Besluit invordering dwangsom Menzis

Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl

Coöperatie Menzis U.A.
Voorzitter Raad van Bestuur
De heer drs. R. Wenselaar
Postbus 75000
7500 KC Enschede

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

Contactpersoon
[VERTROUWELIJK]
070 8888 500

Onderwerp
Besluit tot invordering dwangsom

Geachte heer Wenselaar,

Bij besluit van 15 februari 2018 met kenmerk z2016-12335 heeft de Autoriteit Persoonsgegevens (AP) op
grond van artikel 65 Wet bescherming persoonsgegevens (Wbp) en in samenhang bezien met artikel 5:32,
eerste lid, van de Algemene wet bestuursrecht (Awb), een last onder dwangsom opgelegd aan Coöperatie
Menzis U.A. (Menzis) wegens overtreding van artikel 13 van de Wbp, thans artikel 32 van de Algemene
verordening gegevensbescherming (AVG).

Bij brief van 12 november 2018 heeft de AP aan Menzis een voornemen tot invordering van de door Menzis
verbeurde dwangsom verstuurd. De AP heeft in dit voornemen een overtreding van lastonderdeel 1 van de
last onder dwangsom vastgesteld. Menzis heeft op 6 december 2018 haar zienswijze op dit voornemen
gegeven.

De AP constateert in dit besluit dat Menzis niet volledig heeft voldaan aan onderdeel 1 van de op 15
februari 2018 opgelegde last onder dwangsom en daarmee van rechtswege een dwangsom van €5o.ooo,oo
heeft verbeurd. Menzis ontvangt derhalve na verzending van onderhavige invorderingsbeschikking en na
rechterlijke uitspraak in de zaak z2016-12335 van het CJIB – namens de AP – een aanmaning om binnen
twee weken te betalen.

1

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

1. Procedure
Op 15 februari 2018 heeft de AP aan Menzis een last onder dwangsom opgelegd i.v.m. een overtreding van
artikel 13 van de Wbp.

Bij brief van 17 april 2018 heeft Menzis de AP geïnformeerd over de voortgang van de implementatie van
de verschillende herstelmaatregelen om aan de last onder dwangsom te voldoen.

Op 24 april 2018 heeft de AP per brief de ontvangst van de voortgangsrapportage bevestigd.

Bij brief van 3 mei 2018 heeft Menzis aan de AP documenten verstuurd om te kunnen aantonen dat Menzis
voldoet aan onderdeel 1 van de last onder dwangsom.

Op 25 mei 2018 heeft de AP per brief aangekondigd dat een onderzoek ter plaatse (OTP) noodzakelijk is
voor de controle op onderdeel 1 van de last onder dwangsom.

Bij brief van 29 mei 2018 heeft Menzis aan de AP documenten verstuurd om te kunnen aantonen dat
Menzis voldoet aan onderdeel 1 van de last onder dwangsom.

Op 12 juni 2018 heeft de AP per brief bevestigd dat het OTP zal plaatsvinden op 18 juni 2018 op het kantoor
van Menzis te Wageningen.

Op 18 juni 2018 heeft het OTP plaatsgevonden op het kantoor van Menzis te Wageningen. De AP heeft
tijdens dit onderzoek ter plaatse aan Menzis verzocht om inlichtingen te zenden aan de AP. Het definitieve
verslag van dit onderzoek ter plaatse is Menzis bij brief van 31 juli 2018 toegestuurd.

Bij e-mail van 18 juni 2018 heeft Menzis op het verzoek van de AP gereageerd.

Op 26 juni 2018 heeft de AP per brief en e-mail een nader verzoek om inlichtingen gezonden.

Bij e-mail van 27 juni 2018 heeft Menzis op het verzoek van de AP gereageerd.

Op 28 juni 2018 heeft Menzis telefonisch vragen beantwoord van de AP. De AP en Menzis hebben tijdens
dit telefoongesprek afgesproken dat Menzis één vraag zou gaan uitzoeken en later zou beantwoorden. Het
definitieve verslag van dit gesprek is Menzis bij brief van 31 juli 2018 toegestuurd.

Bij e-mail van 3 juli 2018 heeft Menzis de openstaande vraag van 28 juni 2018 beantwoord.

Op 5 juli 2018 heeft de AP per e-mail een nader verzoek om inlichtingen gevraagd.

Bij e-mail van 10 juli 2018 heeft Menzis op het verzoek van de AP gereageerd.

2/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

Op 6 augustus 2018 heeft Menzis telefonisch vragen beantwoord van de AP.

Op 7 augustus 2018 heeft de AP aan Menzis telefonisch medegedeeld dat de AP tot de conclusie is
gekomen dat Menzis onderdeel 1 van de last onder dwangsom niet naleeft omdat medewerkers van de
afdeling Marketing en Sales nog steeds ongeautoriseerde toegang hebben tot gezondheidsgegevens.

Op 8 augustus 2018 heeft de AP per brief een nader verzoek om inlichtingen gevraagd.

