Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl
Vertrouwelijk/Aangetekend
Datum Ons kenmerk Uw brief van
19 november 2019 5 maart 2019
Contactpersoon
070 8888 500
Onderwerp
Beslissing op bezwaar
Geachte heer Wildeboer,
Hierbij ontvangt u het besluit van de Autoriteit Persoonsgegevens (AP) op het bezwaarschrift van 10
januari 2019, met de gronden aangevuld bij brief van 5 maart 2019. Het bezwaar is gericht tegen het besluit
van de AP van 3 december 2018 (kenmerk xxx), waarbij de AP het verzoek van uw cliënt, bezwaarmaakster,
gedateerd op 24 maart 2017 om handhavend op te treden heeft afgewezen. Het besluit van 3 december
2018 wordt hierna als het primaire besluit aangeduid.
In dit besluit op uw bezwaarschrift worden uw bezwaren gedeeltelijk gegrond verklaard. Zowel Stichting
Benchmark GGZ (hierna: SBG) als de Alliantie kwaliteit in de geestelijke gezondheidszorg (hierna: Akwa
GGZ) hebben persoonsgegevens over de gezondheid verwerkt in de zin van artikel 4, onderdeel 1 en 15, van
de Algemene verordening gegevensbescherming (AVG). SBG heeft gegevens die zij ontving onvoldoende
geanonimiseerd waardoor het risico op indirecte herleidbaarheid in onvoldoende mate werd
weggenomen. Begin 2019 heeft SBG gegevens middels een ‘verarmde dataset’ overgedragen aan Akwa
GGZ. SBG en Akwa GGZ kunnen zich voor de verwerking niet beroepen op één van de wettelijke
uitzonderingsgronden zoals opgenomen in artikel 9, tweede lid, van de AVG die het verbod om gegevens
over gezondheid te verwerken zou kunnen opheffen. Dit heeft tot gevolg dat het voor SBG op grond van
artikel 9, eerste lid, AVG verboden was om de dataset met daarin persoonsgegevens over de gezondheid te
verwerken en voor Akwa GGZ om een verarmde dataset van SBG over te nemen. De AP zal enkel een
handhavende maatregel opleggen aan Akwa GGZ in de vorm van een berisping, omdat SBG als
rechtspersoon niet meer bestaat.
Bijlage(n) 3 1
Datum Ons kenmerk
19 november 2019
1. Inleiding
1. Uw cliënt, bezwaarmaakster, heeft op 24 maart 2017 de AP verzocht om handhavend op te treden
jegens SBG. Bezwaarmaakster verzocht de AP op basis van destijds de Wet bescherming
persoonsgegevens (Wbp) en de Wet op de geneeskundige behandelingsovereenkomst (WGBO)
handhavend op te treden jegens het onrechtmatig verzamelen en verwerken van bijzondere
persoonsgegevens door SBG, aangezien deze gegevens worden verwerkt zonder toestemming van de
patiënt. Bezwaarmaakster verzocht tot opschorting van de verwerking van de gegevens door SBG en
vindt dat de AP moet toezien op de directe vernietiging van de gegevens zoals opgeslagen in de
databank van SBG.
2. Nadat bezwaarmaakster de AP op 16 november 2018 in gebreke heeft gesteld, heeft de AP op 3
december 2018 een primair besluit genomen op het handhavingsverzoek. In het primaire besluit
wordt ingegaan op de omstandigheid dat SBG wordt overgedragen aan Akwa GGZ. Gelet op het feit
dat het onderzoek naar SBG nog niet is afgerond, was er voor de AP op dat moment geen mogelijkheid
om handhavend op te treden jegens SBG. Om die reden heeft de AP het handhavingsverzoek van
bezwaarmaakster afgewezen.
3. Tegen de afwijzing van het handhavingsverzoek is op 10 januari 2019 bezwaar gemaakt. Gedurende de
bezwaarprocedure is het onderzoek naar aanleiding van het handhavingsverzoek afgerond. In het
Rapport naar aanleiding van onderzoek gegevensverwerking SBG (hierna: het onderzoeksrapport),
definitief vastgesteld op 26 juli 2019, is geconcludeerd dat SBG persoonsgegevens over de gezondheid
heeft verwerkt in de zin van artikel 4, onderdeel 1 en 15, van de AVG, dan wel – vóórdat de AVG van
toepassing was - in de zin van artikel 2, aanhef en onder a, van de Wbp. SBG heeft gegevens die zij
ontving onvoldoende geanonimiseerd waardoor het risico op indirecte herleidbaarheid in
onvoldoende mate werd weggenomen. SBG kon zich voor de verwerking niet beroepen op één van de
wettelijke uitzonderingsgronden die het verbod om gegevens over gezondheid te verwerken zou
kunnen opheffen. Dit heeft tot gevolg dat het voor SBG op grond van artikel 9, eerste lid, AVG
verboden was om de dataset met daarin persoonsgegevens over de gezondheid te verwerken. De
bevindingen uit het onderzoeksrapport hebben de AP aanleiding gegeven om op 29 mei 2019 een
voornemen tot handhaving uit te brengen, gericht aan zowel SBG als aan Akwa GGZ, inhoudende een
verwerkingsverbod.
4. Dit besluit op bezwaar ziet zowel op de gronden van het bezwaar tegen het besluit van 3 december
2018 als op de zienswijzen van SBG en Akwa GGZ op het voornemen tot handhaving en het
onderzoeksrapport dat ten grondslag ligt aan het voornemen tot handhaving.
2. Verloop van de procedure
5. Op 24 maart 2017 heeft bezwaarmaakster een verzoek tot handhaving ingediend bij de AP.
6. Bij brief van 25 augustus 2017 heeft SBG een reactie gegeven naar aanleiding van het verzoek van de
AP om informatie.
7. Bij brief van 16 november 2018 heeft bezwaarmaakster de AP in gebreke gesteld wegens het niet tijdig
beslissen op het verzoek.
2/19
Datum Ons kenmerk
19 november 2019
8. Bij besluit van 3 december 2018 heeft de AP het verzoek tot handhaving van bezwaarmaakster
afgewezen, omdat het onderzoek naar SBG nog niet was afgerond.
9. Bij brief van 10 januari 2019 heeft bezwaarmaakster pro forma bezwaar gemaakt tegen het primaire
besluit van de AP. De gronden van het bezwaarschrift zijn bij brief van 5 maart 2019 aangevuld.
10. Bij brief van 16 januari 2019 hebben SBG en Akwa GGZ afzonderlijk een reactie gegeven naar aanleiding
van het verzoek van de AP om informatie.
11. Op 21 mei 2019 heeft de AP een voorlopige versie van het onderzoeksrapport vastgesteld.
12. Bij brief van 28 mei 2019, door de AP ontvangen op 3 juni 2019, heeft Akwa GGZ aan de AP
medegedeeld dat de verarmde dataset in quarantaine is geplaatst.
13. Op 29 mei 2019 is een voornemen tot handhaving jegens zowel SBG als Akwa GGZ uitgebracht naar
aanleiding van het onderzoeksrapport.
14. Op 27 juni 2019 en op 28 juni 2019 heeft de AP van SBG en van Akwa GGZ een zienswijze ontvangen
ten aanzien van de inhoud van het onderzoeksrapport.
15. Op 3 juli 2019 heeft de AP een hoorzitting gehouden. Daarbij waren bezwaarmaakster als verzoekster
tot handhaving, uw toenmalige kantoorgenoot mr. H.W. Dekker als advocaat en xxx als deskundige
aanwezig. Namens SBG en Akwa GGZ waren mr. M.C.L. Rooke en mr. O.F.A.W. van Haperen als
advocaten en xxx als directeur van Akwa GGZ aanwezig. Van de hoorzitting is een verslag gemaakt,
dat u bijgaand aantreft als bijlage 1.
