ECLI:NL:RBMNE:2023:5728

vonnis RECHTBANK MIDDEN-NEDERLAND Civiel recht handelskamer locatie Utrecht zaaknummer / rolnummer: C/16/560325 / HA ZA 23-472 Vonnis in incident van 1 november 2023 in de zaak van 1 [eiseres sub 1] , wonende te [woonplaats 1] , 2. [eiseres sub 2], wonende te [woonplaats 2] , 3. [eiseres sub 3], wonende te [woonplaats 3] , 4. [eiseres sub 4], wonende te [woonplaats 4] , 5. [eiseres sub 5], wonende te [woonplaats 5] , 6. [eiser sub 6], wonende te [woonplaats 2] , 7. [eiseres sub 7], wonende te [woonplaats 2] , 8. [eiser sub 8], wonende te [woonplaats 6] , 9. [eiseres sub 9], wonende te [woonplaats 7] , 10. de stichting [eiseres sub 10], gevestigd te [vestigingsplaats] , 11. de stichting STICHTING LOC WAARDEVOLLE ZORG, gevestigd te Utrecht, 12. de stichting STICHTING PLATFORM BESCHERMING BURGERRECHTEN, gevestigd te Amsterdam, eisers in de hoofdzaak, eisers in het incident, advocaat mr. A.H. Ekker te Amsterdam, tegen de publiekrechtelijke rechtspersoon NEDERLANDSE ZORGAUTORITEIT, zetelend te Utrecht, gedaagde in de hoofdzaak, verweerster in het incident, advocaten mrs. M.M.C. van Graafeiland en F.J.H. van Tienen te 's-Gravenhage. Partijen zullen hierna Eisers en NZa genoemd worden.

1.1. Het verloop van de procedure blijkt uit: ­ de dagvaarding tevens houdende incidentele vordering tot het treffen van een voorlopige voorziening ex artikel 223 Rv van 18 juli 2023, met 21 producties; ­ de conclusie van antwoord in het incident met 23 producties; ­ de ingezonden stukken aan de zijde van Eisers met producties 22 tot en met 27. 1.2. De mondelinge behandeling van het incident heeft plaatsgevonden op 29 september 2023. Namens Eisers zijn verschenen mevrouw [eiseres sub 2] , mevrouw [eiseres sub 7] , de heer [A] (namens Stichting Platform Bescherming Burgerrechten), de heer [eiser sub 6] , mevrouw [eiseres sub 1] , mevrouw [eiseres sub 4] , mevrouw [eiseres sub 5] , de heer [eiser sub 8] , mevrouw [eiseres sub 9] ; de heer [B] (namens [eiseres sub 10] ) en de heer [C] (namens Stichting LOC Waardevolle zorg) vergezeld door mr. Ekker. Namens NZa zijn verschenen de heer [D] , de heer [E] en de heer [F] vergezeld door mrs. Van Graafeiland en Van Tienen. Mr. Ekker en mr. Van Tienen hebben een pleitnota overgelegd en voorgedragen. Van hetgeen verder is besproken heeft de griffier aantekeningen bijgehouden. 1.3. Vervolgens is bepaald dat er in het incident vonnis zal worden uitgesproken. 2Waar gaat het om? 2.1. Om het probleem van lange wachtlijsten – met name voor patiënten met een complexe zorgvraag – in de geestelijke gezondheidszorg en forensische zorg (ggz) aan te pakken, is in 2022 een nieuwe bekostigingsstructuur voor de ggz geïntroduceerd: “Het zorgprestatiemodel”. Onder dit model wordt de bekostiging van de zorg gebaseerd op de feitelijke inzet van zorgverleners. 2.2. De bedoeling is dat voor de bekostiging onder het zorgprestatiemodel volledig wordt uitgegaan van de zorgvraag van de patiënt. Daarvoor wordt de “zorgvraagtypering” ontwikkeld. De zorgvraagtypering is bedoeld om een verband te leggen tussen de zorgvraag van de patiënt en de inzet van zorg die daarvoor nodig is. 2.3. Voor de zorgvraagtypering wordt gebruik gemaakt van HoNOS+ vragenlijsten en een algoritme op basis waarvan de zorgaanbieder wordt geadviseerd over het zorgvraagtype voor op de factuur. HoNOS is een onderzoeksinstrument om de psychische gezondheid en het functioneren van mensen met psychische klachten te onderzoeken. Op basis van deze vragen wordt ingeschat welke zorg de patiënt nodig heeft en hoe het met de patiënt gaat tijdens de behandeling. 