Bij e-mail van 20 augustus 2018 heeft Menzis op het verzoek van de AP gereageerd.

Op 10 september 2018 heeft de AP aan Menzis het rapport met bevindingen over de nacontrole gestuurd.

Bij brief van 24 september 2018 heeft Menzis haar zienswijze gegeven op het rapport met bevindingen over
de nacontrole.

Op 5 oktober 2018 heeft de AP per brief een nader verzoek om inlichtingen gedaan.

Bij brief van 22 oktober 2018 heeft Menzis op het verzoek van de AP gereageerd.

Op 12 november 2019 heeft de AP per brief een voornemen tot invordering van de door Menzis verbeurde
dwangsom aan Menzis en aan Vrijbit als belanghebbende verstuurd.

Bij brief van 16 november 2018 heeft Vrijbit schriftelijk haar zienswijze gegeven op het voornemen tot
invordering van de door Menzis verbeurde dwangsom. De AP heeft de zienswijze van Vrijbit op 21
november 2018 per e-mail doorgezonden naar Menzis.

Bij brief van 6 december 2018 heeft Menzis schriftelijk haar zienswijze gegeven op het voornemen tot
invordering van de door Menzis verbeurde dwangsom.

2. Tekst van de overtreding en lastonderdeel 1
2.1 Tekst van de overtreding

De vastgestelde overtreding in de last onder dwangsom zoals deze door de AP bij besluit van 15 februari
2018 is opgelegd aan Menzis luidt als volgt:

In de bevindingen komt de AP tot de conclusie dat Menzis artikel 13 van de Wbp overtreedt. De AP heeft in dat kader het
volgende geconstateerd:
1. Menzis heeft haar bedrijfscultuur organisatorisch zo ingericht dat uitsluitend medewerkers toegang mogen hebben tot
persoonsgegevens betreffende de gezondheid voor zover dat noodzakelijk is voor het doeleinde waarvoor de
medewerkers de persoonsgegevens verwerken. Zo is onder meer door Menzis vastgelegd dat marketingmedewerkers
geen persoonsgegevens betreffende de gezondheid mogen verwerken.

3/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

2. Uit het onderzoek van de AP blijkt echter dat marketingmedewerkers van Menzis feitelijk wel toegang hebben tot
persoonsgegevens betreffende de gezondheid. Het kunnen raadplegen van persoonsgegevens is ingevolge artikel 1,
aanhef en onder b, van de Wbp aan te merken als het verwerken van persoonsgegevens.
3. Menzis beschikt dan ook niet over afdoende technische middelen waarmee wordt geborgd dat medewerkers geen
toegang hebben tot persoonsgegevens die niet noodzakelijk zijn voor het doeleinde waarvoor zij worden verwerkt. In
dat kader wijst de AP erop dat Menzis bijvoorbeeld geen logbestanden bijhoudt over de toegang tot persoonsgegevens,
waaronder bijzondere persoonsgegevens.
4. Het voorgaande leidt tot de conclusie dat Menzis niet beschikt over passende technologische maatregelen als bedoeld
in artikel 13 van de Wbp. De AP heeft uit onderliggende stukken die weergeven op welke wijze een marketingactie bij
Menzis wordt uitgevoerd overigens geen aanwijzingen aangetroffen voor de conclusie dat marketingmedewerkers
daadwerkelijk persoonsgegevens betreffende de gezondheid verwerken voor een marketingactie. Dat doet evenwel
niet af aan de conclusie dat artikel 13 van de Wbp is overtreden, omdat de technologische maatregelen die Menzis
heeft getroffen, niet passend zijn.

2.2 Tekst van lastonderdeel 1

Onderdeel 1 van de last onder dwangsom zoals deze door de AP bij besluit van 15 februari 2018 is opgelegd
aan Menzis luidt als volgt:

De AP gelast Menzis haar systeem op zodanige wijze in te richten dat ongeautoriseerde toegang tot persoonsgegevens
wordt voorkomen.

Zij dient daartoe in ieder geval:
1. De autorisatiematrix en bijbehorende documenten waarin zij de logische toegangsbeveiliging van haar van
systemen heeft vastgelegd, dienen te worden aangepast. Deze documenten dienen zodanig te worden aangepast of
opnieuw opgesteld dat hieruit duidelijk volgt welke toegangsrechten medewerkers hebben. De autorisatiematrix dient een
inzichtelijk overzicht te bieden van de autorisaties en raadpleegrollen die bij een functie of rol horen door middel van onder
meer een eenduidig gebruik van terminologie. Hierbij dient Menzis vast te leggen voor welke functie of rol het verwerken
van persoonsgegevens betreffende de gezondheid noodzakelijk is en voor welk doeleinde en dit document indien nodig aan
herziene bedrijfsinzichten aan te passen. Voorts dienen de autorisaties van medewerkers van Menzis daarmee blijvend
feitelijk in overeenstemming te worden gebracht.

