POSTADRES TEL
AAN
Postbus 93374, 2509 AJ Den Haag
070 - 88 88 500
FAX
070 - 88 88 501
De Staatssecretaris van Volksgezondheid, Welzijn en Sport
BEZOEKADRES
INTERNET
Juliana van Stolberglaan 4-10
www.cbpweb.nl www.mijnprivacy.nl
DATUM ONS KENMERK
1 juli 2014 z2014-00301
CONTACTPERSOON
Postbus 20350 2500 EJ DEN HAAG UW BRIEF VAN
15 april 2014
UW KENMERK
ONDERWERP
Advisering Besluit langdurige zorg
Geachte ,
Bij brief d.d. 15 april 2014 heeft u het College bescherming persoonsgegevens (CBP) verzocht op grond van artikel 51, eerste lid Wet bescherming persoonsgegevens (Wbp) te adviseren over het concept Besluit langdurige zorg (hierna: Besluit). Deze algemene maatregel van bestuur is gebaseerd op de Wet langdurige zorg (Wlz), die momenteel ter behandeling voorligt in de Tweede Kamer (33 891). Over een concept van die Wlz is door het CBP op 9 december 2013 (z2013-00742) advies uitgebracht. Met bijgaand advies voldoet het CBP aan uw verzoek tot advisering over het Besluit langdurige zorg. Hoofdlijnen inhoud besluit (met betrekking tot verwerking persoonsgegevens) Dit concept Besluit langdurige zorg is de uitwerking bij algemene maatregel van bestuur van bepalingen van de Wlz. In de Nota van toelichting is aangegeven dat bij het opstellen van dit Besluit prioriteit is gegeven aan die gevallen waarin de wet nadere regeling voorschrijft. In uw brief geeft u aan dat met dit Besluit nadere regels worden gesteld ten aanzien van de inschrijving van verzekerden, het verzekerd pakket en het recht op Wlz-zorg, de uitvoering van de wet door Wlz-uitvoerders, nevenwerkzaamheden van het Centrum indicatiestelling zorg (CIZ) en taken van het Zorginstituut Nederland. Ook geeft u aan dat met dit Besluit enkele amvb’s worden gewijzigd en de amvb’s die zijn gebaseerd op de AWBZ worden ingetrokken. Voor de advisering van het CBP over de verwerking van persoonsgegevens in het kader van de uitvoering van de Wlz zijn in het onderhavige Besluit van belang: - De bepalingen over indicatiebesluiten (artikel 3.2.1 t/m artikel 3.2.6 Besluit); - De nadere regels voor Wlz-uitvoerders (artikel 4.1.1 t/m artikel 4.3.1) - De bepalingen inzake de werkzaamheden van het Zorginstituut op het gebied van het elektronisch gegevensverkeer (artikel 5.2.1)
BIJLAGEN BLAD
1
DATUM ONS KENMERK
1 juli 2014 z2014-00301
Beoordeling De indicatiestelling In de advisering over de Wlz heeft het CBP geadviseerd af te zien in de Wlz van toestemming als grondslag voor de verwerking van persoonsgegevens en voor de doorbreking van het medisch beroepsgeheim ten behoeve van de indicatiestelling. Gelet op de afhankelijke positie van de aanvrager acht het CBP in de onderhavige situatie de omstandigheden niet aanwezig om aan de vereisten van ondubbelzinnige en vrije toestemming te kunnen voldoen. Het CBP constateert dat dit advies is overgenomen (MvT, p. 102) en de Wlz in die zin is aangepast. Ter zake is in de Wlz een artikel opgenomen (artikel 9.1.2 tweede lid Wlz) op grond waarvan derden op verzoek van het CIZ verplicht zijn die (gezondheids)persoonsgegevens te leveren die voor het CIZ noodzakelijk zijn om een goed Wlz-indicatiebesluit (zoals bedoeld in artikel 3.2.2 eerste lid Wlz) te geven. In artikel 9.1.2 derde lid Wlz is tevens geëxpliciteerd dat onder ‘derden’ mede worden verstaan hulpverleners met een medisch beroepsgeheim. Daarmee is dan tevens voorzien in een wettelijke verplichting tot gegevensverstrekking zoals bedoeld in artikel 7:457 BW. In artikel 3.2.2 vierde lid Wlz wordt bepaald dat bij of krachtens amvb regels kunnen worden gesteld over de werkwijze van het CIZ en over de inrichting en geldigheidsduur van het indicatiebesluit. Een en ander zoals tot op heden gedaan in het Zorgindicatiebesluit (MvT, p. 125). Het CBP constateert dat de in het Besluit neergelegde regeling er in artikel 3.2.1 derde lid (toch) weer vanuit gaat dat voor het opvragen van informatie bij behandelend beroepsbeoefenaren in eerste instantie toestemming van betrokkene wordt gevraagd en in artikel 3.2.2 derde lid van