16. De zienswijze zoals naar voren gebracht door de advocaten van SBG en Akwa GGZ tijdens de
hoorzitting, heeft de AP aanleiding gegeven het onderzoeksrapport aan te passen. Bij brief van 26 juli
2019 heeft uw toenmalige kantoorgenoot mr. Dekker als advocaat van bezwaarmaakster alsmede de
advocaten van SBG en Akwa GGZ (een afschrift van) het aangepast definitief onderzoeksrapport
ontvangen. Tevens heeft de advocaat van bezwaarmaakster de gelegenheid gekregen om binnen een
termijn van drie weken een inhoudelijke reactie te geven op het onderzoeksrapport en de op de zaak
betrekking hebbende stukken.
17. Bij brief van 8 augustus 2019 heeft Akwa GGZ aan de AP medegedeeld dat de verarmde dataset
definitief is vernietigd.
18. Bij brief van 13 augustus 2019 heeft mr. Dekker namens uw cliënt een inhoudelijke reactie gegeven op
het aangepast definitief onderzoeksrapport en de op de zaak betrekking hebbende stukken.
19. Bij brief van 29 augustus 2019 hebben de advocaten van SBG en Akwa GGZ een inhoudelijke reactie
gegeven op het aangepast definitief onderzoeksrapport en de op de zaak betrekking hebbende stukken.
Tevens hebben zij een verklaring overgelegd van Info Support B.V. dat de verarmde database, inclusief
back-up bestanden, definitief is verwijderd.
3/19
Datum Ons kenmerk
19 november 2019
3. Juridisch kader
20. Het relevante juridisch kader is opgenomen als bijlage 2 bij dit besluit. Het verzoek tot handhaving is
door bezwaarmaakster op 24 maart 2017 ingediend, toen de AVG nog niet in werking was getreden.
De volledige heroverweging van het primaire besluit op grond van artikel 7:11 van de Awb, vindt plaats
aan de hand van de feiten zoals die zich voordoen op het moment van heroverweging (ex nunc
toetsing). Dit betekent dat in verband met het van toepassing zijn van de AVG met ingang van 25 mei
2018, de beoordeling van het bezwaar plaatsvindt op grond van de AVG.
4. Oordeel van de AP
21. Naar het oordeel van de AP hebben zowel SBG als Akwa GGZ persoonsgegevens over de gezondheid
verwerkt in de zin van artikel 4, onderdeel 1 en 15, van de AVG. SBG heeft gegevens die zij ontving
onvoldoende geanonimiseerd waardoor het risico op indirecte herleidbaarheid in onvoldoende mate
werd weggenomen. SBG en Akwa GGZ kunnen zich voor de verwerking niet beroepen op één van de
wettelijke uitzonderingsgronden die het verbod om gegevens over gezondheid te verwerken zou
kunnen opheffen. Dit heeft tot gevolg dat het voor SBG op grond van artikel 9, eerste lid, AVG
verboden was om de dataset met daarin persoonsgegevens over de gezondheid te verwerken en voor
Akwa GGZ om een verarmde dataset van SBG over te nemen. De AP zal alleen een handhavende
maatregel opleggen aan Akwa GGZ in de vorm van een berisping, omdat SBG als rechtspersoon niet
meer bestaat.
5. Het onderzoek
22. Naar aanleiding van het handhavingsverzoek van uw cliënt is de AP een onderzoek gestart naar de
werkwijze van SBG ten aanzien van de verwerking van persoonsgegevens en is deze verwerking
getoetst aan relevante wet- en regelgeving. SBG maakt gegevens uit de zorgsector meetbaar zodat er
in de GGZ gebenchmarkt kan worden met als doel de kwaliteit in de zorg te behouden en te
verbeteren. GGZ-aanbieders laten daartoe patiënten vragenlijsten invullen, waarna deze Routine
Outcome Monitoring (ROM) data aangeleverd worden aan stichting ZorgTTP. De aangeleverde data
bestaan uit 29 verplichte gegevenscategorieën per patiënt. Deze 29 verplichte gegevenscategorieën
worden op locatie bij de GGZ-aanbieder gepseudonomiseerd door vier van de 29 gegevenscategorieën
te ‘hashen’.1 Nadat ZorgTTP op deze vier gegevenscategorieën encryptie heeft toegepast, ontvangt SBG
deze bewerkte data.2 Begin 2019 heeft SBG een ‘verarmde dataset’ overgedragen aan Akwa GGZ. Deze
dataset bestaat uit 19 gegevenscategorieën per patiënt in plaats van de 25 oorspronkelijke
gegevenscategorieën per patiënt die zijn aangeleverd bij SBG.3
1 Hashen is een verhaspeling of mutatie van gegevens waarbij gebruik wordt gemaakt van een wiskundige functie, ook wel hash-
functie genoemd. Een hash-functie heeft de volgende eigenschappen:
- De uitkomst heeft altijd dezelfde grootte onafhankelijk van de invoer.
- Het is niet mogelijk om aan de hand van de uitkomst de invoer te verkrijgen. Een hash-functie werkt dus maar één kant op.
- Dezelfde invoer leidt altijd tot exact dezelfde uitkomst. De kleinste verandering (1-bit) leidt tot een totaal andere uitkomst.
- Hash-functie zijn niet persé geheim en voor iedereen toegankelijk en te gebruiken.
Het is daarom mogelijk om voor voorspelbare of veelvoorkomende invoer, de uitvoer te berekenen. Hiermee is een koppeling te
maken tussen de invoer en de bijbehorende uitvoer. Dit wordt een koppeltabel genoemd. In een koppeltabel kan de uitkomst worden
opgezocht en de daarbij horende invoer.
2 Zie ook pp. 8 tot en met 11 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
3 Zie ook pp. 12 en 13 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
4/19
Datum Ons kenmerk
19 november 2019
23. In het onderzoeksrapport, definitief vastgesteld op 26 juli 2019, is geconcludeerd dat SBG
persoonsgegevens over de gezondheid heeft verwerkt in de zin van artikel 4, onderdeel 1 en 15, van de
AVG, dan wel – vóórdat de AVG van toepassing was - in de zin van artikel 2, aanhef en onder a, van de
Wbp. SBG heeft gegevens die zij ontving onvoldoende geanonimiseerd waardoor het risico op
indirecte herleidbaarheid in onvoldoende mate werd weggenomen. SBG kon zich voor deze
verwerking niet beroepen op één van de wettelijke uitzonderingsgronden zoals genoemd in artikel 9,
tweede lid, van de AVG die het verbod om gegevens over gezondheid te verwerken zouden kunnen
opheffen. Dit heeft tot gevolg dat het voor SBG op grond van artikel 9, eerste lid, van de AVG verboden
was om de dataset met daarin persoonsgegevens over de gezondheid te verwerken. Zowel SBG als
Akwa GGZ zijn te kwalificeren als verwerkingsverantwoordelijke in de zin van artikel 4, onderdeel 7,
van de AVG. De bevindingen uit het onderzoeksrapport hebben de AP aanleiding gegeven om op 29
mei 2019 een voornemen tot handhaving uit te brengen, gericht aan zowel SBG als aan Akwa GGZ,
inhoudende een verwerkingsverbod op grond van artikel 58, tweede lid, aanhef en onder f, van de
AVG.
