens. Die duiding is gewijzigd, maar de gegevens zelf niet. Van meet af aan ging het om dezelfde gegevens (de zogenoemde minimale dataset) die dus, naar nu moet worden geconstateerd, moeten worden aanmerkt als medische persoonsgegevens. Daarop was achteraf bezien ook vóór november 2015 de Wbp onverkort van toepassing. Het verstrekken van de medische persoonsgegevens aan de Minister van VWS en aan het CPB berustte dus niet op een wettelijke grondslag en die doorlevering is daarmee in strijd met de Wbp. De rechtbank stelt vast dat de NZa hiermee overtredingen heeft begaan en dat er in beginsel handhavend moet worden opgetreden tegen deze overtredingen.

11.Verweerster heeft betoogd dat de onrechtmatige incidentele verstrekkingen door de NZa onmiddellijk zijn gestaakt toen het onderzoek daarnaar startte. Verweerster stelt dat zij uitsluitend handhavend kan optreden als een overtreding voortduurt of als er een groot risico bestaat op een herhaling van de overtreding. Omdat de verstrekking is gestaakt en verweerster geen aanleiding heeft om aan te nemen dat deze verstrekking op enig moment zal worden hervat, heeft zij geen last onder dwangsom opgelegd aan de NZa. Een boete is in dit geval niet aan de orde, omdat de bevoegdheid tot het opleggen van een boete pas in werking is getreden op 1 januari 2016 en dus niet kan worden ingezet voor eventuele overtredingen van voor die datum.

12. De rechtbank volgt verweerster in dit laatste standpunt: met het verzoek om handhaving kan niet worden bereikt dat er in dit geval een boete wordt opgelegd door verweerster, omdat zij hiertoe niet bevoegd was op het moment dat de overtredingen zijn begaan. De vraag die voorligt is dus of verweerster op andere wijze, bijvoorbeeld door het opleggen van een last onder dwangsom, had moet handhaven. Ten onrechte stelt verweerster zich op het standpunt dat zij alleen zou kunnen handhaven als de overtreding nog zou voortduren, omdat het anders geen herstelmaatregel zou zijn. De rechtbank wijst verweerster op de mogelijkheid om een last onder dwangsom op te leggen als bedoeld in artikel 5:32 van de Awb, waarmee zou kunnen worden voorkomen dat de NZa nogmaals een overtreding begaat. Het verschil met een zogenoemde preventieve last onder dwangsom, door verweerster ter zitting genoemd, is dat er in dit geval al een overtreding is begaan en verweerster er met een last onder dwangsom voor zou kunnen zorgen dat deze overtreding niet wordt herhaald. Van een preventieve last onder dwangsom is alleen sprake als er geen eerdere overtreding heeft plaatsgevonden; zo'n situatie doet zich hier dus niet voor.

13. Verweerster heeft ter zitting verklaard dat zij geen aanleiding ziet om in dit geval tot handhaving over te gaan, omdat zij niet het vermoeden heeft dat de NZa opnieuw onrechtmatig gegevens zal verstrekken aan derden. Het ging, zo stelt verweerster, bovendien om een incidentele verstrekking van medische persoonsgegevens.

14. De rechtbank vindt dit een te magere motivering waarom verweerster in dit geval afziet van enige vorm van handhaving. Op basis waarvan verweerster de overtuiging heeft gekregen dat de NZa niet opnieuw de fout in zal gaan, is niet voldoende toegelicht. Er zijn door de NZa geen waarborgen gegeven dat de medische persoonsgegevens niet opnieuw zullen worden verstrekt aan derden die daarvoor niet zijn aangewezen. De rechtbank zegt hiermee niet dat verweerster zonder meer handhavend zou moeten optreden in de richting van de NZa, maar wel dat zij de mogelijkheid tot handhaving moet onderzoeken en vervolgens afdoende moet motiveren waarom zij daar al dan niet van afziet. Er moeten voldoende garanties zijn dat de overtreding niet nogmaals door de NZa wordt begaan en dit moet zichtbaar zijn. Op dit punt heeft verweerster onvoldoende onderzoek gedaan en het bestreden besluit niet voldoende gemotiveerd. Er is sprake van strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb. De rechtbank licht aan het einde van deze uitspraak toe wat hiervan het gevolg moet zijn.

15. Verweerster heeft in reactie op de zorg van eiseres over de onrechtmatig verstrekte gegevens aan het CPB en de Minister van VWS ter zitting gesteld dat zij heeft onderzocht of de verantwoordelijke in de zin van de Wbp rechtmatig heeft gehandeld. De NZa is de verantwoordelijke en die moet doorgeven aan de derde (in dit geval dus de Minister van VWS en het CPB) dat sprake is geweest van een onrechtmatige gegevensverstrekking en dat de gegevens óf moeten worden teruggegeven óf moet worden vernietigd. Dat heeft de NZa volgens verweerster ook gedaan. Er ligt hier volgens verweerster geen verdere taak voor haar als toezichthoudster.

