Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl
Vertrouwelijk/Aangetekend
Datum Ons kenmerk
19 november 2019
Contactpersoon
070 8888 500
Onderwerp
Oplegging berisping
Geachte heer Van Haperen, geachte heer Rooke,
De Autoriteit Persoonsgegevens (AP) heeft geconstateerd dat de Alliantie kwaliteit in de geestelijke
gezondheidszorg (hierna: Akwa GGZ) persoonsgegevens over de gezondheid heeft verwerkt. Deze
verwerking heeft plaatsgevonden door middel van het overnemen van een zogeheten verarmde dataset
van Stichting Benchmark GGZ (hierna: SBG). De verwerking van gezondheidsgegevens is op grond van
artikel 9, eerste lid, van de Algemene verordening gegevensbescherming (AVG) verboden, tenzij Akwa
GGZ zich als verwerkingsverantwoordelijke op een uitzonderingsgrond zoals opgenomen in artikel 9,
tweede lid, van de AVG kan beroepen.
Naar het oordeel van de AP kan Akwa GGZ zich in de beoordeelde situatie niet op een uitzonderingsgrond
beroepen zoals opgenomen in artikel 9, tweede lid, van de AVG. Dit betekent dat de verwerking van
persoonsgegevens over de gezondheid door middel van een van SBG overgenomen dataset een
overtreding is van het verbod van artikel 9, eerste lid, van de AVG. Hoewel Akwa GGZ de verarmde dataset
inmiddels geheel heeft vernietigd, berispt de AP Akwa GGZ vanwege de overtreding die is begaan op
grond van artikel 58, tweede lid, aanhef en onder b, van de AVG.
Hierna wordt het besluit tot het opleggen van een berisping nader onderbouwd. De relevante feiten en
omstandigheden waarop de berisping is gebaseerd, worden in paragraaf 1 beschreven. In paragraaf 2
wordt het wettelijk kader beschreven. In paragraaf 3 wordt de beoordeling gemaakt en de overtreding
vastgesteld. Paragraaf 4 beschrijft de berisping. Tot slot wordt aangegeven hoe Akwa GGZ in beroep kan
gaan tegen deze berisping.
1
Datum Ons kenmerk
19 november 2019
1. Feiten en omstandigheden
1. Akwa GGZ ondersteunt de geestelijke gezondheidszorg (ggz) bij de (door)ontwikkeling en implementatie
van kwaliteitsstandaarden, kwaliteitsindicatoren en meetinstrumenten. Ook zorgt Akwa GGZ voor
uitwisseling tussen relevante partijen over de opbrengsten hiervan. Zij is als stichting opgenomen in het
register van de Kamer van Koophandel en geregistreerd onder KvK nummer 71887741.1 De hoofdvestiging
bevindt zich in Utrecht, Museumlaan 7.
2. Naar aanleiding van een verzoek tot handhaving heeft de AP een onderzoek uitgevoerd naar de
verwerkingen van persoonsgegevens door SBG. Samengevat weergegeven is uit het onderzoek naar voren
gekomen dat de data die SBG (via ZorgTTP) van zorgaanbieders heeft ontvangen een verwerking is van
gegevens over de gezondheid in de zin van artikel 4, aanhef en onder 15, van de AVG. Omdat SBG zich niet
kan beroepen op één van de wettelijke uitzonderingsgronden die het verbod om gegevens over gezondheid
te verwerken kunnen opheffen, is het bijgevolg voor SBG verboden om op grond van artikel 9, eerste lid,
van de AVG de dataset met daarin gegevens over gezondheid te verwerken.
3. Begin 2019 heeft SBG een dataset overgedragen aan Akwa GGZ, bestaande uit 19 gegevenscategorieën per
patiënt in plaats van de 25 oorspronkelijke gegevenscategorieën per patiënt die zijn aangeleverd bij SBG.2
Het beheer door Akwa GGZ van deze dataset vormt ook een verwerking van gegevens over gezondheid in
de zin van artikel 4, aanhef en onder 15, van de AVG. Omdat Akwa GGZ zich niet kan beroepen op één van
de wettelijke uitzonderingsgronden bij het verwerkingsverbod ten aanzien van gegevens over gezondheid,
is het voor Akwa GGZ verboden om op grond van artikel 9, eerste lid, van de AVG de dataset met daarin
gegevens over gezondheid te verwerken.