(…)

begunstigingstermijn en hoogte dwangsom t.a.v. onderdelen 1 en 3a
Wat betreft onderdeel 1. van deze last is de AP van oordeel dat met de uitvoering daarvan minder inspanningen gemoeid
zijn. De AP verbindt daarom aan onderdeel 1 en onderdeel 3a van de last een begunstigingstermijn die eindigt op 26 mei
2018.

Indien Menzis niet vóór het einde van de onder 0 vermelde begunstigingstermijn aan de last voldoet, verbeurt zij een
dwangsom. De AP stelt de hoogte van deze dwangsom vast op een bedrag van € 50.000,00 voor iedere (gehele) week, na

4/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

afloop van de laatste dag van de gestelde termijn, waarop Menzis nalaat aan onderdeel 1 en onderdeel 3a van de last te
voldoen, tot een maximum van € 250.000,00.
Gelet op het feit dat de dwangsom een prikkel dient te zijn tot naleving van de last, de hoogte van de omzet van Menzis, het
grote aantal verzekerden en de ernst van de overtreding, acht de AP de hoogte van deze dwangsom passend.

3. Bevindingen
3.1 Bevindingen voorafgaand aan het onderzoek ter plaatse van 18 juni 2018

Menzis heeft op 3 en 29 mei 2018 aan de AP documenten verstuurd om te kunnen aantonen dat Menzis
voldoet aan onderdeel 1 van de last onder dwangsom. Deze documentatie over het autorisatiebeleid van
Menzis gaat niet alleen over de afdeling Marketing en Sales, maar over alle medewerkers van Menzis.

In de documentatie over het autorisatiebeleid staan vier documenten centraal:

- Overzicht FAM autorisaties alle medewerkers met functionele eenheden1: een Excel-bestand met daarin
alle gebruikers met bijbehorende IT-rollen en de aanduiding of er toegang is tot persoonsgegevens en
persoonsgegevens met betreffende de gezondheid.2 De AP heeft dit document eerst bekeken als een
definitieve situatie. Later bleek echter dat dit document niet de definitieve situatie betrof van na 26 mei
2018, maar juist een inventarisatie die gebruikt is om tot een gewenste situatie te komen.
- Functie Autorisatie Matrix (FAM)3: Een overzicht van de bedrijfsrolnaam/autorisatieprofiel zoals kan
worden toegekend aan een medewerker met de daarbij vereiste rollen (die een medewerker met deze
bedrijfsrolnaam moet hebben), toegestane rollen (die een medewerker met deze bedrijfsrolnaam kan
hebben en wordt toegewezen door middel van een aparte procedure) en bijbehorende toewijzingsregel.
Dit document geeft een overzicht welke bedrijfsrollen zijn uitgegeven na de door Menzis uitgevoerde
aanpassingen.
- Data Autorisatie Matrix (DAM)4: Een overzicht van bedrijfsrolnaam/autorisatieprofiel met daarbij
aangegeven of dit profiel onder andere toegang heeft tot het Data Ware House, persoonsgegevens en
gezondheidsgegevens (zorg & declaraties en diagnoses/fraude).
- Doelbindingskader5: Een overzicht van de bedrijfsfuncties per cluster, of er toegang moet zijn tot
persoonsgegevens en gezondheidsgegevens (zorg & declaraties en diagnoses / fraude), waar de gegevens
van afkomstig zijn, voor welke doeleinden deze verzameld zijn en wat de grondslag is. Per bedrijfsfunctie
zijn de rollen en autorisatieprofielen aangegeven.

De AP heeft eerst de door Menzis aangeleverde documentatie geanalyseerd. Daaruit heeft de AP
geconcludeerd dat het Excel-document ‘20180425_Overzicht FAM autorisaties alle medewerkers met

1 Officiële documentnaam: 20180425_Overzicht FAM autorisaties alle medewerkers met functionele eenheden(003).
2 Dit document ziet op de IST-situatie (daadwerkelijke situatie, zoals ingeregeld in de systemen van Menzis) van 25 april 2018.

Een IST-situatie moet worden gezien in combinatie met een SOLL-situatie (een gewenste situatie waar naar toe gewerkt wordt).
3 Officiële documentnaam: FAM overzicht rapport 2018-05-30.

4 Officiële documentnaam: 20180525_Data_Autorisatie_Matrix.
5 Officiële documentnaam: 20180522_Doelbindingskader (005).

5/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

functionele eenheden(003)’ een recent overzicht gaf van de autorisaties van alle medewerkers. Dit is
gebaseerd op de volgende informatie:
a. De naamgeving van het Excel-document met daarin de datum.
b. De genoemde kolommen met daarin onder andere: personeelsnummer, sector, afdeling, functienaam,
autorisatieprofiel, toegang tot persoonsgegevens en toegang tot gezondheidsgegevens.
c. De grote hoeveelheid rijen geeft een indicatie dat het inderdaad gaat om alle medewerkers.
Op grond van de begeleidende documentatie was het de AP echter niet op voorhand duidelijk dat dit een
document betreft van vóór de aanpassingen in de FAM en DAM. Tijdens het onderzoek ter plaatse bij
Menzis werd pas duidelijk dat het bij dit document ging om een niet recente situatie.

