ECLI:NL:RVS:2019:3183

201808653/1/A3. Datum uitspraak: 18 september 2019 AFDELING BESTUURSRECHTSPRAAK Uitspraak op het hoger beroep van: de Stichting Koepel van DBC-vrije Praktijken van Psychotherapeuten en Psychiaters, gevestigd te Amsterdam, appellante, tegen de uitspraak van de rechtbank Amsterdam van 24 september 2018 in zaak nr. 15/6762 in het geding tussen: de stichting en de Autoriteit Persoonsgegevens (hierna: de AP).

Bij besluit van 16 maart 2015 heeft het College Bescherming Persoonsgegevens (hierna: het CBP) een handhavingsverzoek van de stichting afgewezen. Bij besluit van 18 september 2015 op het daartegen door de stichting gemaakte bezwaar, heeft het CBP het besluit van 16 maart 2015 herroepen en nadere besluitvorming aangekondigd. Bij besluit van 28 oktober 2016 heeft de AP als rechtsopvolger van het CBP, in aanvulling op het besluit van 18 september 2015, het handhavingsverzoek afgewezen. Bij uitspraak van 24 september 2018 heeft de rechtbank het door de stichting tegen het besluit van 18 september 2015 ingestelde beroep niet-ontvankelijk verklaard en het van rechtswege tegen het besluit van 28 oktober 2016 ontstane beroep ongegrond verklaard. Deze uitspraak is aangehecht. Tegen deze uitspraak heeft de stichting hoger beroep ingesteld. De AP en de vereniging Zorgverzekeraars Nederland hebben ieder een schriftelijke uiteenzetting gegeven. De Afdeling heeft de zaak ter zitting behandeld op 26 juni 2019, waar de stichting, vertegenwoordigd door mr. A. van Eldijk, en de AP, vertegenwoordigd door mr. O.S. Nijveld en mr. J.M.A. Koster, zijn verschenen.

1.    Per 25 mei 2018 zijn de Algemene verordening gegevensbescherming en de Uitvoeringswet Algemene verordening gegevensbescherming in werking getreden en is de Wet bescherming persoonsgegevens (hierna: de Wbp) ingetrokken. Omdat de besluiten in deze zaak vóór deze dag zijn genomen, blijft de Wbp in deze zaak van toepassing. 2.    Bij brief van 11 november 2014, aangevuld bij brief van 10 februari 2015, heeft de stichting, in vervolg op een door het CBP bij brief van 4 november 2014 niet ingewilligd handhavingsverzoek van 20 augustus 2014, het CBP verzocht handhavend op te treden tegen alle partijen die door het CBP aangesproken kunnen worden op de niet-effectieve digitale declaratieprocedures in de geestelijke gezondheidszorg in geval van een door de verzekerde en diens behandelaar ondertekende privacyverklaring. Volgens de stichting zijn de declaratieprocedures niet effectief, omdat deze niet kunnen voorkomen dat tegen de wil van de verzekerde en diens behandelaar via het voor de desbetreffende diagnose-behandelcombinatie (hierna: dbc) specifieke tarief tot de medische diagnose te herleiden informatie aan de zorgverzekeraar wordt verstrekt. Hierbij heeft de stichting verwezen naar de uitspraak van het College van Beroep voor het bedrijfsleven van 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, en de uitspraak van de rechtbank van 13 november 2013, ECLI:NL:RBAMS:2013:7480. Bij het besluit van 16 maart 2015 heeft het CBP het verzoek afgewezen, omdat het geen toezichthoudende bevoegdheid heeft ten aanzien van het opstellen van beleidsregels door de Nederlandse Zorgautoriteit (hierna: de NZa). Bij het besluit van 18 september 2015 heeft het CBP het besluit van 16 maart 2015 herroepen, omdat er daarin ten onrechte van is uitgegaan dat het verzoek tot handhaving tot de NZa is beperkt. Voorts heeft het CBP aangekondigd dat het, na het doen van onderzoek naar mogelijke overtreding van artikel 16 van de Wbp en zo nodig afstemming met de NZa, tot nadere besluitvorming zal overgaan. Bij het besluit van 28 oktober 2016 heeft de AP het verzoek, onder verwijzing naar de onderzoeksresultaten van het rapport Zorgverzekeraars, controles en privacyvoorschriften van de NZa van september 2016 (hierna: het rapport), afgewezen. 3.    De stichting betoogt dat de rechtbank het procesverloop onvolledig heeft weergegeven. Hieruit leidt zij af dat de rechtbank de aanleiding voor het handhavingsverzoek en het probleem dat het gebruik van dbc-specifieke tarieven in geval van een afgegeven privacyverklaring leidt tot ongewenste uitwisseling van diagnose-informatie niet bij haar beoordeling heeft betrokken. 3.1.    Dit betoog is niet gericht tegen een voor de beslissing van de rechtbank dragende overweging en kan daarom niet tot vernietiging van de aangevallen uitspraak leiden. De Afdeling zal dit betoog daarom niet bespreken. 