Standpunt bezwaarmaakster ten aanzien van het onderzoeksrapport en het voornemen tot
handhaving
24. Door middel van een zienswijze tijdens de hoorzitting en door middel van een schriftelijke zienswijze
van 13 augustus 2019 heeft de gemachtigde van bezwaarmaakster het standpunt ten aanzien van het
onderzoeksrapport en het voornemen tot handhaving toegelicht. Bezwaarmaakster stelt voorop dat zij
belanghebbende is en dat het verzoek tot handhaving door de AP daarom ontvankelijk moet worden
verklaard. Bezwaarmaakster onderschrijft de conclusies van de AP uit het definitieve
onderzoeksrapport naar aanleiding van haar handhavingsverzoek. Het handhavend optreden van de
AP moet niet alleen bestaan uit het opleggen van een verwerkingsverbod aan SBG en Akwa GGZ op
grond van artikel 58, tweede lid, aanhef en onder f, van de AVG, maar daarnaast moet de AP
toepassing geven aan artikel 58, tweede lid, aanhef en onder g, van de AVG, zijnde het wissen van de
persoonsgegevens.
Standpunt SBG ten aanzien van het onderzoeksrapport en het voornemen tot handhaving
25. Volgens SBG is het onderzoeksrapport onzorgvuldig tot stand gekomen en kunnen de conclusies die
de AP trekt niet gedragen worden door de inhoud van het onderzoeksrapport. De AP maakt
onvoldoende onderscheid tussen de vier verschillende gegevensverwerkende activiteiten die door
SBG worden uitgevoerd. Bij deze gegevensverwerkende activiteiten is er geen sprake van direct of
indirect tot een persoon herleidbare gegevens. De AP past in het onderzoeksrapport het Breyer-arrest
van het Hof van Justitie EU (HvJ EU)4 onjuist toe, omdat herleidbaarheid van de gegevens tot een
persoon voor SBG niet of enkel mogelijk is met disproportionele aanwending van geld, mankracht of
middelen. SBG kan ook niet gekwalificeerd worden als een zelfstandige verwerkingsverantwoordelijke
in de zin van artikel 4, onderdeel 7, van de AVG, omdat SBG de kaders waarbinnen zij opereert niet zelf
heeft vastgesteld. SBG kwalificeert wel als verwerker die ten behoeve van zorgaanbieders de
aangeleverde data verwerkt ten behoeve van benchmark rapportages.
26. In de volgens SBG hypothetische situatie dat er toch sprake is van persoonsgegevens, heeft SBG
vervolgens in de zienswijze uiteengezet op welke grondslagen een zorgaanbieder als
4 Uitspraak HvJ EU van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, C-582/14, ECLI:EU:C:2016:779.
5/19
Datum Ons kenmerk
19 november 2019
verwerkingsverantwoordelijke en SBG als verwerker zich kunnen beroepen. Voor
gegevensverwerkende activiteit 1, namelijk het doorleveren door SBG van de wettelijk verplichte
prestatie-indicatoren (“meetinstrumenten”) in opdracht van de aangesloten zorgaanbieders aan
Zorginstituut Nederland, kan de zorgaanbieder zich beroepen op artikel 6, eerste lid, sub c AVG
(wettelijke verplichting) jo. artikel 9, tweede lid, onderdeel i AVG (redenen van algemeen belang op
het gebied van de volksgezondheid). De gegevensverwerkende activiteit 2 bestaat uit twee niveaus.
Het eerste niveau is het verwerken van ROM-informatie door SBG om te benchmarken op intra-
instelling niveau, waarbij de zorgaanbieder zich kan beroepen op artikel 6, eerste lid, sub b (uitvoering
van overeenkomst) en c AVG jo. artikel 9, tweede lid, onderdeel h in samenhang met artikel 30, derde
lid, aanhef en onder sub a UAVG (verwerking bij het verstrekken van gezondheidszorg of sociale
diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten). Bij het
tweede niveau, het extra-instelling benchmarken met ROM-informatie kan de zorgaanbieder zich
baseren op artikel 6, eerste lid, sub c AVG en potentieel sub b jo. artikel 9, tweede lid, onderdeel h in
samenhang met artikel 30, derde lid, aanhef en sub a UAVG. De derde gegevensverwerkende activiteit
bestaat uit het aanbieden van de digitale kluis ten behoeve van wetenschappelijk onderzoek. Daarbij
kan de zorgaanbieder zich beroepen op artikel 6, eerste lid, sub b AVG jo. artikel 9, tweede lid,
onderdeel h AVG. Gegevensverwerkende activiteit 4 vormt het bijhouden van de Argus-registratie,
waarbij de zorgaanbieder zich volgens SBG kan beroepen op artikel 6, eerste lid, sub c AVG jo. artikel
9, tweede lid, onderdeel i AVG (de verwerking is noodzakelijk om redenen van algemeen belang op het
gebied van de volksgezondheid). SBG is van mening dat bezwaarmaakster niet-ontvankelijk verklaard
had moeten worden in haar verzoek tot handhaving, omdat SBG geen persoonsgegevens verwerkt.
27. Ten aanzien van het voornemen tot handhaving is SBG van mening dat dit gebaseerd is op een
onvolledig en onzorgvuldig onderzoeksrapport en dat SBG geen persoonsgegevens verwerkt. Deze vier
gegevensverwerkende activiteiten vinden plaats in overeenstemming met de (U)AVG, waarbij SBG
een verwerker is. Niet SBG, maar een (een afvaardiging van) patiënten uit de GGZ, zorgaanbieders en
zorgverzekeraars gezamenlijk bepalen het soort data, de wijze van aanvoer en het doel en de middelen
van de gegevensverwerkende activiteiten. Slechts ten aanzien van één gegevensverwerkende activiteit
kan SBG mogelijk als gezamenlijk verwerkingsverantwoordelijke beschouwd worden. Dit betreft het
verwerken van ROM-informatie door SBG op intra- of extra instelling niveau. Voor deze
gegevensverwerkende activiteit moet het verwerkingsverbod aan de zorgaanbieder opgelegd worden.
De AP zou voorts moeten afzien van handhavend optreden omdat het onevenredig is in verhouding tot
de daarmee te dienen belangen, nu SBG niet meer beschikt over de gegevens en omdat SBG reeds
ontbonden is. Er is sprake van een definitief verwerkingsverbod voor reeds gestaakte
gegevensverwerkende activiteiten die door SBG niet meer hervat kunnen worden. Het was beter
geweest als de AP een berisping had opgelegd of een last onder dwangsom, op grond van art. 58,
tweede lid, sub b, van de AVG.
Standpunt Akwa GGZ ten aanzien van het onderzoeksrapport en het voornemen tot handhaving
28. Nu Akwa GGZ inmiddels de van SBG verkregen verarmde dataset heeft vernietigd en, voor zover het
Akwa GGZ betreft, het onderzoek uitsluitend betrekking heeft op de van SBG overgenomen verarmde
dataset, is er volgens Akwa GGZ geen relevantie meer om inhoudelijk in te gaan op het
onderzoeksrapport. Ten aanzien van het voornemen tot handhaving, inhoudende een
verwerkingsverbod, is Akwa GGZ van mening dat dit verbod onvoldoende duidelijk en specifiek is.
Het voorgenomen verwerkingsverbod kan alleen betrekking hebben op de verarmde dataset, maar
6/19
Datum Ons kenmerk
19 november 2019
Akwa GGZ heeft de verarmde dataset inclusief back-up bestanden definitief vernietigd. Hierdoor is
handhavend optreden zodanig onevenredig in verhouding tot de daarmee te dienen belangen, dat van
een optreden in deze concrete situatie behoort te worden afgezien.
Oordeel van de AP per onderdeel
29. In het hiernavolgende zal de AP ingaan op de verschillende relevante onderdelen met betrekking tot
de bezwaarprocedure.
