Verplichte vermelding van zorgactiviteiten op nota's voor. juridisch onderzoek voor de Nederlandse Zorgautoriteit

Verplichte vermelding van zorgactiviteiten op nota's voor medisch-specialistische zorg juridisch onderzoek voor de Nederlandse Zorgautoriteit

Rolf de Groot, Reimer Veldhuis, Joris Rijken, Marte van Graafeiland 25 oktober 2013

Alle werkzaamheden worden verricht op grond van een overeenkomst van opdracht met de naamloze vennootschap Pels Rijcken & Droogleever Fortuijn N.V. gevestigd te Den Haag en ingeschreven in het Handelsregister onder nr. 27283716. Op de overeenkomst zijn de algemene voorwaarden van toepassing, die zijn gedeponeerd ter griffie rechtbank Den Haag onder nr. 27/2013. Daarin is een aansprakelijkheidsbeperking opgenomen. De algemene voorwaarden worden op verzoek toegezonden of zijn te raadplegen op www.pelsrijcken.nl. Kwaliteitsrekening notariaat NL72ABNA0213013495. Rekening Stichting Beheer Derdengelden Advocatuur Pels Rijcken & Droogleever Fortuijn NL68ABNA0257546073.

2/43

Inhoud

Samenvatting

3

1

Inleiding

5

1.1

Vraagstelling

5

1.2

Onderzoeksopzet

5

1.3

Grenzen van het onderzoek

6

1.4

Plan van behandeling

6

2

Juridisch kader

8

2.1

Inleiding

8

2.2

Wet bescherming persoonsgegevens

8

2.3

Zorgverzekeringswet

10

2.4

Wet marktordening gezondheidszorg

14

2.5

Rechtspraak

14

2.6

Oordelen toezichthouders

16

3

Huidige toepassing

20

3.1

Inleiding

20

3.2

Prestatie- en tariefregulering

20

3.3

Regels informatieverstrekking

21

3.4

Uitvoering

22

4

Voorgenomen toepassing

26

4.1

Inleiding en doelstellingen

26

4.2

Tariefregulering

26

4.3

Regels informatieverstrekking

27

4.4

Uitvoering

27

5

Beoordeling

29

5.1

Grondslag

29

5.2

Evenredigheid

31

5.3

Verdere verwerking door zorgverzekeraars?

39

5.4

Waarborgen ten aanzien van betrokkenen

39

5.5

Waarborgen ten aanzien van het gebruik

41

6

Slot

43

Pels Rijcken & Droogleever Fortuijn advocaten en notarissen

3/43

Samenvatting Algemeen a

Het vermelden van (een deel van) de zorgactiviteiten op de zorgnota betekent een extra uitwisseling van medische gegevens tussen de zorgaanbieder en de zorgverzekeraar.

b

Gelet op de Wet Bescherming Persoonsgegevens (Wbp) zal voor deze verwerking van bijzondere persoonsgegevens een juridische grondslag moeten bestaan.

c

Verder zal de verwerking moeten voldoen aan de eisen van proportionaliteit en subsidiariteit waarbij passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer. Juridische grondslag

d

Er bestaat een afdoende juridische grondslag voor het vermelden van (een deel van) de zorgactiviteiten op de zorgnota.

e

De vergroting van het kostenbewustzijn van verzekerden kan niet zozeer als een (in de Regeling zorgverzekering omschreven) op zich zelfstaand doel worden beschouwd, maar veeleer als een gewenst effect van het vergroten van de controlemogelijkheden van de verzekerde.

f

Voor de andere twee doelen – effectievere controle van de nota door de patiënt en de zorgverzekeraar – bestaat een afdoende grondslag. Aangezien voor die doelen dezelfde verwerkingen plaatsvinden, zal het verhogen van het kostenbewustzijn wel een nuttig neveneffect kunnen zijn van het vermelden van de zorgactiviteiten op de zorgnota. Evenredigheid

g

Het vermelden van zorgactiviteiten op de nota levert een wezenlijke bijdrage aan het zwaarwegend algemeen belang de kosten in de zorg te beheersen, onder meer door fraude en oneigenlijk gebruik te bestrijden met als neveneffect dat het kostenbewustzijn van de patiënt wordt verhoogd.