De AP heeft vervolgens besloten om in de nacontrole wederom de focus te leggen op de afdeling Marketing
en Sales, omdat uit het eerdere onderzoek is gebleken dat de medewerkers van de afdeling Marketing en
Sales ongeautoriseerde toegang hadden tot persoonsgegevens betreffende de gezondheid. Op basis van
het Excel-document ‘20180425_Overzicht FAM autorisaties alle medewerkers met functionele
eenheden(003)’ heeft de AP een selectie van medewerkers van de afdeling Marketing en Sales gemaakt
voor de steekproef tijdens het onderzoek ter plaatse bij Menzis om enkele autorisaties te kunnen
controleren.

3.2 Bevindingen tijdens het onderzoek ter plaatse van 18 juni 2018

Op 18 juni 2018 heeft de AP een onderzoek ter plaatse uitgevoerd bij Menzis om vast te stellen of Menzis
lastonderdeel 1 op de juiste wijze naleeft. De AP heeft tijdens dit onderzoek vragen gesteld over de
geleverde documentatie en een steekproef uitgevoerd.

Menzis heeft tijdens het onderzoek ter plaatse verklaard dat het document ‘20180425_Overzicht FAM
autorisaties alle medewerkers met functionele eenheden(003)’ een niet actuele handmatig opgestelde lijst
is, die tot input heeft gediend voor het opnieuw opstellen van de FAM en DAM. Naar aanleiding van deze
bevinding heeft de AP de autorisaties van de eerder uitgekozen medewerkers opnieuw bekeken met de
recente versie van de FAM, de DAM en het doelbindingskader.

Menzis heeft verder verklaard dat toegang tot (bijzondere) persoonsgegevens per functie is neergelegd in
de DAM.

Menzis heeft vervolgens verklaard dat buiten de medewerker [VERTROUWELIJK] geen andere
medewerkers binnen de afdeling Marketing en Sales toegang mogen hebben tot gezondheidsgegevens.

De AP heeft vastgesteld dat de medewerker [VERTROUWELIJK] van de afdeling Marketing en Sales
toegang heeft tot de SAS6-omgeving. Hiermee heeft de [VERTROUWELIJK] toegang tot een groot aantal
tabellen die worden gebruikt voor het maken van analyses. De AP heeft vastgesteld dat deze medewerker
toegang heeft tot de tabel ‘idacom.DMT_Salesforce_Case’. Deze tabel bevat informatie over
cases/klachten van individuele personen, waaronder een kolom met informatie die de klant heeft gemeld.

6 Statistical Analysis System is een verzameling software wat onder andere gebruikt wordt voor analyse, business intelligence en

data management.

6/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

De AP heeft verder vastgesteld dat in de tabel kolommen zichtbaar zijn met onder andere de afzender van
de klacht (in deze kolom zijn op sommige regels namen van personen zichtbaar) en de inhoud van de
klacht (kolomnaam: “Beschrijving_Probleem”) waarin op sommige regels gegevens over de gezondheid
zijn vermeld.

Menzis heeft hierover het volgende verklaard:
“De afdeling Marketing en Sales houdt zich onder meer bezig met productontwikkeling en gelet daarop moeten de
medewerkers van deze afdeling inzicht hebben op de individuele feedback op de producten van Menzis.
Productontwikkeling is een taak die aan [VERTROUWELIJK] als medewerker van deze afdeling kan worden
opgedragen. Het is voor de vervulling van zijn functie dan ook noodzakelijk dat een marketingmedewerker kan zien
waarover Menzis klachten ontvangt. De producten van Menzis zijn zorgverzekeringen, daarom kunnen klachten en
feedback van klanten medische informatie bevatten. Voor deze medewerkers gelden de instructies van Menzis over het
omgaan met persoonsgegevens. De feedback van klanten wordt op grond van het doelbindingskader niet geclassificeerd als
gezondheidsgegevens.”

De AP heeft in het kader van deze steekproef, buiten de tabel ‘idacom.DMT_Salesforce_Case’, geen andere
bronnen met gegevens over de gezondheid vastgesteld.

3.3 Bevindingen na het onderzoek ter plaatse van 18 juni 2018

De AP heeft autorisaties van zeven eerder uitgekozen medewerkers opnieuw bekeken in de context van de
actuele situatie met de volgende documenten:
- 20180522_Doelbindingskader (005)
- 20180525_Data_Autorisatie_Matrix
- FAM overzicht rapport 2018-05-30

De AP heeft in deze steekproef vastgesteld dat de toegangsrechten tot persoonsgegevens betreffende de
gezondheid op een consistente manier beschreven zijn in de hierboven genoemde documentatie.

3.3.1 Bevindingen over de tabel ‘idacom.DMT_Salesforce_Case’

Op 27 juni 2018 heeft Menzis aan de AP een overzicht van de laatste 100 entries uit de tabel
‘idacom.DMT_Salesforce_Case’, inclusief de kolomnamen, verstrekt.