Gegevens over gezondheid
30. Een belangrijk punt van geschil in deze bezwaarprocedure is de vraag of de data die SBG (via ZorgTTP)
van zorgaanbieders heeft ontvangen een verwerking is van persoonsgegevens over de gezondheid in
de zin van artikel 4, onderdeel 1 en 15, van de AVG. Verzoekster tot handhaving enerzijds en SBG en
Akwa GGZ anderzijds zijn het er over eens dat de gegevens niet kunnen leiden tot directe identificatie
van een persoon. Verzoekster tot handhaving onderschrijft de conclusies van het onderzoeksrapport
van de AP, namelijk dat de door SBG en Akwa GGZ verwerkte data onvoldoende geanonimiseerd zijn
waardoor het indirect herleidbare persoonsgegevens over de gezondheid betreffen. SBG voert aan dat
bij de gegevensverwerkende activiteiten er geen sprake is van indirect tot een natuurlijke persoon
herleidbare gegevens over de gezondheid. Volgens SBG past de AP in het onderzoeksrapport het arrest
Breyer van het HvJ EU onjuist toe, omdat de herleidbaarheid van de gegevens tot een persoon voor
SBG niet of enkel mogelijk is met disproportionele aanwending van geld, mankracht of middelen.
31. Artikel 4, onderdeel 1, van de AVG definieert ‘persoonsgegevens’ als ‘alle informatie over een
geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt
beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan
de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online
identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische,
genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon’.
Artikel 4, onderdeel 15, van de AVG definieert ‘gegevens over gezondheid’ als ‘persoonsgegevens die
verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder
gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand
wordt gegeven’.
32. In het arrest Breyer heeft het HvJ EU geëxpliciteerd dat voor de vraag of een gegeven als
‘persoonsgegeven’ kan worden gekwalificeerd, niet vereist is dat alle informatie aan de hand waarvan
de betrokkene kan worden geïdentificeerd, bij een en dezelfde persoon berust.5 Een gegeven kan
echter niet als persoonsgegeven worden gekwalificeerd, indien de identificatie van de betrokkene bij
de wet verboden wordt of in de praktijk ondoenlijk is, bijvoorbeeld omdat zij –gelet op de vereiste tijd,
kosten en mankracht- een excessieve inspanning vergt, zodat het gevaar voor identificatie in
werkelijkheid onbeduidend lijkt.6
33. In het onderzoeksrapport zijn alle stappen geanalyseerd van het gegevens-aanleverproces van de
patiënt tot en met de verwerking van de betreffende gegevens door SBG en de in dat verband
5 Uitspraak HvJ EU van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, C-582/14, ECLI:EU:C:2016:779, punt 43.
6 Uitspraak HvJ EU van 19 oktober 2016, Patrick Breyer t. Bundesrepublik Deutschland, C-582/14, ECLI:EU:C:2016:779, punt 46.
7/19
Datum Ons kenmerk
19 november 2019
betrokken partijen. Uit het onderzoeksrapport blijkt dat de zorgaanbieders verplicht zijn 29
gegevenscategorieën aan te leveren, zoals geslacht, geboortejaar, naam van de zorgaanbieder en de
start en einddatum van het zorgtraject. De dataset van SBG bestaat bij ontvangst per record
(gerelateerd aan één betrokkene / patiënt) uit vier gehashte attributen en 25 gepseudonimiseerde
attributen.
34. Uit het onderzoeksrapport van de AP blijkt dat SBG geen gebruik maakt van enige vorm van
randomisatietechnieken, op het moment dat SBG de dataset ontvangt. Dit houdt in dat er geen
techniek wordt toegepast waardoor de gegevens voldoende at random zijn, dus willekeurig of
onbepaald, waardoor het niet langer mogelijk is om ze te herleiden tot een specifieke persoon.7 Wel
past SBG generalisatie toe op bepaalde gegevenscategorieën uit de dataset, waardoor wordt
voorkomen dat een betrokkene wordt geïndividualiseerd door de betrokkene samen te voegen met
een aantal andere personen. Zo wordt de geboortedatum niet opgeslagen in de dataset, maar wel het
geboortejaar. Echter, er zijn 25 gegevenscategorieën, waardoor er nog steeds individualisatie mogelijk
is, aan de hand van gegevens als de locatie van de zorgaanbieder, het geslacht, de start- en einddatum
van de behandeling, etc.8
35. Ten aanzien van vier gegevenscategorieën, namelijk het BSN, koppelnummer, DBCtrajectnummer en
Zorgtrajectnummer past SBG een pseudonimiseringsmethode toe die een combinatie is van een
hashfunctie en encryptie. Weliswaar beschikt alleen ZorgTTP over een sleutel, maar deze sleutel blijft
gelijk, waardoor de uitkomsten van dit pseudonimiseringsproces per uniek BSN, koppelnummer,
DBCtrajectnummer en Zorgtrajectnummer altijd hetzelfde zijn. Met andere woorden een uniek BSN,
koppelnummer, DBCtrajectnummer en Zorgtrajectnummer, zal na het pseudonimiseringproces bij
ZorgTTP, altijd leiden tot dezelfde gepseudonimiseerde waarden. Hierdoor is het voor SBG mogelijk
om nieuwe gegevens aan hetzelfde gepseudonimiseerde BSN, koppelnummer, DBCtrajectnummer en
Zorgtrajectnummer te kunnen blijven koppelen.9 De aan Akwa GGZ overgedragen gegevens bevatten
19 attributen, waaronder drie gepseudonimiseerde attributen.
36. De AP stelt vast aan de hand van het onderzoeksrapport dat SBG op de gepseudonimiseerde dataset
onvoldoende technische waarborgen heeft genomen om de risico’s op herleidbaarheid in voldoende
mate weg te kunnen nemen, waardoor het niet gekwalificeerd kan worden als een anonieme dataset.10
Gelet op de gedetailleerde aard en de hoeveelheid gegevens die door SBG of Akwa GGZ over één
patiënt wordt verwerkt, (het risico op) indirecte herleiding bij meerdere partijen en aan de hand van
publieke bronnen niet is te voorkomen en er dus niet gesproken kan worden over een anonieme
dataset.11 Het enkele feit dat vier gegevenscategorieën zowel de hashfunctie als encryptie wordt
toegepast en dat daarvan de geheime sleutel bekend is bij een trusted third party, namelijk ZorgTTP,
die deze niet deelt met SBG, Akwa GGZ of enige andere partij, maakt niet dat de herleidbaarheid
daarmee bij wet verboden is of in de praktijk ondoenlijk is.
7 Zie ook pp. 17 en 18 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
8 Zie ook p. 18 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
9 Zie ook p. 19 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
10 Zie ook p. 19 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
11 Zie ook p. 18 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
8/19
Datum Ons kenmerk
19 november 2019
37. Datgene wat SBG of Akwa GGZ in de bezwaarprocedure hebben aangevoerd, heeft de AP in bezwaar
geen aanleiding gegeven tot heroverweging van het onderzoeksrapport en de daarin getrokken
conclusies. SBG voert aan dat de relevante vraag is of een ‘gemotiveerde indringer’, gelet op diens
kennis en voorhanden zijnde middelen zoals tijd, geld en mankracht, redelijkerwijs in staat is om
natuurlijke personen uit de dataset van SBG te identificeren. Nog afgezien van het feit dat de
‘gemotiveerde indringer’-test afkomstig is van de Britse toezichthouder op de bescherming van
persoonsgegevens en als zodanig geen rechtskracht in Nederland heeft, acht de AP het aannemelijk
dat een gemotiveerde indringer die toegang heeft tot de database van SBG kan overgaan tot indirecte
identificatie, aan de hand van data afkomstig van verschillende zorgaanbieders. Zowel de Minister van
Volksgezondheid, Welzijn en Sport als de auditrapporten van externe organisaties zijn van oordeel dat
de dataset van SBG geen persoonsgegevens bevat. Dat anderen van mening zijn dat hier geen sprake is
van de verwerking van persoonsgegevens is niet relevant omdat het uiteindelijk aan de AP is, de
onafhankelijke toezichthouder op dit gebied, die zelfstandig beoordeelt of sprake is van
persoonsgegevens. Tot slot verwijst SBG naar een brief van het College Bescherming
Persoonsgegevens (CBP) uit 2009. Eén van de voorwaarden voor afdoende anonimisering is dat de
verwerkte gegevens niet indirect identificerend mogen zijn. Naar het oordeel van de AP, zoals
uiteengezet in het onderzoeksrapport en in dit besluit op bezwaar, is daarvan in het geval van SBG en
Akwa GGZ geen sprake.