4.    De stichting betoogt verder dat de rechtbank ten onrechte heeft geoordeeld dat de AP overeenkomstig artikel 7:11 van de Algemene wet bestuursrecht (hierna: de Awb) heeft gehandeld door pas in het besluit van 28 oktober 2016 een nieuwe beoordeling van het handhavingsverzoek te verrichten en dat de rechtbank ten onrechte het beroep tegen het besluit van 18 september 2015 niet-ontvankelijk heeft verklaard. 4.1.    Artikel 7:11, eerste lid, van de Awb luidt: "Indien het bezwaar ontvankelijk is, vindt op grondslag daarvan een heroverweging van het bestreden besluit plaats." Het tweede lid luidt: "Voor zover de heroverweging daartoe aanleiding geeft, herroept het bestuursorgaan het bestreden besluit en neemt het voor zover nodig in de plaats daarvan een nieuw besluit." 4.2.    Zoals de Afdeling heeft overwogen in de uitspraak van 10 december 2014, ECLI:NL:RVS:2014:4473, vloeit uit artikel 7:11 van de Awb voort dat, indien het bestuursorgaan na heroverweging tot de conclusie komt dat het aangevochten besluit niet in stand kan blijven, het bestuursorgaan, behoudens in het geval waarin enkele herroeping van dat besluit voldoende is, voor het onjuist bevonden besluit een nieuw besluit in de plaats stelt. Het besluit van 18 september 2015 bestaat uit een herroeping van het aangevochten besluit van 16 maart 2015 en de aankondiging van nadere besluitvorming. Pas bij het besluit van 28 oktober 2016 is opnieuw op het handhavingsverzoek beslist. De rechtbank heeft niet onderkend dat deze handelwijze zicht niet verdraagt met artikel 7:11 van de Awb. De rechtbank had de besluiten van 18 september 2015 en 28 oktober 2016 samen als één besluit op bezwaar moeten aanmerken, waartegen één beroep aanhangig was. Vergelijk de uitspraak van de Afdeling van 30 januari 2013, ECLI:NL:RVS:2013:BY9933. De niet-ontvankelijkverklaring van het beroep tegen het besluit van 18 september 2015 was daarom onjuist. Het betoog slaagt. 5.    De stichting betoogt voorts dat de rechtbank ten onrechte onder verwijzing naar het rapport heeft geoordeeld dat de AP wegens het ontbreken van een overtreding niet bevoegd was handhavend op te treden en het handhavingsverzoek daarom terecht heeft afgewezen. Het rapport gaat voorbij aan de uitspraak van de rechtbank van 13 november 2013, waarin de rechtbank heeft geoordeeld dat de Gedragscode Verwerking Persoonsgegevens wegens het ontbreken van uitzonderingsregels onvoldoende waarborgen bevat voor het op juiste wijze verwerken van persoonsgegevens bij de behandeling van psychische klachten. In het rapport wordt voorts niet ingegaan op de invoering, de opzet en het functioneren van een aangepaste digitale declaratie-procedure waarmee kan worden gedeclareerd zonder dat via het dbc-specifieke tarief diagnose-informatie wordt uitgewisseld. Voorkomen moet worden dat het gebruik van dbc-specifieke tarieven in geval van een afgegeven privacyverklaring leidt tot ongewenste uitwisseling van diagnose-informatie. Verder heeft de AP nagelaten zelf onderzoek te doen. De rechtbank is ten slotte ten onrechte voorbij gegaan aan de stelling dat er geen regeling van de zorgverzekeraars, de AP of de NZa bestaat waarin is opgenomen welk tarief bij de declaratie van een behandeling kan worden gebruikt om te voorkomen dat bekend wordt welke behandeling is toegepast, aldus de stichting. 5.1.    Artikel 8, aanhef en onder c, van de Wbp luidt: "Persoonsgegevens mogen slechts worden verwerkt indien […] de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is[.]" Artikel 16 luidt: "De verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden behoudens het bepaalde in deze paragraaf. Hetzelfde geldt voor strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag." Artikel 21, eerste lid, aanhef en onder b, luidt: "Het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door […] verzekeraars als bedoeld in artikel 1:1 van de Wet op het financieel toezicht en financiële dienstverleners die bemiddelen in verzekeringen als bedoeld in artikel 1:1 van die wet, voorzover dat noodzakelijk is voor: 1°. de beoordeling van het door de verzekeraar te verzekeren risico en de betrokkene geen bezwaar heeft gemaakt; of 2°. de uitvoering van de overeenkomst van verzekering[.]" Het tweede lid luidt: "In de gevallen als bedoeld in het eerste lid worden de gegevens alleen verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift, dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht.