h

Met de gegevens die nu al op de nota worden vermeld, in het bijzonder de combinatie van het DBC-zorgproduct en de typerende diagnose, wordt de essentie van de gezondheidstoestand van de patiënt in beeld gebracht. Het vermelden van de


4/43

zorgactiviteiten op de nota, hoewel zeker privacygevoelig, zal in de regel geen wezenlijk aanvullende informatie geven over de gezondheidstoestand van de patiënt. i

Bezien tegen deze achtergrond voldoet de privacyinbreuk die gemoeid is met het vermelden van de zorgactiviteiten op de nota in het algemeen aan de eisen van proportionaliteit en subsidiariteit.

j

Deze conclusies over evenredigheid zijn geformuleerd voor het geheel van de medischspecialistische zorg. Het is niet uit te sluiten dat voor onderdelen van deze zorg de vermelding van de beoogde zorgactiviteiten op de nota (i) wel wezenlijk aanvullende informatie geven over de gezondheidstoestand van de patiënt of (ii) geen bijdrage kan leveren aan de beheersing van de kosten van zorg.

k

Dit juridische onderzoek is niet geschikt om dergelijke uitzonderingen ‘op te sporen’. De opsporing daarvan is wel noodzakelijk. Voordat de definitieve lijst van te vermelden zorgactiviteiten wordt vastgesteld, adviseren wij de NZa daarom nader onderzoek te (laten) doen.

l

In bijzondere gevallen kan de vermelding van zorgactiviteiten op de nota een onevenredige inbreuk maken op de privacy van de patiënt. Wij adviseren voor dergelijke gevallen in een individuele afwijkingsmogelijkheid te voorzien. Waarborgen

m

Voor wat betreft de overige waarborgen kan worden aangesloten bij de waarborgen die ook thans al van toepassing zijn op de verwerkingen van de gegevens op de zorgnota. Deze waarborgen moeten zich mede uitstrekken tot de verwerkingen van de op de zorgnota vermelde zorgactiviteiten.


5/43

1

Inleiding

1.1

Vraagstelling De Nederlandse Zorgautoriteit (hierna: NZa) heeft besluiten genomen tot het wijzigen van de Regeling medisch-specialistische zorg. Als gevolg van deze besluiten zullen aanbieders van medisch-specialistische zorg met ingang van 1 januari 2014 bepaalde geregistreerde zorgactiviteiten op nota’s voor DBC-zorgproducten moeten vermelden.1 De NZa heeft verzocht een juridisch advies uit te brengen over de privacyaspecten van deze besluiten. Meer in het bijzonder heeft de NZa gevraagd: -

de extra uitwisseling van gegevens als gevolg van de besluiten te toetsen aan de Wet bescherming persoonsgegevens en relevante jurisprudentie,

-

te beschrijven welke maatregelen zorgverzekeraars zouden moeten nemen om de ontvangen gegevens te beschermen en

1.2

eventueel aanbevelingen te doen aan de NZa.

Onderzoeksopzet De opzet van het onderzoek is op 30 augustus 2013 gepresenteerd aan en besproken met de NZa. Het onderzoek heeft bestaan uit twee delen: bureauonderzoek en een expert meeting. In het bureauonderzoek hebben wij de weten regelgeving bestudeerd die relevant is voor de onderzoeksvraag. Ook hebben wij onderzoek gedaan naar rechtspraak en oordelen van privacytoezichthouders. De expert meeting heeft plaatsgevonden op 16 september 2013. Bij deze bijeenkomst waren vertegenwoordigers aanwezig van NZa, VWS, NVZ, NFU, ZKN, OMS, Fenac, RN en DBC-Onderhoud.2 Actiz reageerde schriftelijk op de vragen die ter voorbereiding op de expertmeeting aan de genodigden zijn verzonden.3 Voor de expert meeting waren ook vertegenwoordigers van de NPCF uitgenodigd; zij waren niet aanwezig.4 Op 23 september 2013 hebben wij het conceptrapport aan de NZa gezonden; dit concept is op 30 september 2013 besproken. Vervolgens heeft de NZa het conceptrapport aan de adviescommissie Cure voorgelegd. De NPCF en ZN hebben een