38. De AP stelt daarmee vast dat de dataset van SBG en de verarmde dataset van Akwa GGZ
persoonsgegevens zijn in de zin van artikel 4, onderdeel 1, van de AVG. Nu de dataset die SBG (via
ZorgTTP) verwerkt en de verarmde dataset die Akwa GGZ beheert ook de naam van de zorgaanbieder,
de start en einddatum van een zorgtraject alsmede de Primaire diagnosecode omvatten, bevat de
dataset van SBG ook gegevens over de gezondheid in de zin van artikel 4, onderdeel 15, van de AVG.
Verwerkingsverantwoordelijke
39. Vervolgens voert SBG in de zienswijze aan dat zij niet gekwalificeerd kan worden als
verwerkingsverantwoordelijke in de zin van artikel 4, onderdeel 7, van de AVG, maar dat SBG
beschouwd moet worden als een verwerker in de zin van artikel 4, onderdeel 8, van de AVG. Niet SBG,
maar (een afvaardiging van) patiënten uit de GGZ, zorgaanbieders en zorgverzekeraars gezamenlijk
bepaalden het soort data, de wijze van aanvoer en het doel en de middelen van de
gegevensverwerkende activiteiten. Verzoekster tot handhaving onderschrijft de conclusies van het
onderzoeksrapport van de AP, namelijk dat SBG gekwalificeerd moeten worden als
verwerkingsverantwoordelijke in de zin van artikel 4, onderdeel 7, van de AVG.
40. In artikel 4, onderdeel 7, van de AVG wordt de verwerkingsverantwoordelijke gekwalificeerd als de
rechtspersoon die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van
persoonsgegevens vaststelt. Op grond van artikel 4, onderdeel 8, van de AVG wordt de verwerker
gekwalificeerd als de rechtspersoon die ten behoeve van de verwerkingsverantwoordelijke
persoonsgegevens verwerkt.
41. Uit het onderzoeksrapport en de door SBG overgelegde informatie blijkt dat SBG verschillende
voorwaarden en protocollen heeft opgesteld. Zo moeten zorgaanbieders hun data aan SBG aanleveren
overeenkomstig de wijze zoals voorgeschreven door SBG in een dataprotocol. In het dataprotocol zijn
de aard en specificaties van de ruwe data, het niveau waarop de ruwe data betrekking heeft, de wijze en
9/19
Datum Ons kenmerk
19 november 2019
het tijdstip van aanlevering en de minimale vereiste data bepaald. In een door SBG opgesteld
kwaliteitsdocument is vastgelegd aan welke kwaliteitseisen de zorgaanbieder moet voldoen. Er
worden bijvoorbeeld audits uitgevoerd op de kwaliteit van de informatiebeveiliging, privacy en de
dienstverlening. Ook is de directie van SBG eindverantwoordelijke voor het informatiebeveiligings-
beleid die van toepassing is op de interne omgeving van SBG maar ook op de uitwisseling van
gegevens met organisaties en personen.12
42. Alhoewel uit bovenstaande blijkt dat zorgaanbieders verantwoordelijk zijn voor de juiste aanlevering
van de data, stelt de AP vast dat SBG zelf in het dataprotocol voorschrijft welke soort data op welke
wijze aangeleverd moeten worden door de zorgaanbieders. Ook blijkt uit het kwaliteitsdocument dat
SBG audits uitvoert en dat de directie van SBG eindverantwoordelijke is voor het
informatiebeveiligingsbeleid. De AP stelt daarmee vast dat SBG verantwoordelijk is voor de
verstrekking, het beheer inclusief de kwaliteits- en beveiligingsaspecten en de correcte analyse van de
informatie die SBG krijgt aangeleverd van zorgaanbieders en zorgverzekeraars. Dat SBG in haar
interne governance checks and balances heeft ingebouwd waardoor partijen uit het veld, zoals GGZ-
patiënten, zorgaanbieders en zorgverzekeraars invloed kunnen uitoefenen op het gevoerde beleid,
maakt dit niet anders omdat SBG als rechtspersoon eindverantwoordelijk is voor het gevoerde beleid
met betrekking tot de dataset die het in beheer heeft en het doel en de middelen voor de verwerking
van de persoonsgegevens vaststelt.
43. Akwa GGZ heeft een zogeheten verarmde dataset overgenomen van SBG, die per betrokkene 19
attributen bevat in plaats van de 25 attributen zoals door SBG verwerkt per betrokkene. Reeds uit het
feit dat Akwa GGZ aan de AP bij brief van 28 mei 2019 heeft medegedeeld dat de verarmde dataset in
quarantaine is geplaatst en bij brief van 8 augustus 2019 dat de verarmde dataset definitief is
vernietigd, blijkt dat Akwa GGZ eindverantwoordelijk is voor het gevoerde beleid met betrekking tot
de verarmde dataset die het in beheer heeft en daarmee het doel en de middelen voor de verwerking
van de persoonsgegevens vaststelt.
44. Op grond hiervan kwalificeert de AP zowel SBG als Akwa GGZ als een verwerkingsverantwoordelijke
in de zin van artikel 4, onderdeel 7, van de AVG omdat SBG en Akwa GGZ als rechtspersoon, alleen of
samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
Toepasselijkheid van uitzonderingsgronden op het verwerkingsverbod van bijzondere persoonsgegevens
45. SBG en Akwa GGZ betwisten dat zij persoonsgegevens over de gezondheid verwerken en bij deze
verwerking zijn aan te merken als verwerkingsverantwoordelijke in de zin van artikel 4, onderdeel 7,
van de AVG. De verwerkingsverantwoordelijke is volgens SBG en Akwa GGZ de zorgaanbieder. In de
zienswijze heeft SBG naar voren gebracht dat, in het geval er toch sprake is van de verwerking van
persoonsgegevens over de gezondheid, de zorgaanbieder zich kan beroepen op artikel 9, tweede lid,
onderdeel h, van de AVG in samenhang met artikel 30, derde lid, aanhef en onder sub a, van de UAVG
met betrekking tot de ROM-informatie om te benchmarken op intra-instelling niveau. Voorts kan de
zorgaanbieder voor het extra-instelling benchmarken met ROM-informatie zich eveneens baseren op
artikel 9, tweede lid, onderdeel h, van de AVG in samenhang met artikel 30, derde lid, aanhef en onder
sub a, van de UAVG.
12 Zie ook pp. 20 en 21 van de definitieve versie van het Rapport naar aanleiding van onderzoek gegevensverwerking SBG.
10/19
Datum Ons kenmerk
19 november 2019
46. De AP heeft in randnummer 38 vastgesteld dat de dataset van SBG en de verarmde dataset van Akwa
GGZ persoonsgegevens over de gezondheid bevat in de zin van artikel 4, onderdeel 1 en 15, van de
AVG. Op grond van artikel 9, eerste lid, van de AVG is het in beginsel verboden om bijzondere
categorieën van persoonsgegevens, waaronder gegevens over gezondheid, te verwerken. Dit verbod is
niet van toepassing indien SBG of Akwa GGZ zich kunnen beroepen op een wettelijke
uitzonderingsgrond uit artikel 9, tweede lid, van de AVG jo. de artikelen 22 tot en met 30 van de
UAVG. De in artikel 9, tweede lid, onderdeel h van de AVG gegeven mogelijkheid wordt beperkt door
artikel 9, derde lid, van de AVG.13
47. De Nederlandse wetgever heeft invulling gegeven aan de bij artikel 9, tweede lid, onderdeel h van de
AVG jo. artikel 9, derde lid, van de AVG geboden mogelijkheid door middel van artikel 30, derde lid,
van de UAVG. SBG beroept zich daarbij in het bijzonder op artikel 30, derde lid, sub a van de UAVG.