4. Ten aanzien van de verwerking van deze persoonsgegevens, moet Akwa GGZ gekwalificeerd worden als
verwerkingsverantwoordelijke in de zin van artikel 4, onderdeel 7, van de AVG, omdat Akwa GGZ als
rechtspersoon het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Reeds uit
het feit dat Akwa GGZ aan de AP bij brief van 28 mei 2019 heeft medegedeeld dat de verarmde dataset in
quarantaine is geplaatst en bij brief van 8 augustus 2019 aan de AP heeft medegedeeld dat de verarmde
dataset definitief is vernietigd, blijkt dat Akwa GGZ eindverantwoordelijk is voor het gevoerde beleid met
betrekking tot de verarmde dataset die het in beheer heeft en daarmee het doel en de middelen voor de
verwerking van de persoonsgegevens vaststelt.
2. Wettelijke kader
5. Artikel 4, aanhef en onder 15, van de AVG bepaalt dat gegevens over gezondheid persoonsgegevens zijn die
verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens
over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven.
Het gaat om alle gegevens die op de gezondheidstoestand van een betrokkene betrekking hebben en die
informatie geven over de lichamelijke of geestelijke gezondheidstoestand in het verleden, het heden en de
toekomst.3 Het begrip “gezondheid” moet ruim worden opgevat. Ook het enkele gegeven dat iemand ziek
1 Zie website Kamer van Koophandel: https://www.kvk.nl/orderstraat/product-kiezen/?kvknummer=71887741.
2 Zie ook pp. 12, 13 en 25 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
3 Overweging 35 van de AVG.
2/4
Datum Ons kenmerk
19 november 2019
is, is een gegeven omtrent gezondheid, hoewel dat gegeven op zichzelf nog niets zegt over de aard van de
aandoening.4
6. Gegevens over gezondheid kwalificeren onder de AVG als zogenoemde ‘bijzondere categorieën van
persoonsgegevens’. Het verwerken van dergelijke gegevens is op grond van artikel 9, eerste lid, van de
AVG verboden. Er gelden echter uitzonderingen op dit verbod. Die staan in het tweede lid van artikel 9 van
de AVG. Deze uitzonderingen hebben geen rechtstreekse gelding op basis van de AVG, maar laten ruimte
aan de lidstaten om tot een nadere invulling te komen van deze uitzonderingsgrond. Dat is in Nederland -
in algemene termen - gebeurd in de Uitvoeringswet Algemene verordening gegevensbescherming
(UAVG).
7. Zoals uiteengezet door de AP in de beslissing op bezwaar onder de randnummers 45 tot en met 49, komt
Akwa GGZ geen beroep toe op artikel 9, tweede lid, onderdeel h van de AVG jo. artikel 30, derde lid, sub a
van de UAVG. SBG of Akwa GGZ kunnen zich ook niet beroepen op één van de andere algemene
uitzonderingsgronden, zoals opgenomen in artikel 9, tweede lid, van de AVG in samenhang gelezen met de
artikelen 22 tot en met 30 van de UAVG.
3. Constatering overtreding
8. De verarmde dataset zoals door SBG overgedragen aan Akwa GGZ vormt een verwerking van gegevens
over gezondheid in de zin van artikel 4, aanhef en onder 15, van de AVG. Daarbij concludeert de AP dat
Akwa GGZ zich niet kan beroepen op één van de uitzonderingen op het verwerkingsverbod van bijzondere
persoonsgegevens, zoals opgenomen in artikel 9, tweede lid, van de AVG.
9. Bij brief van 29 mei 2019 heeft de AP aan Akwa GGZ een voornemen tot handhaving bekendgemaakt. De
AP heeft Akwa GGZ toen medegedeeld voornemens te zijn om, gelet op de in het Rapport naar aanleiding
van onderzoek gegevensverwerking SBG (hierna: onderzoeksrapport) geconstateerde overtredingen,
gebruik te maken van haar bevoegdheid om op grond van artikel 58, tweede lid, aanhef en onder f, van de
AVG een definitief verwerkingsverbod op te leggen aan Akwa GGZ.
4. Berisping
10. Bij brief van 29 mei 2019 heeft de AP aan Akwa GGZ een voornemen tot handhaving bekendgemaakt. De
AP heeft Akwa GGZ toen medegedeeld voornemens te zijn om, gelet op de in het onderzoeksrapport
geconstateerde overtredingen, gebruik te maken van haar bevoegdheid om op grond van artikel 58, tweede
lid, aanhef en onder f, van de AVG een definitief verwerkingsverbod op te leggen aan Akwa GGZ.