2.4. Op grond van artikel 4.2 lid 4 van de Regeling geestelijke gezondheidszorg en forensische zorg (hierna: de Regeling) dienen zorgaanbieders uiterlijk 31 augustus 2023 éénmalig aan de NZa gegevens omtrent de zorgvraagtypering over de periode van 1 juli 2022 tot 1 juli 2023 aan te leveren, waaronder de HoNOS+ vragenlijsten. Deze vragenlijsten worden door zorgverleners ingevuld op basis van hun inschatting van een patiënt. De HoNOS+ vragen hebben veelal betrekking op gevoelige gegevens, zoals bijvoorbeeld middelengebruik, zelfmoordgedachten, automutilatie etc. De scores op deze vragen worden naar mate van aanwezigheid/ernst met een oplopend cijfer weergegeven. Patiënten vrezen dat de gegevensuitvraag door NZa tot gevolg heeft dat hun behandelaren in de spreekkamer gedeelde informatie doorgeven aan een derde (NZa), behandelaren dat zij de vertrouwelijkheid tussen behandelaar en patiënt niet langer kunnen garanderen. 2.5. In de hoofzaak vorderen Eisers – samengevat – dat de NZa wordt verboden voornoemde verplichting tot gegevensaanlevering op te leggen althans deze gegevens te verwerken. Volgens hen is artikel 4.2 lid 4 van de Regeling onverenigbaar dan wel in strijd is met hoger recht. In het bijzonder met artikel 8 EVRM en/of artikel 10 lid 1 Grondwet, en/of artikel 5 en 6 Algemene Verordening Gegevensbescherming (AVG) en/of artikel 65 Wet marktordening gezondheidszorg (Wmg). 3De incidentele vordering 3.1. In dit incident vorderen Eisers dat het de NZa, totdat in de hoofdzaak vonnis is gewezen, wordt verboden om de in artikel 4.2 lid 4 van de Regeling genoemde Informatie-elementen te verwerken. Daaronder wordt begrepen het in ontvangst nemen van deze Informatie-elementen en/of het verder verwerken hiervan voor analyse-doeleinden. 3.2. De NZa voert gemotiveerd verweer en concludeert tot niet-ontvankelijkheid van Eisers in hun incidentele vordering, althans tot afwijzing daarvan. 3.3. Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

4.1. Voordat tot een inhoudelijke beoordeling van dit geschil kan worden gekomen, dient eerst een oordeel te worden gegeven over de ontvankelijkheid van Eisers. Spoedeisend belang 4.2. De rechtbank overweegt dat de NZa overeenkomstig de Regeling begonnen is met het verzamelen van gegevens en het analyseren daarvan. Het afwachten op de beslissing in de hoofdzaak leidt ertoe dat de zorgaanbieders deze gegevens al, onder dreiging van dwangsommen, moeten aanleveren. Daarmee is het spoedeisend belang van Eisers gegeven. De stelling van de NZa dat de aanleververplichting reeds is verstreken en dat Eisers daarom geen (spoedeisend)belang hebben, maakt het voorgaande niet anders. Vast staat immers dat niet alle zorgaanbieders de gegevens hebben aangeleverd. Ook miskent de stelling dat voor zover de gegevens wel zijn aangeleverd, deze door de NZa worden verwerkt en de incidentele vordering van Eisers ook erop ziet om deze gegevensverwerking te staken. De ontvankelijkheid