Deze bepaling richt zich tot hulpverleners, instellingen of voorzieningen voor gezondheidszorg of
maatschappelijke dienstverlening. In de Memorie van Toelichting bij de UAVG wordt toegelicht: ‘Dit
betekent dat gegevens omtrent gezondheid niet alleen mogen worden verwerkt door ziekenhuizen en
andere medische instellingen, maar ook door instanties op het terrein van de maatschappelijke
dienstverlening voor zover een goede behandeling van de betrokkene dit noodzakelijk maakt of
wanneer het voor het beheer van de desbetreffende instelling of voorziening noodzakelijk is. Te
denken valt aan verzorgingshuizen en instanties voor jeugdzorg. Voorts staat deze bepaling toe dat
individuele hulpverleners die niet bij voornoemde instellingen werkzaam zijn, maar bijvoorbeeld een
zelfstandige praktijk uitoefenen, gezondheidsgegevens verwerken.’14
48. Uit de wettekst en de parlementaire geschiedenis blijkt volgens de AP niet dat SBG een beroep
toekomt op artikel 30, derde lid, sub a van de UAVG. SBG en –voor zover relevant- Akwa GGZ vallen
namelijk niet onder de genoemde normadressaten van artikel 30, derde lid, sub a van de UAVG. SBG
of Akwa GGZ is een stichting (geweest) die GGZ-instellingen onafhankelijk en betrouwbaar willen
benchmarken op het gebied van behandeleffect en klanttevredenheid. Daarmee zijn het geen
instellingen voor gezondheidszorg of maatschappelijke dienstverlening. De verwerking door SBG en
Akwa GGZ is ook niet noodzakelijk voor een goede behandeling van betrokkenen of voor het beheer
van de desbetreffende instelling of voorziening. SBG of Akwa GGZ kunnen zich daardoor niet
beroepen op artikel 9, tweede lid, onderdeel h van de AVG jo. artikel 30, derde lid, sub a van de UAVG.
SBG en Akwa GGZ kunnen zich ook niet beroepen op één van de andere algemene
uitzonderingsgronden in de zin van artikel 9, tweede lid, van de AVG.
49. Op grond van bovenstaande stelt de AP vast dat zowel SBG als Akwa GGZ geen beroep kunnen doen
op één van de algemene uitzonderingsgronden zoals opgenomen in artikel 9, tweede lid, van de AVG.
Hierdoor hebben zowel SBG als Akwa GGZ het algemene verwerkingsverbod op bijzondere
categorieën van persoonsgegevens, zoals opgenomen in artikel 9, eerste lid, van de AVG, overtreden.
Verwerkingsgrondslag
50. Nu SBG en Akwa GGZ zich niet kunnen beroepen op één van de algemene uitzonderingen zoals
opgenomen in artikel 9, tweede lid, van de AVG op het verwerkingsverbod van bijzondere categorieën
13 Zie ook: Memorie van Toelichting Uitvoeringswet UAVG, Kamerstukken II 2017/18, 34 851, nr. 3, p. 42.
14 Memorie van Toelichting Uitvoeringswet UAVG, Kamerstukken II 2017/18, 34 851, nr. 3, p. 112.
11/19
Datum Ons kenmerk
19 november 2019
van persoonsgegevens op grond van artikel 9, eerste lid, van de AVG, komt de AP ook niet toe aan een
beoordeling van de grondslag voor de verwerking van persoonsgegevens zoals genoemd in artikel 6,
eerste lid, van de AVG.
Sanctie
51. Uit de brief van 12 juli 2019 van de advocaten van SBG aan de AP blijkt dat op 1 april 2019 een
ontbindingsbesluit is genomen met betrekking tot SBG. Naar het oordeel van de AP is het opleggen
van een sanctie aan SBG overbodig, nu SBG ontbonden is en niet meer beschikt over de
persoonsgegevens. Naar het oordeel van de AP komt het onder zich hebben van een verarmde dataset,
overgenomen van SBG door Akwa GGZ, in aanmerking voor een berisping op grond van artikel 58,
tweede lid, aanhef en onder b, van de AVG. Voor een onderbouwing van deze beslissing verwijst de AP
u naar bijlage 3, waarin de berisping is opgenomen.
6. Gronden van het bezwaar
52. In het hiernavolgende zal de AP ingaan op de gronden van bezwaar, zoals ingediend bij de AP bij brief
van 5 maart 2019. Het bezwaarschrift bestaat uit de volgende gronden:
1. De onredelijk lange beslistermijn is in strijd met artikel 4:14, derde lid, van de Algemene wet
bestuursrecht (Awb). In deze bepaling is de redelijke termijn bepaald op acht weken. Het doen van
onderzoek schort de beslistermijn niet op.
2. De onzorgvuldige besluitvorming door de AP is in strijd met artikel 3:2 van de Awb. Het primaire
besluit geeft er op geen enkele manier blijk van wat de bevindingen van de AP zijn geweest. De AP
had de informatie van SBG moeten delen met bezwaarmaakster als verzoekster tot handhaving.
3. Het besluit is ondeugdelijk gemotiveerd en daarmee in strijd met artikel 3:46 van de Awb. Uit het
besluit wordt niet duidelijk waarom de AP afziet van enige vorm van handhaving.
4. De AP heeft nagelaten om bij dit verzoek tot handhaving toepassing te geven aan de beginselplicht
tot handhaving.
7. Beoordeling van het bezwaar
De onredelijk lange beslistermijn is in strijd met artikel 4:14, derde lid, van de Awb
53. U voert aan dat de onredelijk lange beslistermijn op het verzoek om handhaving van uw cliënt in strijd
is met artikel 4:14, derde lid, van de Awb. Volgens u schort het doen van onderzoek de beslistermijn
niet op.
54. Een verzoek om handhaving is een aanvraag om een besluit te nemen. Op grond van artikel 4:13,
eerste lid, van de Awb dient een beschikking te worden gegeven binnen de bij wettelijk voorschrift
bepaalde termijn of, bij het ontbreken van zulk een termijn, een redelijke termijn na ontvangst van de
aanvraag. Op grond van artikel 4:13, tweede lid, van de Awb is de redelijke termijn waarbinnen een
beschikking dient te worden gegeven bepaald op acht weken, tenzij een mededeling als bedoeld in
artikel 4:14, derde lid, van de Awb is gedaan. In artikel 4:14, derde lid, van de Awb is bepaald dat het
bestuursorgaan, indien de beschikking niet binnen een termijn van acht weken kan worden gegeven,
dit moet mededelen aan de aanvrager en daarbij een redelijke termijn moet noemen binnen welke de
beschikking wel tegemoet kan worden gezien.
12/19
Datum Ons kenmerk
19 november 2019
55. Het verzoek om handhaving is door uw cliënt op 24 maart 2017 bij de AP ingediend. Bij brief van 1 mei
2017 heeft de AP uw cliënt gevraagd om een nadere onderbouwing. Bij brief van 30 mei 2017 heeft de
AP medegedeeld dat een onderzoek bij SBG wordt ingesteld, maar dat dit onderzoek enige tijd zou
duren en uw cliënt zou worden geïnformeerd over de uitkomsten ervan. Een ingebrekestelling van de
AP, ingediend bij brief van 18 april 2018, is door uw cliënt naderhand ingetrokken. Vervolgens heeft
uw cliënt, bij brief van 16 november 2018, de AP opnieuw in gebreke gesteld. De AP stelt vast dat de
beslistermijn op het verzoek tot handhaving onredelijk lang is geweest.