1

Circulaire 12 april 2013 (CI/13/17c); circulaire 23 juli 2013 (CI/13/28c). NVZ: Nederlandse Vereniging van Ziekenhuizen, NFU: Nederlandse Federatie van Universitaire medische centra, ZKN: Zelfstandige Klinieken Nederland, OMS: Orde van Medisch Specialisten, Fenac: Nederlandse Federatie van Audologische Centra, RN: Revalidatie Nederland. 3 Actiz: brancheorganisatie van aanbieders van onder meer geriatrische revalidatiezorg. 4 NPCF: Nederlandse Patiënten en Consumenten Federatie. 2


6/43

schriftelijke reactie gegeven.5 Het definitieve rapport is op 25 oktober 2013 aan de NZa aangeboden. 1.3

Grenzen van het onderzoek De vraagstelling brengt mee dat het onderzoek – zoals elk juridisch onderzoek – begrensd is. In de eerste plaats richt het onderzoek zich op de verstrekking van gegevens over zorgactiviteiten door zorgaanbieders aan zorgverzekeraars. De verdere verstrekking van deze gegevens aan verzekerden behoort niet tot de vraagstelling. Omdat deze verdere verstrekking van belang is voor de met de besluiten van de NZa beoogde doelstellingen, zullen wij daaraan wel aandacht besteden. Een volledige analyse van de voorwaarden waaronder deze verstrekking kan plaatsvinden, is in dit rapport niet uitgevoerd. In de tweede plaats ziet de onderzoeksvraag op de extra gegevensverstrekking die zal plaatsvinden als gevolg van de besluiten van de NZa: de vermelding van zorgactiviteiten op nota’s voor medisch-specialistische zorg. Deze nota’s vermelden nu ook al privacygevoelige informatie, zoals het relevante DBC-zorgproduct en de typerende diagnose. De verstrekking van deze informatie wordt niet aan een juridische beoordeling onderworpen; wij gaan er, met andere woorden, vanuit dat deze verstrekking rechtmatig is. Eventuele aanbevelingen hebben om die reden dan ook uitsluitend betrekking op het vermelden van de zorgactiviteiten. Wij hebben als onderdeel van het bureauonderzoek kennis genomen van een juridisch onderzoeksrapport over dit onderwerp.6 In de derde plaats behoort de medisch-specialistische zorg voor een groot deel tot de te verzekeren prestaties van de Zorgverzekeringswet. Het juridische kader voor de verstrekking van gegevens over niet-verzekerde zorg is niet helemaal hetzelfde als dat voor verzekerde zorg. Wij zullen in het rapport steeds de verzekerde zorg als uitgangspunt nemen. Op enkele plaatsen zal worden nagegaan of de daarvoor getrokken conclusies ook gelden voor niet-verzekerde zorg.

1.4

Plan van behandeling Dit rapport beschrijft het onderzoek en de uitkomsten daarvan. In hoofdstuk 2 wordt het juridische kader beschreven. Daarin komen de relevante weten regelgeving (§ 2.2-2.4), rechtspraak (§ 2.5) en oordelen van toezichthouders (§ 2.6) aan de orde.