11. De AP kiest ervoor om geen definitief verwerkingsverbod op te leggen aan Akwa GGZ op grond van artikel
58, tweede lid, aanhef en onder f, van de AVG maar Akwa GGZ een berisping te geven op grond van artikel
58, tweede lid, aanhef en onder b, van de AVG. Op grond hiervan heeft de AP de bevoegdheid om
verwerkingsverantwoordelijke te berispen wanneer met verwerkingen inbreuk op bepalingen van de AVG
is gemaakt.
12. Akwa GGZ heeft, nadat zij kennis heeft genomen van de conclusies van de AP in het onderzoeksrapport
zoals door de AP met Akwa GGZ gedeeld bij brief van 21 mei 2019, het besluit genomen om de verarmde
4 Kamerstukken II 1997/98, 25892, 3, p. 109.
3/4
Datum Ons kenmerk
19 november 2019
dataset in quarantaine te plaatsen. Dit is aan de AP medegedeeld bij brief van 28 mei 2019, door de AP
ontvangen op 3 juni 2019. Op 29 mei 2019 is een voornemen tot handhaving jegens zowel SBG als Akwa
GGZ uitgebracht naar aanleiding van het onderzoeksrapport. Bij brief van 8 augustus 2019 heeft Akwa
GGZ aan de AP medegedeeld dat de verarmde dataset definitief is vernietigd. Bij brief van 29 augustus
2019 hebben de advocaten van Akwa GGZ een verklaring overgelegd van Info Support B.V. dat de
verarmde database, inclusief back-up bestanden, definitief zijn verwijderd. De overtreding van bepalingen
bij of krachtens de AVG is daarmee definitief beëindigd. Kortom, de gegevensverwerkende activiteiten van
Akwa GGZ die onderwerp waren van onderzoek door de AP, zijn door Akwa GGZ reeds gestaakt.
13. Volgens vaste jurisprudentie van de Afdeling Bestuursrechtspraak van de Raad van State geldt er een
beginselplicht tot handhaving, wat inhoudt dat het bevoegde bestuursorgaan bij overtreding van een
wettelijk voorschrift in beginsel verplicht is om hiertegen op te treden, vanwege het algemeen belang dat
met handhaving is gediend.5 Slechts in twee gevallen kan het bestuursorgaan afzien van handhavend
optreden, namelijk als er een concreet zicht is op legalisatie of als handhavend optreden onevenredig is in
verhouding tot de daarmee te dienen belangen. Een bestuursorgaan kan uit eigen beweging of op verzoek
overgaan tot handhavend optreden.
14. Naar het oordeel van de AP is handhavend optreden niet onevenredig in verhouding tot de daarmee te
dienen belangen, omdat de geconstateerde inbreuk een verwerking betreft van bijzondere
persoonsgegevens van een groot aantal betrokkenen. Bovendien wist Akwa GGZ bij de overname van de
verarmde dataset van SBG, dat deze verwerking van bijzondere persoonsgegevens voorwerp was van
onderzoek door de AP. Omdat de inbreuk is beëindigd, de inbreuk plaatsvond in een relatief korte periode
tussen de overname van de verarmde dataset van begin 2019 tot en met 29 augustus 2019 en Akwa GGZ
zelf de dataset in quarantaine heeft geplaatst en daarna definitief heeft vernietigd, zal de AP in dit geval
gebruik maken van haar bevoegdheid om Akwa GGZ te berispen.
Een kopie van dit besluit zond ik aan de gemachtigde van bezwaarmaakster en tevens aan de advocaten
van SBG.
Hoogachtend,
Autoriteit Persoonsgegevens,
mr. A. Wolfsen
Voorzitter
Rechtsmiddelenclausule
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit ingevolge de Algemene wet bestuursrecht een beroepschrift indienen bij de rechtbank (sector
bestuursrecht) in het arrondissement, waarbinnen uw woonplaats valt. U dient een afschrift van dit besluit
mee te zenden. Het indienen van een beroepschrift schort de werking van dit besluit niet op.
5 Uitspraak van de Afdeling Bestuursrechtspraak Raad van State van 11 januari 2017, ECLI:NL:RVS:2017:31.
4/4