De onzorgvuldige besluitvorming door de AP is in strijd met artikel 3:2 van de Awb
56. U voert aan dat de onzorgvuldige besluitvorming door de AP in strijd is met artikel 3:2 van de Awb. In
het primaire besluit is te mager gemotiveerd waarom de AP afziet van enige vorm van handhaving.
Het besluit geeft ook op geen enkele manier blijk van wat de onderzoeksbevindingen van de AP zijn
geweest. Tot slot voert u namens uw cliënt aan dat de AP de van SBG verkregen informatie reeds
tijdens het onderzoek had moeten delen met bezwaarmaakster als verzoekster tot handhaving.
57. Artikel 3:2 van de Awb bevat een gedeeltelijke codificatie van het zorgvuldigheidsbeginsel en draagt
het bestuursorgaan op bij de voorbereiding van het besluit de nodige kennis te vergaren omtrent de
relevante feiten en de af te wegen belangen. Bij een verzoek om handhaving rust op het
bestuursorgaan een onderzoeksplicht.15 Bij brief van 1 mei 2017 heeft de AP uw cliënt als verzoekster
tot handhaving om nadere informatie gevraagd. Naar aanleiding van door de AP gedane verzoeken om
informatie, heeft SBG informatie gegeven bij brief van 25 augustus 2017 en bij brief van 16 januari
2019. Ook Akwa GGZ heeft, bij brief van 16 januari 2019, gereageerd op een verzoek om informatie
door de AP.
58. De AP is van oordeel dat zij, door middel van informatieverzoeken aan zowel uw cliënt als aan SBG en
Akwa GGZ, invulling heeft gegeven aan de op het bestuursorgaan rustende onderzoeksplicht bij een
verzoek tot handhaving. Naar het oordeel van de AP volgt uit artikel 3:2 van de Awb niet dat de
verzoekster tot handhaving, reeds gedurende de fase dat de AP als bestuursorgaan onderzoek uitvoert
naar mogelijke overtredingen van de AVG door SBG of Akwa GGZ, de opgevraagde informatie in het
kader van dat onderzoek deelt met uw cliënt als verzoekster tot handhaving zodat zij in de gelegenheid
wordt gesteld om daarop te reageren. De mogelijkheid om te reageren op opgevraagde informatie doet
zich naar het oordeel van de AP voor indien een besluit wordt genomen en het onderzoeksrapport dat
ten grondslag ligt aan het besluit kan worden verstrekt aan partijen, hetgeen in het vervolg van de
procedure ook is gebeurd. Omdat artikel 3:2 van de Awb ziet op de voorbereiding van het besluit door
het bestuursorgaan, zal de AP uw bezwaargrond voor zover deze ziet op de inhoud van het besluit, in de
navolgende randnummers beoordelen.
De ondeugdelijke motivering van het besluit is in strijd met artikel 3:46 van de Awb
59. U voert aan dat het primaire besluit ondeugdelijk is gemotiveerd en daarmee in strijd is met artikel
3:46 van de Awb. In het bezwaarschrift wordt aangevoerd dat uit het besluit niet duidelijk wordt wat
de onderzoeksbevindingen van de AP zijn geweest en waarom de AP afziet van enige vorm van
handhaving.
15 Uitspraak van de Afdeling Bestuursrechtspraak Raad van State, 17 september 2008, ECLI:NL:RVS:2008:BF1006.
13/19
Datum Ons kenmerk
19 november 2019
60. Op grond van artikel 3:46 van de Awb dient een besluit te berusten op een deugdelijke motivering. De
deugdelijke motivering ziet enerzijds op het aspect van de juiste vaststelling van de feiten, anderzijds
dient de genomen beslissing te kunnen steunen op de vastgestelde feiten. In het primaire besluit heeft
de AP toegelicht dat de activa en passiva van SBG worden overgedragen aan Akwa GGZ en dat daarbij
de database van SBG wordt teruggebracht tot een set statistische gegevens die bij Akwa GGZ wordt
ingebracht. Tevens heeft de AP naar voren gebracht dat deze nieuwe feiten en omstandigheden de AP
noodzaken om nader onderzoek te doen, juist ook om recht te doen aan het zorgvuldigheidsbeginsel,
zoals opgenomen in artikel 3:2 van de Awb. Omdat het onderzoek ten tijde van het primaire besluit
nog niet was afgerond en dus ook nog geen overtreding van de AVG kon worden vastgesteld, was er
voor de AP op dat moment geen mogelijkheid om handhavend op te treden tegen SBG. Daarom werd
het handhavingsonderzoek afgewezen onder gelijktijdige aankondiging dat het onderzoek naar de
rechtmatigheid van de gegevensverwerkingen van SBG werd voortgezet. Naar het oordeel van de AP
voldoet het primaire besluit daarmee aan het motiveringsvereiste zoals opgenomen in artikel 3:46 van
de Awb.
De AP heeft nagelaten om bij dit verzoek tot handhaving toepassing te geven aan de beginselplicht tot handhaving
61. U voert aan dat de AP heeft nagelaten om bij het verzoek tot handhaving van uw cliënt toepassing te
geven aan de beginselplicht tot handhaving. Volgens u heeft de AP ten onrechte nagelaten om
handhavend op te treden en dit in het primaire besluit niet nader toegelicht.
62. Volgens vaste jurisprudentie van de Afdeling Bestuursrechtspraak van de Raad van State geldt er een
beginselplicht tot handhaving, wat inhoudt dat het bevoegde bestuursorgaan in geval van vaststelling
van een overtreding van een wettelijk voorschrift in beginsel verplicht is om hiertegen op te treden,
vanwege het algemeen belang dat met handhaving is gediend.16 Slechts in twee gevallen kan het
bestuursorgaan afzien van handhavend optreden, namelijk als er een concreet zicht is op legalisatie of
als handhavend optreden onevenredig is in verhouding tot de daarmee te dienen belangen. Een
bestuursorgaan kan uit eigen beweging of op verzoek overgaan tot handhavend optreden.
63. Ten tijde van het primaire besluit was handhaving niet mogelijk, omdat het onderzoek nog niet was
afgerond en er geen overtreding van de AVG kon worden vastgesteld. Op 21 mei 2019 heeft de AP een
onderzoeksrapport vastgesteld waarvan de conclusie is dat zowel SBG als Akwa GGZ
persoonsgegevens over de gezondheid hebben verwerkt in de zin van artikel 4, onderdeel 1 en 15, AVG,
in strijd met het verbod om dergelijke gegevens te verwerken als bedoeld in artikel 9, eerste lid, van de
AVG. Dit onderzoeksrapport is aangepast en definitief vastgesteld op 26 juli 2019. Op 29 mei 2019 is
een voornemen tot handhaving uitgebracht jegens zowel SBG als Akwa GGZ naar aanleiding van de
bevindingen uit het onderzoeksrapport. De AP stelt vast dat zij bij uw verzoek tot handhaving niet
heeft nagelaten om toepassing te geven aan de beginselplicht tot handhaving, nu zij aan de hand van
het handhavingsverzoek en kort na het vaststellen van het onderzoeksrapport een voornemen tot
handhaving heeft doen uitgedaan, hetgeen nu resulteert in een berisping die wordt opgelegd aan
Akwa GGZ.
16 Uitspraak van de Afdeling Bestuursrechtspraak Raad van State van 11 januari 2017, ECLI:NL:RVS:2017:31.
14/19
Datum Ons kenmerk
19 november 2019
Conclusie
64. Ingevolge artikel 7:11, eerste lid, van de Awb heeft de AP het bestreden besluit heroverwogen naar
aanleiding van de aangevoerde bezwaren. Bij deze heroverweging heeft de AP beoordeeld of zij terecht
heeft besloten om uw verzoek om handhaving af te wijzen. De AP komt gelet op het vorenstaande tot
de conclusie dat uw bezwaar gegrond is. De AP ziet daarom aanleiding om het primaire besluit van 3
december 2018 (kenmerk xxx), te herroepen en neemt in plaats daarvan een nieuw besluit.