De AP heeft nogmaals vastgesteld dat in de tabel ‘idacom.DMT_Salesforce_Case’ persoonsgegevens
betreffende de gezondheid staan die toegankelijk zijn voor de [VERTROUWELIJK]. Dit betekent dat
medewerkers, die net als de [VERTROUWELIJK] de toegestane rol toebedeeld hebben gekregen in de FAM
die toegang geeft tot deze tabel, mede in de praktijk toegang (kunnen) hebben tot deze gegevens. Dit zijn
bijvoorbeeld medewerkers van de afdeling Marketing en Sales met het autorisatieprofiel
[VERTROUWELIJK], [VERTROUWELIJK] en [VERTROUWELIJK].

7/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

De AP heeft verder uit het doelbindingskader, de DAM en de FAM vastgesteld dat een medewerker met de
bedrijfsrolnaam/autorisatieprofiel [VERTROUWELIJK] (welke is toebedeeld aan de [VERTROUWELIJK])
toegang mag hebben tot persoonsgegevens maar geen toegang mag hebben tot gezondheidsgegevens. Zie
hiervoor figuur 3 en 4. Ditzelfde geldt ook voor bijvoorbeeld andere medewerkers van de afdeling
Marketing en Sales met het autorisatieprofiel [VERTROUWELIJK], [VERTROUWELIJK] en
[VERTROUWELIJK].

[VERTROUWELIJK]

Figuur 3. Rij 20, kolom A, C, D, E, F en G van het document 20180525_Data_Autorisatie_Matrix.
Het ontbreken van een kruis in een kolom betekent geen toegang tot de gegevens uit die kolom.

[VERTROUWELIJK]

Figuur 4. Rij 6, kolom A, B, C, D, E, F, G, I en J in het tweede tabblad van het document 20180522_Doelbindingskader
(005). Onder het kopje ‘Toegang tot persoonsgegevens´ staat alleen ´Persoonsgegevens’. Onder het kopje ‘Functies
gekoppeld aan de bedrijfsprocessen’ staat de functie [VERTROUWELIJK]. En onder het kopje ‘Autorisatieprofielen
gekoppeld aan de bedrijfsprocessen’ staat het profiel [VERTROUWELIJK].

Voorbeelden van persoonsgegevens met betrekking tot de gezondheid in de tabel
‘idacom.DMT_Salesforce_Case’ zijn de volgende:

[VERTROUWELIJK]

Figuur 5. Rij 39, kolom A en AJ uit een deel van de tabel ‘idacom.DMT_Salesforce_Case’, zoals verstrekt door Menzis
aan de AP op 27 juni 2018.

[VERTROUWELIJK]

Figuur 6. Rij 42, kolom A en AJ uit een deel van de tabel ‘idacom.DMT_Salesforce_Case’, zoals verstrekt door Menzis
aan de AP op 27 juni 2018.

8/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

[VERTROUWELIJK]

Figuur 7. Rij 81, kolom A en AJ uit een deel van de tabel ‘idacom.DMT_Salesforce_Case’, zoals verstrekt door Menzis
aan de AP op 27 juni 2018.

Op 10 september 2018 heeft de AP haar bevindingen over de nacontrole, inclusief de conclusie dat Menzis
daarmee lastonderdeel 1 overtrad, vastgesteld en aan Menzis gestuurd. Menzis heeft in haar zienswijze op
dit rapport verklaard dat Menzis de classificatie van de gegevens uit de tabel
‘idacom.DMT_Salesforce_Case’ heeft gewijzigd naar gezondheidsgegevens.

Menzis heeft op 22 oktober 2018 bewijs overgelegd waaruit blijkt dat Menzis op 20 september 2018 ervoor
heeft gezorgd dat de medewerkers van de afdeling Marketing en Sales de tabel
‘idacom.DMT_Salesforce_Case’ niet meer kunnen inzien.

3.3.2 Bevindingen over applicaties buiten het Data Ware House

Menzis heeft op 6 augustus verklaard dat autorisaties tot applicaties die geen gebruik maken van het Data
Ware House, maar wel toegang bieden tot gezondheidsgegevens, als volgt terug te vinden zijn in de
documentatie van Menzis:
- In het huidige FAM overzicht (FAM overzicht rapport 2018-05-30) staan per
autorisatieprofiel de ‘Vereiste rollen’ en ‘Toegestane rollen’ weergeven. De Vereiste rollen
heeft iedere medewerker met dat toegewezen autorisatieprofiel. De Toegestane rollen kunnen
per medewerker verschillen afhankelijk van hun specifieke taak binnen de rol.
- Om vaststellen tot welke applicaties een medewerker toegang heeft en of deze applicatie
toegang biedt tot gezondheidsgegevens moet gekeken worden in het document
‘20180425_Overzicht FAM autorisaties alle medewerkers met functionele eenheden(003)’
(de verouderde IST-situatie/FAM) in het vierde tabblad ‘IST – Gebruikers & IT-rollen’.