het Besluit is voorzien in de mogelijkheid om ook als betrokkene die toestemming niet geeft de benodigde informatie bij de behandelend beroepsbeoefenaren op te vragen. Het CBP constateert dat de uitwerking van de werkwijze van het CIZ op dit punt niet in overeenstemming is met de regeling ter zake in de Wlz (artikel 9.1.2 derde lid Wlz) en niet in overeenstemming is met de Wbp (artikel 8 onder a juncto artikel 23 eerste lid onder a Wbp) . Het CBP adviseert de bepaling ter zake in het Besluit (artikel 3.2.1 derde lid) in overeenstemming te brengen met het bepaalde in de Wlz (artikel 9.1.2 derde lid) en derhalve ook in het Besluit toestemming niet te hanteren als grond voor de doorbreking van het medisch beroepsgeheim bij de verstrekking van informatie door behandelend beroepsbeoefenaren aan het CIZ. Het CBP merkt op dat het opvragen van informatie bij behandelend beroepsbeoefenaren ten behoeve van de indicatiestelling alleen dan aan de orde zou moeten komen als niet met de informatie zoals verstrekt door betrokkene zelf kan worden volstaan. In het Besluit is het bepaalde in artikel 3.2.2, eerste lid ‘(in ieder geval een onderzoek van de verzekerde in persoon’) en artikel 3.2.2 derde lid onder a (‘zoveel mogelijk gebruik maken van gegevens en bescheiden die door de verzekerde of tijdens het onderzoek ter beschikking zijn gesteld’) daarvoor van belang. Het CBP constateert echter dat met het in artikel 3.2.2 derde lid onder c neergelegde criterium voor het bij derden opvragen van aanvullende informatie (‘als het onderzoek aanleiding geeft tot een dergelijk verzoek’) onvoldoende tot uitdrukking wordt gebracht dat het opvragen van die informatie alleen dan aan de orde kan komen als aan het noodzakelijkheidsvereiste (proportionaliteit en subsidiariteit) wordt voldaan. Daarbij is ook te constateren dat in de Nota van toelichting de nodige ruimte wordt verondersteld om – vanwege de efficiency - het opvragen
BLAD
2
DATUM ONS KENMERK
1 juli 2014 z2014-00301
van informatie bij behandelend beroepsbeoefenaren direct bij de aanvraag al af te handelen. Daarmee wordt de weg geëffend voor het standaard opvragen van informatie bij behandelend beroepsbeoefenaren in het kader van de indicatiestelling zonder dat daar een toetsing van de noodzaak in het individuele geval aan vooraf hoeft te gaan. Een en ander is in strijd met het in artikel 8 Wbp opgenomen noodzakelijkheidsvereiste en het bepaalde in artikel 11 Wbp ter zake van bovenmatigheid. Het CBP adviseert om in de bepaling in het Besluit die zien op het – kunnen – opvragen van informatie bij behandelend beroepsbeoefenaren het criterium op te nemen dat dit alleen mag plaatsvinden indien en voor zover gedurende het voorbereidend onderzoek blijkt dat dit noodzakelijk is voor het nemen van een indicatiebesluit. Het CBP constateert dat in de nu in het Besluit opgenomen bepalingen over het onderzoek ten behoeve van de indicatiestelling vooralsnog geen nadere afbakening plaatsvindt van de aard en omvang van de verwerking van persoonsgegevens die daarbij aan de orde kan zijn. Het CBP acht zo’n nadere afbakening noodzakelijk. Het CBP merkt op dat in de Memorie van toelichting bij de Wlz (p. 102) is aangegeven dat zo’n nadere uitwerking zal plaatsvinden. Weliswaar wordt nu in artikel 3.2.2 vierde lid van het Besluit voorzien in een mogelijkheid om nadere regels te stellen over het voorbereidend onderzoek in het kader van de indicatiestelling, maar gelet op de gekozen formulering ‘kunnen regels worden gesteld’ is de totstandkoming daarvan niet gegarandeerd. Het CBP adviseert om te voorzien in een nadere afbakening van de aard en omvang van de verwerking van persoonsgegevens door het CIZ in het kader van het voorbereidend onderzoek voor de indicatiestelling, bij voorkeur door bepalingen ter zake op te nemen in dit Besluit. Het CBP constateert dat in artikel 3.2.3 van het Besluit de inhoud van het indicatiebesluit wordt voorgeschreven. Gelet op de in dat artikel genoemde elementen (waaronder ‘de resultaten van het