5

Brief van 10 oktober 2013 van de NPCF aan de NZa resp. e-mail van 18 oktober 2013 van ZN aan de NZa. Meijer, Hooghiemstra en Groenewegen, DOT en privacy, Het Expertise Centrum 2010 (rapport uitgebracht aan het ministerie van VWS). 6


7/43

Hoofdstuk 3 beschrijft de huidige toepassing van deze weten regelgeving. Aan de orde komen de relevante besluiten van de NZa (§ 3.2 en 3.3) en de wijze waarop daaraan in de praktijk uitvoering wordt gegeven (§ 3.4). Deze laatste paragraaf is grotendeels gebaseerd op de expert meeting. Hoofdstuk 4 beschrijft de verwachte toepassing van deze weten regelgeving, wanneer de besluiten van de NZa in werking zullen zijn getreden. De indeling van dit hoofdstuk is dezelfde als die van hoofdstuk 3. Hoofdstuk 5 bevat onze juridische beoordeling. Deze beoordeling valt uiteen in enkele onderwerpen: de grondslag voor de gegevensverstrekking (§ 5.1), evenredigheid (§ 5.2) en waarborgen (§ 5.4-5.5).


8/43

2

Juridisch kader

2.1

Inleiding In dit hoofdstuk komt de wetgeving aan de orde die van belang is voor het onderzoek: de Wet bescherming persoonsgegevens (§ 2.2), de Zorgverzekeringswet (§ 2.3) en de Wet marktordening gezondheidszorg (§ 2.4). In § 2.5 wordt relevante rechtspraak behandeld. In § 2.6 komen oordelen van het College bescherming persoonsgegevens en de Article 29-Working Group aan de orde.

2.2

Wet bescherming persoonsgegevens De Wet bescherming persoonsgegevens (hierna: Wbp) geeft regels voor het verrichten van handelingen met betrekking tot persoonsgegevens, zoals het verzamelen, vastleggen, raadplegen, verstrekken en bewaren daarvan. De Wbp spreekt ook wel over ‘verwerking’ van persoonsgegevens. Nu met de beoogde toevoeging van zorgactiviteiten aan de zorgnota (meer) persoonsgegevens worden verwerkt, is de Wbp daarop van toepassing. Iedere verwerking van persoonsgegevens moet een ‘grondslag’ hebben. De Wbp bevat een aantal mogelijke grondslagen voor verwerkingen.7 Eén van deze grondslagen is dat de verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is.8 Een andere algemene regel voor de verwerking van persoonsgegevens is dat inbreuk die op de belangen van de betrokkene wordt gemaakt niet onevenredig mag zijn in verhouding tot het doel dat met de verwerking van de persoonsgegevens wordt gediend (‘proportionaliteit’). Bovendien mag het doel niet op een voor de betrokkene minder bezwarende wijze kunnen worden bereikt. Is dat wel het geval, dan moet voor die minder bezwarende wijze worden gekozen (‘subsidiariteit’).9 Verder is van belang dat persoonsgegevens niet verder mogen worden verwerkt, dat wil zeggen voor een ander doel dan waarvoor zij zijn verkregen, als dat onverenigbaar is met het doel waarmee ze zijn verkregen.10

7

Artikel 8 Wbp. De verantwoordelijke is kort gezegd degene die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (art. 1 aanhef en onder d Wbp). Het is dus degene met "zeggenschap" over de persoonsgegevens. In dit geval is dat zowel de zorgaanbieder als de zorgverzekeraar. 9 Artikel 11 Wbp. 10 Artikel 9 Wbp. 8


9/43

Ook mogen persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de verwerkelijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt.11 Daarnaast is van belang dat de verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer dient te leggen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking.12 Degenen die onder het gezag van de verantwoordelijke handelen zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen (tenzij een wettelijk voorschrift tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit).13 Een laatste relevante algemene regel is dat de betrokkene door de verantwoordelijke moet worden geïnformeerd over de doelen van de gegevensverwerking, tenzij de betrokkene daarvan al op de hoogte is.14 Voor de verwerking van gegevens over iemands gezondheid geldt een belangrijke aanvullende regel: tenzij een beroep kan worden gedaan op één van de in de Wbp opgenomen uitzonderingen is de verwerking van dergelijke gegevens niet toegestaan.15 Voor onderhavig geval zijn drie uitzonderingsgronden van belang: 1.

Instellingen of voorzieningen voor gezondheidszorg mogen gezondheidsgegevens verwerken voor zover dat noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk.16 Bij beheer kan het in de eerste plaats gaan om het waarborgen van de kwaliteit van de verleende zorg. Daarnaast kunnen verwerkingen die rechtstreeks verband houden met de betaling van rekeningen voor medische behandeling tot ‘beheer’ worden gerekend.17

2.