De AP heeft samen met Menzis deze autorisaties tot applicaties die geen gebruik maken van het Data
Ware House steekproefsgewijs gecontroleerd bij twee medewerkers. De AP heeft daarnaast zelf nog een
aanvullende controle uitgevoerd. De AP heeft in deze steekproef vastgesteld dat deze toegangsrechten op
een consistent manier in de door Menzis geleverde documentatie beschreven zijn.

4. Beoordeling
Uit het autorisatiemodel van Menzis blijkt dat medewerkers van de afdeling Marketing en Sales (met
uitzondering van één medewerker) geen toegang mogen hebben tot gezondheidsgegevens. Menzis heeft

9/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

tijdens het onderzoek ter plaatse ook verklaard dat buiten één medewerker geen andere medewerkers
binnen de afdeling Marketing en Sales toegang mogen hebben tot gezondheidsgegevens.

Zoals reeds in paragraaf 3.2 en 3.3.1 is vermeld, heeft de AP echter vastgesteld dat medewerkers van de
afdeling Marketing en Sales toegang hebben tot de tabel ‘idacom.DMT_Salesforce_Case’ met daarin
gegevens betreffende de gezondheid. Menzis heeft hierover verklaard dat het voor de medewerkers van de
afdeling Marketing en Sales noodzakelijk is om deze gegevens in te zien en op grond van het
doelbindingskader deze gegevens niet classificeren als gezondheidsgegevens.

De AP classificeert enkele gegevens uit de tabel idacam.DMT_Salesforce_Case als persoonsgegevens
betreffende de gezondheid en concludeert dat medewerkers van de afdeling Marketing en Sales (met
uitzondering van één medewerker) ongeautoriseerde toegang hebben tot gezondheidsgegevens.

Voor het begrip 'persoonsgegeven' is relevant of de gegevens informatie over een persoon bevatten.

De identificeerbaarheid van de persoon is het tweede element dat bepalend is voor het antwoord op de
vraag of sprake is van een persoonsgegeven. Uitgangspunt is dat een persoon identificeerbaar is indien zijn
identiteit redelijkerwijs, zonder onevenredige inspanning, vastgesteld kan worden. Twee factoren spelen
hierbij een rol: de aard van de gegevens en de mogelijkheden van de verantwoordelijke om de identificatie
tot stand te brengen. Een persoon is identificeerbaar indien sprake is van gegevens die alleen of in
combinatie met andere gegevens, zo kenmerkend zijn voor een bepaalde persoon dat deze aan de hand
daarvan kan worden geïdentificeerd.

Het begrip persoonsgegevens betreffende iemands gezondheid wordt ruim opgevat; het omvat niet alleen
de gegevens die in het kader van een medisch onderzoek of een medische behandeling door een arts
worden verwerkt, maar alle gegevens die de geestelijke of lichamelijke gezondheid van een persoon
betreffen. Daarbij geldt dat ook het enkele gegeven dat iemand ziek is een gegeven omtrent gezondheid is,
hoewel dat gegeven op zichzelf nog niets zegt over de aard van de aandoening.

Gegevens te zien in figuur 5, 6 en 7 zoals een chronische rugaandoening, zwangerschap en een gebroken
enkel zijn duidelijk gegevens die de lichamelijke gezondheid van een persoon betreffen. Deze gegevens zijn
door het verzekeringsnummer en soms de naam in de beschrijving voor Menzis als
verwerkingsverantwoordelijke en de medewerkers van de afdeling marketing en Sales ook herleidbaar
naar een natuurlijk persoon. Medewerkers van de afdeling Marketing en Sales hebben aldus toegang tot
persoonsgegevens betreffende de gezondheid.

Nu uit de door Menzis geleverde documenten blijkt dat medewerkers van de afdeling Marketing en Sales
geen toegang mogen hebben tot gezondheidsgegevens maar uit het onderzoek ter plaatse juist bleek dat
voor deze medewerkers er in de praktijk wel toegang is tot persoonsgegevens betreffende de gezondheid, is
er sprake van ongeautoriseerde toegang tot persoonsgegevens. Menzis heeft haar systeem aldus niet op
zodanige wijze ingericht dat ongeautoriseerde toegang tot persoonsgegevens is voorkomen.

10/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

De AP ziet zich vervolgens voor de vraag gesteld of Menzis heeft voldaan aan onderdeel 1 van de opgelegde
last onder dwangsom. De AP betrekt daarbij het op 22 oktober 2018 door Menzis verstrekte bewijs dat
volgens haar de overtreding is beëindigd.

De AP stelt vast dat Menzis vanaf 20 september 2018 alsnog aan onderdeel 1 van de opgelegde last onder
dwangsom heeft voldaan, doordat met schriftelijke stukken en videomateriaal voldoende aannemelijk is
gemaakt dat de tabel ‘idacom.DMT_Salesforce_Case’ met persoonsgegevens betreffende de gezondheid
niet meer toegankelijk is voor de medewerkers van de afdeling Marketing en Sales.