voorbereidend onderzoek’ en ‘de aandoening, beperking of handicap’) van dat indicatiebesluit is een zorgvuldige afweging aan de orde of en zo ja, van welke elementen van dat indicatiebesluit kennisneming door de Wlz-uitvoerder en/of de zorgaanbieder noodzakelijk is te achten. In de onderhavige bepaling en in de Nota van toelichting wordt daaraan verder geen aandacht geschonken. Het CBP adviseert om in het Besluit nader te bepalen welke elementen uit het indicatiebesluit ter kennisneming van de Wlz-uitvoerder en/of de zorgaanbieder dan wel andere derden – gelet op hun taken bij de uitvoering van de Wlz - kunnen worden gebracht. Artikel 3.2.6 van het Besluit verplicht het CIZ tot registratie van de resultaten van zijn onderzoeken en tot registratie van de inhoud van de indicatiebesluiten, een en ander volgens bij ministeriele regeling te stellen regels. Vooralsnog is niet duidelijk of het hierbij gaat om registratie van persoonsgegevens, voor welk(-e) doel(-en) die registratie plaatsvindt en wie, voor welke doelen, eventueel toegang tot informatie uit die registratie kunnen krijgen. In de Nota van toelichting wordt in dit verband gesproken over het eens per jaar door de Minister van VWS verkrijgen van gegevens van het CIZ met betrekking tot de indicatiepraktijk. Het CBP adviseert om te voorzien in verheldering van het doel van deze registratie en de – eventuele – andere gebruikers van deze registratie.
BLAD
3
DATUM ONS KENMERK
1 juli 2014 z2014-00301
Taken Wlz-uitvoerders In de Wlz is voorzien in de mogelijkheid om te bepalen dat uitvoering van de Wlz ten behoeve van alle verzekerden van de in een regio actieve Wlz-uitvoerders plaatsvindt door een per regio aangewezen Wlz-uitvoerder (zorgkantoor). In artikel 4.2.1 van het Besluit worden de regio’s aangewezen en in artikel 4.3.2 is aangegeven welke administratieve taken die per regio aangewezen Wlz-uitvoerder moet uitvoeren. In de Nota van toelichting wordt aangegeven dat hoewel artikel 4.2.3 derde lid Wlz daartoe wel de mogelijkheid biedt, in dit Besluit de Wlzuitvoerders vooralsnog niet (ook) worden belast met de controle van de aan verzekerden in hun regio verleende zorg. In de Nota van toelichting wordt ter zake aangegeven dat weliswaar alle Wlz-uitvoerders in een regio verantwoordelijk blijven voor de controle van de zorg die aan hun verzekerden is geleverd, maar dat zij dit wel kunnen uitbesteden aan de voor die regio aangewezen Wlz-uitvoerder. Ter zake van de verwerking van persoonsgegevens door de regionaal aangewezen zorgkantoren wordt in de MvT (p. 81) aangegeven: Voor zijn eigen verzekerden verwerkt de desbetreffende Wlz-uitvoerder dan persoonsgegevens als verantwoordelijke in de zin van de Wbp, voor de verzekerden van andere Wlz-uitvoerders doet hij dat als bewerker in de zin van de Wbp (de andere Wlz-uitvoerders blijven de verantwoordelijken). Daarnaast zullen de zorgkantoren de persoonsgegevens die zij voor de bij amvb nader te omschrijven administratie- en controlewerkzaamheden gebruiken, als verantwoordelijke in de zin van de Wbp verwerken. Zij verrichten dergelijke werkzaamheden immers op eigen titel (publiekrechtelijke taak van de Wlz-uitvoerders). Het CBP constateert dat in het Besluit de controletaken niet bij het zorgkantoor worden belegd, maar dat in de Nota van toelichting niet wordt ingegaan op de vraag wat dat betekent voor de verantwoordelijkheid voor de verwerking van persoonsgegevens bij controle als - op basis van uitbesteding - door Wlz-uitvoerders wordt afgesproken dat die taken door het zorgkantoor worden verricht. Dan kan er dus niet gesproken worden van uitvoering door het zorgkantoor van een bij of krachtens wet opgedragen taak en zal sprake zijn van verwerking van persoonsgegevens bij controle door het zorgkantoor als bewerker in de zin van de Wbp. Het CBP merkt daarbij op dat bewerkerschap van het zorgkantoor niet verenigbaar is met het door het zorgkantoor zelf bepalen van de aard en omvang van de voor controle noodzakelijke verwerking van persoonsgegevens, maar