van de individuele eisers 4.3. De NZa stelt dat Eisers sub 1 tot en met 5 (patiënten in de ggz) en Eisers sub 6 tot en met 9 (zorgaanbieders/behandelaren) onvoldoende belang bij de rechtsvordering. Daartoe voert zij aan dat patiënten niet verplicht zijn de zorginhoudelijke informatie aan haar aan te leveren. Zij kunnen namelijk door het ondertekenen van een privacyverklaring meedelen dat zij bezwaren hebben tegen de verstrekking van die informatie, in welk geval deze niet hoefde te worden verstrekt. 4.4. Naar het oordeel van de rechtbank gaat het betoog van NZa niet op. De mogelijkheid voor Eisers om te voorkomen dat de gegevens niet worden gedeeld, neemt niet mee dat zij geen belang hebben bij het laten toetsen van het beleid en het vragen om een principiële uitspraak. Voor zover de NZa aanvoert dat de zorgaanbieders geen belang hebben, omdat het door hen ingenomen standpunt dat zij hun medisch beroepsgeheim schenden niet juist is, gaat de rechtbank daaraan voorbij. De vraag of het medisch beroepsgeheim wordt geschonden door de verstrekking van de informatie ligt immers in deze procedure ter beoordeling voor en daarmee is het belang gegeven. Het niet-ontvankelijkheidsverweer van de NZa slaagt dus niet. De inhoudelijke beoordeling 4.5. Aangezien Eisers voldoende (processueel) belang hebben bij de incidentele vordering, komt de rechtbank toe aan de inhoudelijke beoordeling daarvan. 4.6. In dit verband dient beoordeeld te worden of grond bestaat om de gegevensverstrekking en verwerking te staken. Bij deze beoordeling dienen de belangen van partijen te worden afgewogen tegen de achtergrond van de te verwachten resterende duur van de hoofdzaak en van de proceskansen daarin. Daarbij is geen ruimte aanwezig voor het doen van nader onderzoek met betrekking tot de feiten en omstandigheden die partijen in de procedure naar voren hebben gebracht; evenals in kort geding is aannemelijkheid voldoende. Het ligt daarbij op de weg van de Eisers om voldoende concreet te stellen en binnen de grenzen van de voorlopige voorziening aannemelijk te maken dat de verplichting tot gegevenslevering en de verwerking daarvan evident in strijd is met hoger recht en daardoor gestaakt moet worden. Dit leidt tot de volgende beoordeling. Gaat het om persoonsgegevens? 4.7. Allereerst moet worden beoordeeld of de aan te leveren gegevens voor de NZa zijn aan te merken als persoonsgegevens. Dit in verband met het op de zitting gevoerde betoog van de NZa dat aangezien de Regeling bepaalt dat zij de gegevens niet mag koppelen aan andere gegevens zij daarmee niet direct of indirect een natuurlijk persoon kan identificeren zodat de over te leggen gegevens niet zijn aan te merken als persoonsgegevens. De beantwoording van de vraag of er sprake is van persoonsgegevens is van belang voor de toepasselijkheid van de AVG. De AVG is immers alleen van toepassing bij verwerking van persoonsgegevens. 