16. Eiseres heeft terecht opgemerkt dat de onrechtmatig verstrekte medische persoonsgegevens nog bij de Minister van VWS en het CPB zouden kunnen liggen en dat zij hiervan nog gebruik zouden kunnen maken. De rechtbank ziet niet goed in waarom verweerster, die als taak heeft om toezicht te houden op de persoonsgegevens, hier geen taak voor zichzelf ziet weggelegd, maar ervan uitgaat dat de NZa hier aan zet is. Verweerster stelt dat NZa de verantwoordelijke is, maar zij heeft onvoldoende toegelicht waarom de Minister van VWS en het CPB die de persoonsgegevens nu in bezit hebben en kunnen verwerken, niet worden aangemerkt als verantwoordelijken in de zin van artikel 1, aanhef en onder d, van de Wbp, en waarom zij niet in het kader van dit handhavingsverzoek door verweerster moeten worden aangesproken. Ook op dit punt oordeelt de rechtbank dat het bestreden besluit is genomen in strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb.

17. Zoals hiervoor is overwogen onder 7, 14, 16 is het bestreden besluit in strijd met artikel 3:2 van de Awb en artikel 7:12, eerste lid, van de Awb genomen. Op grond van artikel 8:51a, eerste lid, van Awb kan de rechtbank het bestuursorgaan in de gelegenheid stellen een gebrek in het bestreden besluit te herstellen of te laten herstellen. Op grond van artikel 8:80a van de Awb doet de rechtbank dan een tussenuitspraak. De rechtbank ziet aanleiding om verweerster in de gelegenheid te stellen de gebreken te herstellen. Dat herstellen kan hetzij met een aanvullende motivering, hetzij, voor zover nodig, met een nieuwe beslissing op bezwaar, na of tegelijkertijd met intrekking van het nu bestreden besluit. Om de gebreken te herstellen, moet verweerster:- per taak van de NZa onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verzameld en verwerkt en niet kan worden volstaan met geanonimiseerde gegevens;

- per taak van de ZiNL, de ACM en het CBS onderzoeken en motiveren of daarvoor noodzakelijk is dat medische persoonsgegevens worden verstrekt door de NZa en niet kan worden volstaan met geanonimiseerde gegevens;

- onderzoeken en motiveren waarom er geen last onder dwangsom of andere handhavingsinstrumenten zijn ingezet in de richting van de NZa vanwege de onrechtmatige vestrekking van medische persoonsgegevens aan de Minister van VWS en het CPB;- onderzoeken en motiveren waarom er geen handhavingsinstrumenten zijn ingezet in de richting van de Minister van VWS en het CPB met als doel om de onrechtmatig verstrekte gegevens terug te laten sturen of te vernietigen.De rechtbank bepaalt de termijn waarbinnen verweerster de gebreken kan herstellen op acht weken na verzending van deze tussenuitspraak.

18. Verweerster moet op grond van artikel 8:51b, eerste lid, van de Awb èn om nodeloze vertraging te voorkomen zo spoedig mogelijk, maar uiterlijk binnen twee weken, meedelen aan de rechtbank of zij gebruik maakt van de gelegenheid de gebreken te herstellen. Als verweerster gebruik maakt van die gelegenheid, zal de rechtbank eiseres in de gelegenheid stellen binnen vier weken te reageren op de herstelpoging van verweerster. In beginsel, ook in de situatie dat verweerster de hersteltermijn ongebruikt laat verstrijken, zal de rechtbank zonder tweede zitting uitspraak doen op het beroep.

19. Het geding zoals dat na deze tussenuitspraak wordt gevoerd, blijft in beginsel beperkt tot de beroepsgronden zoals die zijn besproken in deze tussenuitspraak, omdat het inbrengen van nieuwe geschilpunten over het algemeen in strijd met de goede procesorde wordt geacht. De rechtbank verwijst naar de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (ABRvS) 12 juni 2013 (ECLI:NL:RVS:2013:CA2877).

20. De rechtbank houdt iedere verdere beslissing aan tot de einduitspraak op het beroep. Dat laatste betekent ook dat zij over de proceskosten en het griffierecht nu nog geen beslissing neemt.

De rechtbank:

- draagt verweerster op binnen twee weken aan de rechtbank mee te delen of zij gebruik maakt van de gelegenheid de gebreken te herstellen;

- stelt verweerster in de gelegenheid om binnen acht weken na verzending van deze tussenuitspraak de gebreken te herstellen met inachtneming van de overwegingen en aanwijzingen in deze tussenuitspraak;- houdt iedere verdere beslissing aan.

Deze uitspraak is gedaan door mr. D.A. Verburg, voorzitter, en mr. G.A. Bouter-Rijksen en mr. H.H.L. Krans, leden, in aanwezigheid van mr. M.E.C. Bakker, griffier. De beslissing is in het openbaar uitgesproken op 7 juli 2017.

griffier voorzitter

Afschrift verzonden aan partijen op:

Tegen deze tussenuitspraak staat nog geen hoger beroep open. Tegen deze tussenuitspraak kan hoger beroep worden ingesteld tegelijkertijd met hoger beroep tegen de (eventuele) einduitspraak in deze zaak.