Zienswijze Menzis op rapport met bevindingen en reactie AP
Menzis heeft in haar zienswijze op het rapport met bevindingen onderkend dat de persoonsgegevens in de
hiervoor genoemde tabel geclassificeerd hadden moeten worden als gezondheidsgegevens. Menzis heeft
verder gesteld dat de door de AP geconstateerde bevinding niet betekent dat zij de last niet juist heeft
nageleefd. Menzis is namelijk van mening dat deze bevinding niet in de autorisatiematrix, de bijbehorende
documenten of de daarop gebaseerde feitelijke autorisaties zit en daarmee buiten de last valt. Menzis heeft
dat verder niet beargumenteerd of onderbouwd. De AP zag naar aanleiding van deze stelling geen
aanknopingspunten om af te wijken van haar eerdere bevindingen.

Zienswijze Menzis op voornemen tot invordering dwangsom
Menzis stelt zicht op het standpunt dat zij tijdig en volledig heeft voldaan aan onderdeel 1 van de last onder
dwangsom. Hiertoe voert Menzis drie argumenten aan.

Ten eerste voert Menzis aan dat er geen sprake was van ongeautoriseerde toegang tot persoonsgegevens
omdat de betreffende medewerkers (op dat moment) wel geautoriseerd waren om toegang te hebben tot
de desbetreffende tabel. Het feit dat Menzis de persoonsgegevens in de tabel niet als persoonsgegevens
betreffende gezondheid had gekwalificeerd, betekent nog niet dat er sprake was van ongeautoriseerde
toegang. Daarnaast heeft de AP slechts vastgesteld dat de toegang theoretisch mogelijk was.

Ten tweede concludeert Menzis dat de AP van mening is dat de last onder dwangsom is overtreden omdat
artikel 32 AVG is overtreden. De conclusie uit het rapport van de AP van 10 september 2018 lijkt volgens
Menzis ook op een dergelijke visie te wijzen. Menzis bestrijdt deze visie omdat de last niet ziet op elke
overtreding van artikel 32 AVG en omdat er geen sprake is van een overtreding van dit wetsartikel.

Ten derde stelt Menzis zich op het standpunt dat er sprake is van een bijzondere omstandigheid die maakt
dat van invordering moet worden afgezien. Menzis heeft slechts één van de drie onderdelen van de last
gedeeltelijk niet uitgevoerd. Gezien het grote aantal medewerkers en de grote hoeveelheid bestanden, is
het niet juist kwalificeren van één tabel een tekortkoming die als marginaal te beschouwen is. Bovendien
is er inmiddels geheel aan onderdeel 1 van de last voldaan.

Reactie AP
De AP volgt Menzis niet in haar standpunt dat er geen sprake is van ongeautoriseerde toegang tot
persoonsgegevens. De AP heeft niet getoetst of de medewerkers van de afdeling Marketing en Sales
geautoriseerde toegang hadden tot de tabel ‘idacom.DMT_Salesforce_Case’, maar of deze medewerkers
geautoriseerd waren om toegang te hebben tot persoonsgegevens betreffende de gezondheid. Zoals eerder

11/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

is omschreven blijkt uit het autorisatiemodel van Menzis dat medewerkers van de afdeling Marketing en
Sales geen toegang mogen hebben tot gezondheidsgegevens. De AP heeft vastgesteld dat medewerkers
van de afdeling Marketing en Sales desondanks toegang hadden tot gezondheidsgegevens in de tabel
‘idacom.DMT_Salesforce_Case’. Gelet hierop had Menzis haar systeem aldus niet op zodanige wijze
ingericht dat ongeautoriseerde toegang tot persoonsgegevens over gezondheid is voorkomen. Dat Menzis
heeft erkend dat zij de persoonsgegevens in de tabel niet had gekwalificeerd als gezondheidsgegevens
maakt deze conclusie niet anders. Daarnaast heeft de AP tijdens haar bezoek bij Menzis in de systemen
kunnen vaststellen dat medewerkers van de afdeling Marketing en Sales ook werkelijk in de praktijk, en
niet alleen in theorie, toegang hadden tot gezondheidsgegevens ten behoeve van productontwikkeling.

De AP volgt Menzis evenmin in haar zienswijze omtrent artikel 32 AVG. Een opgelegde dwangsom wordt
verbeurd van rechtswege, zodra blijkt dat de opgelegde last niet is nagekomen. De nacontrole door de AP
ziet, anders dan Menzis meent, enkel op de vaststelling of voldaan wordt aan de inhoud van de opgelegde
last, zoals deze destijds is opgelegd, en daarmee of de opgelegde last is nagekomen.