4.8. De rechtbank stelt voorop dat het begrip persoonsgegevens in de AVG wordt gedefinieerd als “alle informatie over een geïdentificeerde of identificeerbare persoon”. Daaronder vallen niet alleen gegevens die direct herleidbaar zijn tot een natuurlijk persoon, maar ook gegevens die een natuurlijk persoon indirect kunnen identificeren. Bijvoorbeeld indien de gegevens in combinatie met andere gegevens in verband kunnen worden gebracht met een bepaalde persoon. Bij indirect identificerende gegevens kan slechts ten aanzien van de verwerker van persoonsgegevens worden gesproken, indien de verwerker over wettige middelen beschikt waarmee hij de betrokken persoon kan identificeren aan de hand van extra informatie die bij haar of een derde van deze persoon aanwezig is. Het begrip “wettelijke mogelijkheden” moet ruim wordt opgevat. Uit het Breyer-arrest volgt namelijk dat van wettelijke mogelijkheden geen sprake is indien de identificatie van de betrokkene bij de wet verboden wordt of in de praktijk ondoenlijk is, bijvoorbeeld omdat zij – gelet op de vereiste tijd, kosten en mankracht – een excessieve inspanning vergt, zodat het gevaar voor identificatie in werkelijkheid onbeduidend lijkt. 4.9. De rechtbank overweegt dat direct op de persoon betrekking hebbende gegevens, zoals naam, adres, woonplaats, burgerservicenummer etc geen onderdeel uitmaken van de gegevensaanlevering aan de NZa. Er is dus hoogstens sprake van indirect identificerende gegevens. Dit volgt ook uit de ter zitting afgelegde verklaring van de NZa dat zij een dataset aangeleverd krijgt waarvan een gedeelte van de data herleidbaar kan zijn tot natuurlijke personen indien dit wordt gekoppeld met andere gegevens die zij heeft. De vraag is of het in de Regeling opgenomen koppelverbod meebrengt dat er sprake is van een wettelijke verbod om de gegevens te herleiden tot een natuurlijk persoon. De Regeling is door de NZa zelf opgesteld, zij is bevoegd ook andersluidende regelingen op te stellen. Van een wettelijk verbod tot koppeling van gegevens lijkt zodoende geen sprake te zijn. Bovendien is niet geheel duidelijk in welke vorm en hoe de dataset wordt aangeleverd en hoe het proces van pseudonimisering verloopt, zodat op dit moment niet zonder meer vast staat dat de NZa (technisch) niet in staat zou zijn aangeleverde gegevens te herleiden tot een persoon. Voor nader onderzoek naar de feiten en omstandigheden of voor bewijslevering is in dit incident evenwel geen plaats. De rechtbank gaat er daarom veronderstellende wijze van uit dat de gegevens ten aanzien van de NZa zijn aan te merken als persoonsgegevens. Maakt de verplichting tot gegevensverstrekking een ongerechtvaardigde inbreuk op medisch beroepsgeheim? 4.10. Vervolgens dient beoordeeld te worden of aannemelijk is dat artikel 4.2 lid 4 van de Regeling ongerechtvaardigde inbreuk maakt op het medisch beroepsgeheim. Het medisch beroepsgeheim houdt kortgezegd in dat het een hulpverlener niet is toegestaan om tegen anderen iets te zeggen over patiënten. Het medisch beroepsgeheim is evenwel niet absoluut. Indien wet- of regelgeving daartoe verplichten móet de hulpverlener gegevens verstrekken en is hij niet gebonden aan zijn beroepsgeheim. 4.11. De rechtbank overweegt dat uit de Wmg volgt dat de NZa bevoegd is gegevens en inlichtingen te vragen van zorgaanbieders en daaromtrent regels te stellen. Dit met inachtneming van de bij ministeriële regeling onderscheiden categorieën van persoonsgegevens. In het kader van deze bevoegdheid heeft de NZa de Regeling vastgesteld. Dat betekent dat er een wettelijke verplichting is die de geheimhoudingsplicht kan doorbreken.