De Afdeling bestuursrechtspraak van de Raad van State: I.    verklaart het hoger beroep gegrond; II.    vernietigt de uitspraak van de rechtbank Amsterdam van 24 september 2018 in zaak nr. 15/6762, voor zover de rechtbank het beroep tegen het besluit van het College Bescherming Persoonsgegevens van 18 september 2015 niet-ontvankelijk heeft verklaard; III.    bevestigt die uitspraak voor het overige; IV.    gelast dat de Autoriteit Persoonsgegevens aan de Stichting Koepel van DBC-vrije Praktijken van Psychotherapeuten en Psychiaters het door haar betaalde griffierecht ten bedrage van € 508,00 (zegge: vijfhonderdacht euro) voor de behandeling van het hoger beroep vergoedt. Aldus vastgesteld door mr. J.A.W. Scholten-Hinloopen, voorzitter, en mr. F.D. van Heijningen en mr. C.C.W. Lange, leden, in tegenwoordigheid van mr. T. Hartsuiker, griffier. w.g. Scholten-Hinloopen    w.g. Hartsuiker voorzitter    griffier Uitgesproken in het openbaar op 18 september 2019 620.

Indien de verantwoordelijke gegevens persoonlijk verwerkt en op hem niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht rust, is hij verplicht tot geheimhouding van de gegevens, behoudens voor zover de wet hem tot mededeling verplicht of uit zijn taak de noodzaak voortvloeit dat de gegevens worden meegedeeld aan anderen die krachtens het eerste lid bevoegd zijn tot verwerking daarvan." Artikel 23, eerste lid, luidt: "Onverminderd de artikelen 17 tot en met 22 is het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken niet van toepassing voor zover: a. dit geschiedt met uitdrukkelijke toestemming van de betrokkene; b. de gegevens door de betrokkene duidelijk openbaar zijn gemaakt; c. dit noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte; d. dit noodzakelijk is ter verdediging van de vitale belangen van de betrokkene of van een derde en het vragen van diens uitdrukkelijke toestemming onmogelijk blijkt; e. dit noodzakelijk is ter voldoening aan een volkenrechtelijke verplichting of f. dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het College ontheffing heeft verleend. Het College kan bij de verlening van ontheffing beperkingen en voorschriften opleggen; g. de gegevens worden verwerkt door het College of een ombudsman als bedoeld in artikel 9:17 van de Algemene wet bestuursrecht en dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, voor de uitvoering van de hun wettelijk opgedragen taken en bij die uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad." Artikel 65 luidt: "Het College is bevoegd tot oplegging van een last onder bestuursdwang ter handhaving van de bij of krachtens deze wet gestelde verplichtingen." Artikel 66, tweede lid, luidt: "Het College kan een bestuurlijke boete opleggen van ten hoogste het bedrag van de geldboete van de zesde categorie van artikel 23, vierde lid, van het Wetboek van Strafrecht ter zake van overtreding van het bepaalde bij of krachtens de artikelen 6 tot en met 8, 9, eerste en vierde lid, 10, eerste lid, 11 tot en met 13, 16, 24, 33, 34, eerste, tweede en derde lid, 34a, 35, eerste lid, tweede volzin, tweede, derde en vierde lid, 36, tweede, derde en vierde lid, 38 tot en met 40, tweede en derde lid, 41, tweede en derde lid, 42, eerste en vierde lid, 76, 77 of 78, derde en vierde lid, alsmede van artikel 5:20 van de Algemene wet bestuursrecht. Artikel 23, zevende lid, van het Wetboek van Strafrecht is van overeenkomstige toepassing." Artikel 3.5.1 van de Regeling gespecialiseerde geestelijke gezondheidszorg (hierna: de Rggg) luidt: "De artikelen 3.4.3, 3.4.11, 3.4.12 en 3.4.14, voor zover betrekking hebbend op tot de diagnose herleidbare gegevens, blijven buiten toepassing indien de patiënt en de zorgaanbieder gezamenlijk een verklaring hebben ondertekend overeenkomstig Bijlage 7: Privacyverklaring." Artikel 3.5.4 luidt: "In aanvulling op de uitzonderingsbepaling van artikel 3.5.1 en zo nodig in afwijking van artikel 3.4.4 zijn patiënt en zorgaanbieder gerechtigd om een tarief, niet hoger dan het geldende maximumtarief, te declareren zodanig dat dit afwijkende tarief niet herleidbaar is naar de diagnose. De zorgaanbieder, al dan niet in gezamenlijkheid met de patiënt, dient in dit geval in overleg met de zorgverzekeraar tot een afwijkende, doch voor beide partijen aanvaardbare betalingsprocedure te komen. De zorgverzekeraar is gehouden om binnen redelijke grenzen medewerking te verlenen aan de totstandkoming van zo’n betalingsprocedure." 