Ten slotte volgt de AP Menzis niet in het standpunt dat er sprake is van een bijzondere omstandigheid die
maakt dat van invordering geheel moet worden afgezien. Het gedeeltelijk, maar niet volledig, voldoen aan
een last onder dwangsom is geen omstandigheid die er toe hoeft te leiden dat een bestuursorgaan afziet
van invordering. Ook het achteraf voldoen aan een lastonderdeel is in beginsel geen grond om van
invordering af te zien. Daarnaast moet de AP lastonderdeel 2, die een andere begunstigingstermijn en
dwangsom behelst, nog beoordelen. De AP merkt verder op dat de AP de overtreding op 10 september
2018 heeft vastgesteld en niet als een voortdurende overtreding heeft gekwalificeerd. Indien in dit geval de
AP de overtreding als een voortdurende overtreding had vastgesteld, dan had Menzis een dwangsom van
€250.000,00 verbeurd.

Zienswijze Vrijbit op voornemen tot invordering dwangsom en reactie AP
Vrijbit stelt dat Menzis medische persoonsgegevens verwerkt zonder dat daar een wettelijke grondslag
voor was, met ontduiking van de destijds door het College Bescherming Persoonsgegevens verplicht
goed te keuren Gedragscode. Voor Vrijbit is het van belang dat de AP de opgelegde dwangsom per
onmiddellijk vordert.

De AP heeft kennis genomen van de zienswijze van Vrijbit. De stelling dat Menzis medische
persoonsgegevens verwerkt zonder dat daar een wettelijke grondslag voor was, met ontduiking van de
destijds door het College Bescherming Persoonsgegevens verplicht goed te keuren Gedragscode, speelt in
deze besluitvorming geen rol. Met dit besluit gaat de AP wel over tot het invorderen van de dwangsom.

5. Conclusie
Uit de door Menzis geleverde autorisatiemodel en bijbehorende documenten blijkt dat medewerkers van
de afdeling Marketing en Sales geen toegang mogen hebben tot gezondheidsgegevens. De AP heeft tijdens
de nacontrole echter vastgesteld dat deze medewerkers in de praktijk wel toegang hadden tot
gezondheidsgegevens. Menzis had haar systeem aldus niet op zodanige wijze ingericht dat
ongeautoriseerde toegang tot persoonsgegevens over gezondheid is voorkomen.

12/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

Gelet hierop stelt de AP vast dat Menzis niet volledig heeft voldaan aan de eerste volzin van de last onder
dwangsom in combinatie met lastonderdeel 1 uit het besluit van 15 februari 2018.

Op 10 september 2018 heeft de AP haar bevindingen over de nacontrole, inclusief de conclusie dat Menzis
daarmee lastonderdeel 1 overtrad, vastgesteld en aan Menzis gestuurd.

Met het nadien geleverde bewijs van 22 oktober 2018 heeft Menzis aannemelijk gemaakt dat Menzis vanaf
20 september 2018 alsnog aan de eerste volzin van de last onder dwangsom in combinatie met
lastonderdeel 1 heeft voldaan.

Gelet op het voorgaande heeft Menzis van rechtswege een dwangsom verbeurd over de periode van 10
september 2018 tot 20 september 2018. Dit houdt in dat één volledige week verstreken is voordat aan de
opgelegde last is voldaan. De hoogte van de verbeurde dwangsom bedraagt één maal € 50.000,00 is
€50.000,00.

Op grond van artikel 5:33 Awb wordt een verbeurde dwangsom betaald binnen zes weken nadat zij van
rechtswege is verbeurd. De AP heeft op de dagtekening van dit besluit nog geen betaling ontvangen.

6. Besluit
Gelet op het bovenstaande en op artikel 5:37 Awb, stelt de AP vast dat:

I.
Menzis niet volledig heeft voldaan aan de eerste zin van de last onder dwangsom in combinatie met
lastonderdeel 1 uit het besluit van 15 februari 2018.

Menzis hiermee een dwangsom heeft verbeurd van €50.000,00.

II.
De AP gaat over tot invordering van de door Menzis verbeurde dwangsom van €50.000,00.

De AP zal voornoemde vordering uit handen geven aan het Centraal Justitieel Incassobureau (CJIB). Bij
gebreke van tijdige betaling wordt het uitstaande bedrag vermeerderd met de aanmanings- en eventuele
invorderingskosten.

7. Tot slot
In verband met artikel 5:37 Awb ontvangt Vrijbit als belanghebbende een afschrift van dit besluit. Dit
omvat niet de gegevens die het mogelijk maken om medewerkers of klanten van Menzis te identificeren.

Indien u vragen heeft over deze brief, kunt u contact opnemen met bovengenoemd contactpersoon.

13/14

Datum Ons kenmerk
9 januari 2019 [VERTROUWELIJK]

Een afschrift van deze brief is tevens gemaild aan [email protected].

Hoogachtend,
Autoriteit Persoonsgegevens,

w.g.

mr. A. Wolfsen
Voorzitter

Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het besluit ingevolge de
Algemene wet bestuursrecht een beroepschrift indienen bij de rechtbank Midden-Nederland, waar reeds deze procedure
aanhangig is. U dient een afschrift van dit besluit mee te zenden. Het indienen van een beroepschrift schort de werking van
dit besluit niet op.

14/14