4.26. Het voorgaande leidt tot de conclusie dat er onvoldoende reden is om – totdat het vonnis in de hoofdzaak is gewezen – de verwerking van de in artikel 4.2 lid 4 van de Regeling genoemde Informatie-elementen te verbieden. De incidentele vordering wordt daarom afgewezen. De proceskosten in het incident 4.27. Eisers zijn in het incident in het ongelijk gesteld en moeten daarom de proceskosten (inclusief nakosten) betalen. De proceskosten van de NZa worden begroot op: - salaris advocaat € 1.196,00 (2,0 punten x tarief € 598,00) - nakosten € 173,00 (plus de verhoging zoals vermeld in de beslissing) Totaal € ‭1.359,00‬‬‬‬‬‬‬‬‬‬‬

De rechtbank: in het incident 5.1. wijst het gevorderde af; 5.2. veroordeelt Eisers in de proceskosten van dit incident, aan de zijde van de NZa tot op heden begroot op € 1.359,00, te betalen binnen veertien dagen na aanschrijving daartoe, alsmede als Eisers niet tijdig aan de veroordeling voldoet en het vonnis daarna wordt betekend, dan moeten Eisers € 90,00 extra betalen, plus de kosten van betekening; 5.3. veroordeelt Eisers in de wettelijke rente als bedoeld in artikel 6:119 BW over de proceskosten als deze niet binnen veertien dagen na aanschrijving zijn voldaan; 5.4. verklaart deze kostenveroordeling uitvoerbaar bij voorraad; in de hoofdzaak 5.5. verwijst de zaak naar de rol van 13 december 2023 voor het nemen van een conclusie van antwoord door NZa over de ontvankelijkheid en toepasselijk collectief actierecht (WAMCA en/of artikel 3:305 (oud) BW). Vervolgens zal de zaak op de rol worden geplaatst voor beraad rechter over het vervolg van de procedure. Dit vonnis is gewezen door mr. J.G. van Ommeren en in het openbaar uitgesproken op 1 november 2023. Met kenmerk NR/REG-2313a. Ex artikel 3:303 BW. Deze “opt-out” mogelijkheid volgt uit artikel 4.3 van de Regeling. HR 29 november 2002, ECLI:NL:HR:2002:AE7005, NJ 2003/50. Artikel 4.2 lid 4 Regeling. Artikel 4 AVG. Overweging 26 considerans AVG. HvJEU 19 oktober 2016, ECLI:EU:C:2016:779 (Breyer), r.o. 45-49 en HvJEU 17 juni 2021, ECLI:EU:C:2021:492 (Mircom). HvJEU 19 oktober 2016, ECLI:EU:C:2016:779 (Breyer), r.o. 46. Artikel 7:457 lid 1 laatste zin BW. Artikel 61, 62 en 65 Wmg. Brief AP 7 oktober 2022, productie 14B dagvaarding. Artikel 62 Wmg jo artikel 4.2 lid 4 van de Regeling. Artikel 9 lid 2 aanhef en onder h AVG. Artikel 14 lid 5 aanhef en sub b AVG. Artikel 14 lid 5 aanhef en sub c AVG. type: coll:

Het voorgaande betekent dat Eisers naar het oordeel van de rechtbank onvoldoende aannemelijk hebben gemaakt dat artikel 4.2 lid 4 van de Regeling evident een ongerechtvaardigde inbreuk maakt op het medisch beroepsgeheim. Strijd met het doelbindingsbeginsel? 4.12. Beoordeeld dient verder te worden of aannemelijk is dat artikel 4.2 lid 4 van de Regeling in strijd is met het doelbindingsbeginsel. Dit beginsel, dat is geformuleerd in artikel 5 AVG houdt in dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld en dat zij vervolgens niet verder op een met die doeleinden onverenigbare wijze mogen worden verwerkt. Verder volgt het beginsel ook uit artikel 8 lid 2 EVRM dat voorschrijft dat als sprake is van een inmenging in het privéleven (zoals in het geval van Eisers), deze inmenging een wettelijk doel moet dienen. 