dat die bepaling van aard en omvang door de verantwoordelijke Wlz-uitvoerder zal moeten gebeuren. Het CBP adviseert om ter zake een nadere beschouwing op te nemen in de Nota van toelichting. Werkzaamheden Zorginstituut ter zake van elektronisch gegevensverkeer Artikel 5.2.1 van het Besluit heeft betrekking op door het Zorginstituut uit te voeren beheertaken ten behoeve van de instandhouding van het elektronisch gegevensbeheer, zoals voorzien in artikel 9.1.6 Wlz. In de MvT (p. 80) bij de Wlz wordt aangegeven dat het hierbij gaat om de gegevens die binnen het AWBZ-brede zorgregistratie (AZR) systeem worden gedeeld op grond van artikel 9.1.2 Wlz en om intersectorale gegevensuitwisseling met onder meer de Belastingdienst, de gemeentelijke basisadministratie of de SVB. De AZR is een systematiek voor het volgen van de cliënt in alle fasen van de Wlz-keten: van de indicatie via het toewijzen en leveren van zorg tot het vaststellen van de eigen bijdrage. De partijen die hierbij betrokken zijn, de zogenaamde ketenpartijen, wisselen in gestandaardiseerde vorm informatie uit. Elke
BLAD
4
DATUM ONS KENMERK
1 juli 2014 z2014-00301
ketenpartij geeft via de AZR de informatie door die belangrijk is voor de volgende partij in de keten. De informatie-uitwisseling vindt plaats via elektronisch berichtenverkeer. Ketenpartijen maken onderling afspraken over de te hanteren standaarden, het Zorginstituut coördineert dit proces. Als partijen er onderling niet uitkomen kan de Minister van VWS bij ministeriele regeling regels stellen over deze gegevensuitwisseling. Het tweede lid van artikel 9.1.6 Wlz biedt mogelijkheden om, indien nodig, bij ministeriele regeling nadere regels te stellen over die gegevensuitwisseling (aard en omvang, de wijze waarop die in de infrastructuur plaatsvindt). Het CBP adviseert om ter zake van de aard en omvang van door betrokken partijen in het kader van de uitvoering van de Wlz elektronisch uit te wisselen gegevens te voorzien in het stellen van nadere regels bij Ministeriele regeling en een en ander niet over te laten aan regeling bij convenant door betrokken partijen. Overige opmerkingen In de advisering over de Wlz heeft het CBP aangegeven dat het van belang is dat in de Wlz wordt voorzien in voldoende afbakening van de gegevensverwerking die in verband met specifieke taken van bepaalde instanties noodzakelijk is te achten. In het onderhavige Besluit worden op dit punt geen nadere bepalingen opgenomen. In artikel 9.1.2 eerste lid Wlz wordt de gegevensverstrekking tussen de ketenpartijen van de Wlz geregeld. In dit eerste lid worden de actoren genoemd die de gegevens onderling verstrekken. In de Memorie van Toelichting (MvT) wordt (p. 151/152) aangegeven dat uit oogpunt van kenbaarheid de doelen voor de gegevensverwerking ook in de Wlz expliciet zijn opgenomen en dat hierbij allereerst is uitgegaan van de primaire processen van de keten, maar ook specifieke doelen worden genoemd in het kader van de goede uitvoering en beheersbaarheid van deze wet. Het achtste lid biedt een grondslag om bij ministeriele regeling te bepalen tot welke gegevens de verplichting zich uitstrekt en op welke wijze dit wordt vormgegeven. In die Regeling langdurige zorg zullen dus nog belangrijke aspecten van de verwerking van persoonsgegevens bij uitvoering van de Wlz moeten worden uitgewerkt. Omdat de inhoud van die Regeling nog niet bekend is, is het voor het CBP vooralsnog niet mogelijk om een (totaal-)beeld te krijgen van de bij of krachtens de Wlz geboden waarborgen voor een zorgvuldige verwerking van persoonsgegevens bij de uitvoering van de Wlz. Het CBP adviseert ook de desbetreffende ministeriele regelingen ter advisering aan het CBP aan te bieden.
BLAD
5
DATUM ONS KENMERK
1 juli 2014 z2014-00301
Advies Het CBP heeft bezwaren tegen de inhoud van het onderhavige Besluit en adviseert u dit Besluit niet aldus in te voeren. Hoogachtend, Het College bescherming persoonsgegevens, Voor het College,
mr. W.B.M. Tomesen Lid van het College
BLAD
6