5.2.    In het besluit van 18 september 2015 heeft het CBP zich op het standpunt gesteld dat artikel 16 van de Wbp, gelezen in samenhang met de toepasselijke uitzonderingsgronden van artikelen 21 en 23 van de Wbp, zich in beginsel niet verzet tegen het verstrekken en verder verwerken van tariefgegevens die rechtstreeks tot een bepaald type diagnose herleidbaar zijn, maar dat dit anders is indien een privacyverklaring is afgegeven, omdat voor die situatie een uitzonderingsgrond ontbreekt. Aan het besluit van 28 oktober 2016 heeft de AP het rapport ten grondslag gelegd. Het rapport is opgesteld naar aanleiding van een door de NZa in de periode van november 2015 tot en met september 2016 verricht onderzoek naar de naleving door zorgverzekeraars van de in de artikelen 3.5.1 en 3.5.4 van de Rggg beschreven privacyregeling, die bestaat om te voorkomen dat artikel 16 van de Wbp wordt overtreden in geval van een afgegeven privacyverklaring. Uit het onderzoek is gebleken dat alle zorgverzekeraars de privacyregeling hanteren zoals deze is bedoeld, dus zonder verstrekking van informatie over de diagnose. Voor zover één zorgverzekeraar toch verwijsbrieven en behandelplannen heeft opgevraagd wanneer een privacyverklaring was overgelegd, heeft de NZa deze zorgverzekeraar gedurende een jaar een maatregel opgelegd om ervoor te zorgen dat deze informatie niet meer wordt opgevraagd en de privacyregeling volledig wordt nageleefd. Verder is uit het onderzoek gebleken dat alle zorgverzekeraars de mogelijkheid bieden om een afwijkend tarief in rekening te brengen waaruit geen tot de diagnose herleidbare informatie hoeft te worden verstrekt. Hierbij wordt de mogelijkheid geboden om een dummycode te hanteren of om met de zorgverzekeraar een apart tarief af te spreken dat niet herleidbaar is tot diagnose-informatie. De zorgverzekeraars hebben verklaard dat bij het gebruik van een dummycode of een afwijkend tarief altijd wordt overgegaan tot uitbetaling en geen controle plaatsvindt en dat in geval van een privacyverklaring evenmin een machtigingseis wordt gehanteerd of toegepast waarbij voorafgaande aan een behandeling aan de zorgverzekeraar om toestemming wordt gevraagd voor vergoeding van de behandeling. Voorts is uit het onderzoek gebleken dat de declaraties zowel digitaal als op papier kunnen worden ingediend bij de zorgverzekeraars. Op grond hiervan heeft de AP zich op het standpunt gesteld dat sprake is van een adequate privacyregeling en dat alle zorgverzekeraars in Nederland deze momenteel correct toepassen. Van onmogelijkheden in de gehanteerde procedure en bijbehorende software die de zorgverzekeraars gebruiken, is niet gebleken. Voor zover uit het onderzoek is gebleken dat één zorgverzekeraar de privacyregeling niet correct naleefde, heeft de NZa tijdens het onderzoek reeds een maatregel opgelegd teneinde erop toe te zien dat de werkwijze onmiddellijk werd aangepast. De NZa monitort nog gedurende één jaar of de privacyregeling blijvend correct door deze zorgverzekeraar wordt nageleefd. Er zijn geen aanknopingspunten waaruit blijkt dat deze zorgverzekeraar dan wel de andere zorgverzekeraars de privacyregeling niet naleven, zodat zich geen overtreding van artikel 16 van de Wbp voordoet, aldus de AP. 5.3.    De rechtbank heeft terecht onder verwijzing naar het rapport geoordeeld dat de AP wegens het ontbreken van een overtreding niet bevoegd was handhavend op te treden. Dat in het rapport de uitspraak van de rechtbank van 13 november 2013 niet is vermeld, doet hieraan niet af. In die uitspraak heeft de rechtbank geoordeeld dat uitzonderingsregels op de verplichting tot het verstrekken van diagnose-informatie in de Gedragscode Verwerking Persoonsgegevens. Dergelijke uitzonderingsregels zijn wel neergelegd in de artikelen 3.5.1 en 3.5.4 van de Rggg, naar de naleving waarvan de NZa onderzoek heeft gedaan. Bij dat onderzoek heeft de NZa de werking van digitale declaratie-procedures betrokken. De uitkomst van het rapport is dat die procedures niet leiden tot ongewenste uitwisseling van diagnose-informatie in geval van een afgegeven privacyverklaring. Gelet op de aanwezigheid van het rapport, behoefde de AP niet ook zelf een onderzoek uit te voeren.