4.13. Wat betreft het wettelijk doel heeft de NZa – onbetwist – toegelicht dat zij op grond van artikel 16 van de Wmg is belast met marktoezicht, marktontwikkeling en tarief- en prestatieregulering op het terrein van de gezondheidszorg. De Wmg geeft haar in artikel 62 de bevoegdheid om nadere regels stellen over de aan haar te verstrekken gegevens en inlichtingen door zorgaanbieders en in artikel 65 Wmg welke persoonsgegevens. Deze artikelen vormen de grondslag voor de uitvraag van artikel 4.2 lid 4 van de Regeling. Dit past dus binnen de wettelijke taak van de NZa om informatie op te vragen om zo de bekostiging van de zorg te verbeteren. 4.14. De rechtbank overweegt dat in artikel 4.2 lid 4 van de Regeling is opgenomen dat de daarin genoemde gegevens alleen worden gebruikt voor het ijken van het algoritme zorgvraagtypering en van de verdeling van zorgvraagtyperingen. Naar het oordeel van de rechtbank is daarmee de doelstelling voldoende bepaald. Bovendien is dit informatie die nodig is voor de verdere ontwikkeling van het bekostigingsstelsel. Het argument van Eisers dat het geen op zichzelf staande doelen zijn, maar slechts om procedurele stappen die worden doorlopen om mogelijk bepaalde achterliggende doelen, gerelateerd aan het zorgprestatiemodel en het systeem van zorgvraagtypering in bredere zin, te kunnen bereiken, kan niet worden gevolgd in het licht van het advies van de AP. De NZa heeft immers naar aanleiding van het (tussen-)oordeel van de AP dat de doelstellingen van de verplichte aanlevering onvoldoende afgebakend zijn, bij brief van 17 november 2022 de doelstellingen concreter geformuleerd en de doelstellingen in de Regeling aangescherpt. Nadien heeft de AP in haar advies van 14 december 2022 geoordeeld dat de NZa de geschiktheid van verwerking van de HoNOS+ gegevens van alle ggz-patiënten ten behoeve van het nagestreefde doel aannemelijk heeft gemaakt. Het argument van Eisers dat de bewoordingen 'het ijken van het algoritme zorgvraagtypering' en de 'verdeling van zorgvraagtyperingen' te algemeen en te vaag zijn en dat onduidelijk is hoe dit ijken en verdelen plaatsvindt en welke verwerkingen daarvoor nodig zijn, doet aan het voorgaande niet af. Het doelbindingsbeginsel strekt namelijk niet zo ver dat dit vereist is. Het gaat erom dat de doelen waarvoor de persoonsgegevens worden gebruikt, passen binnen de wettelijke taak van de NZa. Het voorgaande leidt tot de conclusie dat Eisers onvoldoende aannemelijk hebben gemaakt dat het doelbindingsbeginsel van artikel 5 van de AVG (evident) is geschonden. Strijd met het noodzakelijkheidsbeginsel; de proportionaliteit en subsidiariteit? 4.15. Niet in geschil is dat de gegevensuitvraag en verwerking in strijd is met het recht op respect voor het privéleven en het recht op eerbiediging van de persoonlijke levenssfeer. Deze rechten zijn echter niet absoluut. Uit artikel 8 lid 2 EVRM volgt dat inperking mogelijk is indien dit (i) een legitiem doel dient, (ii) bij de wet is voorzien en (iii) noodzakelijk is in een democratische samenleving. In dat laatste criterium ligt besloten dat de inperking van de grondrechten proportioneel moet zijn en dat er geen andere (lichtere) middelen moeten zijn om het beoogde doel te verwezenlijken. De NZa heeft hierbij een beoordelingsvrijheid (‘margin of appreciation’). 