Deel II van het besluit op bezwaar: besluit van heden tot oplegging berisping
65. In plaats van het bij besluit van heden herroepen primaire besluit van 3 december 2018 heeft de AP bij
besluit van heden aan Akwa GGZ een berisping opgelegd. Deze is als bijlage 3 bij dit besluit gevoegd.
66. Ter voorlichting van partijen merkt de AP nog het volgende op. Het onderhavige besluit en het besluit
van heden tot oplegging van een berisping vormen tezamen het besluit van de AP op het bezwaar van
bezwaarmaker. Tegen dit besluit op bezwaar staat voor belanghebbenden beroep open bij de
rechtbank.
8. Vergoeding proceskosten
67. In het aanvullend bezwaarschrift van 5 maart 2019 heeft u een verzoek gedaan tot vergoeding van de
kosten die uw cliënt heeft gemaakt in verband met de behandeling van het bezwaar. Ingevolge artikel
7:15, tweede lid, van de Awb worden de kosten uitsluitend vergoed voor zover het bestreden besluit
wordt herroepen wegens aan het bestuursorgaan te wijten onrechtmatigheid. Het bestreden besluit
wordt echter niet herroepen vanwege een onrechtmatigheid van de zijde van de AP, maar vanwege een
verandering van omstandigheden, te weten een afgerond onderzoek resulterend in een
onderzoeksrapport. Dit onderzoek was ten tijde van het nemen van het besluit van 3 december 2018
nog niet afgerond, waardoor de AP terecht heeft geoordeeld dat het handhavingsverzoek op dat
moment niet voor toewijzing in aanmerking kon komen. Voor een proceskostenvergoeding bestaat
dan ook geen aanleiding.
15/19
Datum Ons kenmerk
19 november 2019
9. Dictum
De Autoriteit Persoonsgegevens:
- verklaart het bezwaar gegrond;
- herroept het besluit van 3 december 2018 met kenmerk xxx;
- neemt in de plaats daarvan het volgende besluit:
- wijst het handhavingsverzoek toe en legt aan Akwa GGZ in een separaat besluit dat onderdeel is
van dit besluit een berisping op als bedoeld in artikel 58, tweede lid, onder b, van de AVG;
- wijst het verzoek om vergoeding van proceskosten in bezwaar af.
Een kopie van dit besluit zond ik aan de gemachtigden van zowel SBG als van Akwa GGZ.
Hoogachtend,
Autoriteit Persoonsgegevens,
overeenkomstig het door de Autoriteit Persoonsgegevens genomen besluit,
mr. H.J.H.L. Kortes
Directeur Juridische Zaken en Wetgevingsadvisering (wnd.)
Rechtsmiddelenclausule
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit ingevolge de Algemene wet bestuursrecht een beroepschrift indienen bij de rechtbank (sector
bestuursrecht) in het arrondissement, waarbinnen uw woonplaats valt. U dient een afschrift van dit besluit
mee te zenden. Het indienen van een beroepschrift schort de werking van dit besluit niet op.
16/19
Datum Ons kenmerk
19 november 2019
Juridisch kader
Algemeen
De AP beoordeelt ingevolge artikel 7:11 van de Algemene wet bestuursrecht (Awb) op grond van uw
bezwaar of zij bij het primaire besluit terecht heeft besloten tot afwijzing van uw AVG-klacht. De
heroverweging geschiedt in beginsel met inachtneming van alle feiten en omstandigheden zoals die zijn op
het tijdstip van de heroverweging.
Artikel 4, onder 1, AVG
Voor de toepassing van deze verordening wordt verstaan onder:
1) „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon
(„de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan
worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een
identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die
kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale
identiteit van die natuurlijke persoon.
5) „pseudonimisering”:het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens
niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens
worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en
organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan
een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;
7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een
dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de
verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze
verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie
de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
15) „gegevens over gezondheid”: persoonsgegevens die verband houden met de fysieke of mentale
gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten
waarmee informatie over zijn gezondheidstoestand wordt gegeven;
Artikel 9 AVG
1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of
levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van
genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of
gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele
gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens
voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat
het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
h) de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de
beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van
gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en
-diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een
17/19
Datum Ons kenmerk
19 november 2019
overeenkomst met een gezondheidswerker en behoudens de in lid 3 genoemde voorwaarden en
waarborgen;
i) de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid,
zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen
van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of
medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke
maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name
van het beroepsgeheim;
Artikel 22 UAVG
1. Overeenkomstig artikel 9, eerste lid, van de verordening zijn verwerking van persoonsgegevens waaruit
ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het
lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens
met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met
betrekking tot iemands seksueel gedrag of seksuele gerichtheid verboden.
2. Overeenkomstig artikel 9, tweede lid, onderdelen a, c, d, e en f, van de verordening is het verbod om
bijzondere categorieën van persoonsgegevens te verwerken niet van toepassing, indien:
a. de betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens
voor een of meer welbepaalde doeleinden;
b. de verwerking noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of van een
andere natuurlijke persoon, indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te
geven;
c. de verwerking wordt verricht door een stichting, een vereniging of een andere instantie zonder
winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het
kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits de verwerking uitsluitend
betrekking heeft op de leden of de voormalige leden van de instantie of op personen die in verband met
haar doeleinden regelmatig contact met haar onderhouden, en de persoonsgegevens niet zonder de
toestemming van de betrokkenen buiten die instantie worden verstrekt;
d. de verwerking betrekking heeft op persoonsgegevens die kennelijk door de betrokkene openbaar zijn
gemaakt; of
e. de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering,
of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid.
Artikel 30 UAVG
3. Gelet op artikel 9, tweede lid, onderdeel h, van de verordening, is het verbod om gegevens over
gezondheid te verwerken niet van toepassing indien de verwerking geschiedt door:
a. hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening,
voor zover de verwerking noodzakelijk is met het oog op een goede behandeling of verzorging van de
betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk; (…)
Artikel 66b Zorgverzekeringswet
1. Het Zorginstituut houdt een openbaar register bij waarin op voordracht van organisaties van cliënten,
zorgaanbieders en zorgverzekeraars gezamenlijk dan wel van de Adviescommissie Kwaliteit een
professionele standaard of een meetinstrument wordt opgenomen.
2. Het Zorginstituut stelt een beleidsregel vast op basis waarvan wordt beoordeeld of een professionele
18/19
Datum Ons kenmerk
19 november 2019
standaard kan worden aangemerkt als een verantwoorde beschrijving van de kwaliteit van een specifiek
zorgproces en een meetinstrument kan worden aangemerkt als een verantwoord middel om te meten of
goede zorg is geleverd.
3. Het Zorginstituut neemt een overeenkomstig het eerste lid voorgedragen professionele standaard of
meetinstrument niet op in het openbaar register indien deze niet voldoet aan de beleidsregel, bedoeld in
het tweede lid.
Artikel 66d Zorgverzekeringswet
1. Het Zorginstituut draagt zorg voor het verzamelen, samenvoegen en beschikbaar maken van informatie
over de kwaliteit van verleende zorg:
a. met het oog op het recht van de cliënt een weloverwogen keuze te kunnen maken tussen verschillende
zorgaanbieders, en
b. ten behoeve van het toezicht door de ambtenaren van het Staatstoezicht op de volksgezondheid.
2. Zorgaanbieders zijn verplicht de informatie, bedoeld in het eerste lid, te rapporteren op basis van de
overeenkomstig artikel 66b in het openbaar register opgenomen meetinstrumenten.
3. Bij regeling van Onze Minister wordt de instantie aangewezen waar zorgaanbieders de in het tweede lid
bedoelde informatie aanleveren.
19/19