4.16. De rechtbank stelt voorop dat uit hetgeen hiervoor is geoordeeld volgt dat (i) de inperking een legitiem doel dient en (ii) bij de wet is voorzien. Beoordeeld moet worden of voldoende aannemelijk is dat artikel 4.2 lid 4 van de Regeling niet voldoet aan de vereiste noodzakelijkheid, proportionaliteit en subsidiariteit in het licht van de doelen die zij dient. 4.17. De rechtbank overweegt dat partijen van mening verschillen in hoeverre de verwerking van de HoNOS+ gegevens noodzakelijk is. In dit verband wijzen Eisers naar de analyse van prof.dr. [G] waaruit kortgezegd volgt dat het geen/nauwelijks zin heeft de gegevens te onderzoeken omdat het beloop van psychisch aandoeningen slechts in beperkte mate voorspelbaar is en dat het beoogde doel van de gegevensverwerking (het voorspellen van zorgintensiteit en zorgkosten) wetenschappelijk niet kan worden gerealiseerd. Dit wordt door de NZa gemotiveerd betwist. De rechtbank is van oordeel dat op dit moment moeilijk kan worden beoordeeld of de hoofddoelen van de uitvraag, verbetering van het algoritme en verdeling van de zorgvraagtypering ijken, met deze uitvraag en de verwerking van de daaruit volgende gegevens zullen worden bereikt. Op dit punt verschillens eisers (in navolging van prof.dr. [G] ) en de NZa van inzicht. Voor de doorontwikkeling en ijking van het algoritme is – aldus de NZa – echter nader onderzoek nodig. De uitvraag van gegevens ten behoeve van onderzoek (waarbij onduidelijk is of het beoogde resultaat wordt bereikt) is naar het voorlopig oordeel van de rechtbank voldoende basis voor de uitvraag. Zonder nadere gegevens is verder onderzoek niet (goed) mogelijk, gegevensuitvraag is om die reden vooralsnog noodzakelijk. 4.18. De rechtbank acht de maatregel vooralsnog ook proportioneel. Door de NZa is aangevoerd dat de gegevensuitvraag en verwerking nodig is om ervoor te zorgen dat er een goede zorgvraagtypering komt, zodat patiënten met een zwaardere zorgvraag eerder in behandeling worden genomen. In verband met de privacybelangen van de patiënten heeft zij daarbij (technische en organisatorische) maatregelen genomen om te voorkomen dat de data gekoppeld worden en het aantal mensen dat toegang heeft tot de informatie beperkt. Ook is naar het oordeel van de rechtbank duidelijk geworden dat minder zware maatregelen niet volstaan. Door de NZa is gemotiveerd naar voren gebracht naar welke minder vergaande (privacy vriendelijkere) methodes zij heeft gekeken om de noodzakelijke verbeteringen in het te hanteren algoritme te bereiken en waarom deze methodes niet geschikt zijn. Ook heeft de NZa gemotiveerd naar voren gebracht waarom alleen met een grote steekproef tot een goed algoritme kan worden gekomen. Het voorgaande betekent dat onvoldoende aannemelijk is geworden dat niet is voldaan aan de proportionaliteit en de eisen van subsidiariteit. Is de verwerking onrechtmatig? 4.19. Verwerking van persoonsgegevens is op grond van artikel 6 AVG alleen rechtmatig in de daar genoemde gevallen. Gelet op hetgeen hiervoor is overwogen hebben Eisers onvoldoende aannemelijk gemaakt dat de verwerking onrechtmatig is. Gebleken is dat de verwerking van de persoonsgegevens noodzakelijk is om te voldoen aan een wettelijke verplichting die op de NZa rust en de rechtsgrond is vastgesteld bij een lidstatelijk wetgevingsmaatregel die duidelijk, nauwkeurig en voorspelbaar is.

De verwerking is daarom rechtmatig gelet op artikel 6 lid 1 aanhef en onder c AVG jo artikel 6 lid 3 AVG. Is de verwerking onrechtmatig wegens onverenigbaarheid? 4.20. Vervolgens dient beoordeeld te worden of aannemelijk is dat de gegevensverwerking onrechtmatig is wegens onverenigbaarheid met de oorspronkelijke doeleinden van de oorspronkelijke verwerking. In dit verband bepaalt artikel 6 lid 4 van de AVG dat verwerking van persoonsgegevens die voor andere doeleinden zijn verzameld, alleen is toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor die gegevens aanvankelijk zijn verzameld. Verdere verwerking voor een ander doel mag echter wel plaatsvinden, ongeacht of deze verenigbaar is met de aanvankelijke doeleinden, als de verdere verwerking is gebaseerd op Unierecht of lidstatelijk recht. 4.21. De rechtbank overweegt dat Eisers voldoende aannemelijk hebben gemaakt dat de persoonsgegevens met een ander doel zijn verzameld dat het doel waarmee de NZa deze gegevens verwerkt. Evenwel is, zoals hiervoor in 4.13 is overwogen, de verwerking van de NZa gebaseerd op lidstatelijk recht, zodat de verwerking voor een ander (onverenigbaar) doel mag plaatsvinden. Dit betekent dat Eisers onvoldoende aannemelijk hebben gemaakt dat de verwerking evident in strijd is met artikel 6 lid 4 AVG. Verboden verwerking gezondheidsgegeven? 4.22. Verder dient te worden beoordeeld of aannemelijk is dat de gegevensverwerking in strijd is met het verbod om gezondheidsgegevens te verwerken. Uit artikel 9 lid 1 AVG volgt dat verwerking van medische persoonsgegevens in beginsel verboden is. Op het verwerkingsverbod van gezondheidsgegevens bestaan echter uitzonderingen. 4.23. De rechtbank stelt voorop dat niet ter discussie staat dat de persoonsgegevens zijn aan te merken als gezondheidsgegevens als bedoeld in artikel 9 lid 1 AVG, zodat de verwerking daarvan in beginsel is verboden. Van het verwerkingsverbod is echter uitgezonderd de verwerking die op grond van Unierecht of lidstatelijk recht noodzakelijk is voor het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten. Een dergelijke lidstatelijke wettelijke grondslag is te vinden in de Wmg en de daarop gebaseerde Regeling. De Regeling heeft – zoals hiervoor is overwogen – immers tot doel om de zorgvraagtypering verder te ontwikkelen om zo de bekostiging van de zorg te verbeteren. Dit doel dient het beheren van het gezondheidszorgstelsel en -diensten. Gelet op het voorgaande hebben Eisers ook op dit punt onvoldoende aannemelijk gemaakt dat de verplichting tot gegevenslevering en de verwerking evident in strijd is met het verwerkingsverbod van gezondheidsgegevens. Schending informatieverplichting? 4.24. Tot slot moet worden beoordeeld of aannemelijk is dat de NZa de informatieverplichting heeft geschonden door de betrokkenen niet persoonlijk te informeren over de gegevensverwerking. Deze verplichting volgt uit artikel 14 van de AVG en houdt in dat, als de persoonsgegevens niet bij de betrokkene zelf zijn verkregen, de betrokkene moet worden geïnformeerd over de verwerking van zijn of haar gegevens. In het vijfde lid van artikel 14 AVG zijn uitzonderingen gemaakt op deze verplichting. 4.25. De rechtbank stelt vast dat de NZa de betrokkenen niet informeert. De NZa wijst in dit verband op het gegeven 1) dat het voor haar praktisch onmogelijk is om de betrokkenen te informeren omdat zij niet direct herleidbare gegevens krijgt en dus geen weet heeft wie zij moet informeren en 2) de gegevensverwerking volgt uit lidstatelijk recht. In dit verband hebben Eisers ter zitting naar voren gebracht dat het voor de NZa mogelijk is en op de weg ligt om een gerichte campagne te voeren en zo de betrokkenen te informeren over de gegevensverwerking. Naar het oordeel van de rechtbank is gelet op de betwisting van de NZa onvoldoende aannemelijk geworden dat de informatieverplichting evident is geschonden. Vooralsnog is niet aannemelijk geworden dat de NZa de ggz-patiënten uitdrukkelijker dan zij nu reeds doet zou moeten informeren via een gerichte (reclame)campagne, met name niet omdat goed mogelijk is dat de NZa inderdaad helemaal niet weet op welke specifieke personen de gegevens betrekking hebben.