Verzekeraars, waaronder zorgverzekeraars, mogen gezondheidsgegevens verwerken voor zover dat noodzakelijk is voor de uitvoering van de overeenkomst van verzekering.18

11 12 13 14 15 16 17 18

Artikel 10 Wbp. Artikel 13 Wbp. Artikel 12 Wbp. Artikel 33 en 34 Wbp. Artikel 16 e.v. Wbp. Artikel 21 lid 1 aanhef en onder a Wbp. Kamerstukken II 1997/98, 25 892, nr. 3, p. 110. Artikel 21 lid 1 aanhef en onder b Wbp.


10/43

3.

Gezondheidsgegevens mogen daarnaast worden verwerkt als dat noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald.19 De zinsnede ‘bij wet bepaald’ brengt met zich dat de verwerking van gezondheidsgegevens alleen mogelijk is als daar bij formele wet in is voorzien. Wel is het toegestaan om binnen het door de formele wetgever aangegeven kader bij algemene maatregel van bestuur of ministeriële regeling regels te stellen omtrent uitvoeringsaspecten die samenhangen met een dergelijke verwerking.20 Als de wetgever van oordeel is dat een bepaalde verwerking noodzakelijk is met het oog op een algemeen zwaarwegend algemeen belang en voor die verwerking een uitdrukkelijke wettelijke basis creëert, hoeft bij de toepassing van de regeling niet steeds opnieuw in concreto aan de betreffende norm te worden getoetst.21

2.3

Zorgverzekeringswet Verplichte verstrekking van ‘noodzakelijke persoonsgegevens’ De Zorgverzekeringswet (hierna: Zvw) bevat een aantal bepalingen over de verstrekking van gegevens.22 Eén van deze bepalingen bevat de verplichting voor zorgaanbieders die verzekerde zorg hebben verleend om ‘de persoonsgegevens van de verzekerde’ aan de zorgverzekeraar te verstrekken ‘die noodzakelijk zijn voor de uitvoering van de zorgverzekering of van [de Zvw]’. Deze verplichting heeft ook betrekking op ‘persoonsgegevens betreffende de gezondheid als bedoeld in de [Wbp]’.23 Als de zorgaanbieder de kosten van de verzekerde zorg op grond van een overeenkomst rechtstreeks aan de zorgverzekeraar in rekening kan brengen, moet hij de gegevens eveneens rechtstreeks aan de zorgverzekeraar ter beschikking stellen.24 Als de zorgaanbieder de kosten van de zorg aan de patiënt in rekening brengt, moet hij de gegevens aan deze ter beschikking stellen, zodat die ze op zijn beurt aan zijn zorgverzekeraar kan verstrekken.25

19

Artikel 23 lid 1 aanhef en onder e Wbp. De mogelijkheid dat deze verwerking plaatsvindt op basis van een ontheffing van het Cbp blijft hier buiten beschouwing. 20 Kamerstukken II 1997/98, 25 892, nr. 3, p. 125. 21 Kamerstukken II 1997/98, 25 892, nr. 3, p. 125. Vgl. CBb 11 februari 2010, ECLI:NL:CBB:2010:BL3730. 22 Hoofdstuk 7, artikelen 86 t/m 93 Zvw. 23 Artikel 87 lid 1 en 2 Zvw. 24 Artikel 87 lid 1 Zvw. 25 Artikel 87 lid 2 Zvw.


11/43

De toelichting op deze verplichting gaat onder meer in op de verhouding met de Wbp. De gegevens die de zorgverzekeraar nodig heeft om na te gaan of en, zo ja, in welke mate hij verleende zorg moet betalen of vergoeden, zijn per definitie persoonsgegevens betreffende de gezondheid. De Wbp voorziet in strikte regels voor de verwerking van deze gegevens. Hoewel deze regels het mogelijk maken de voor de uitvoering van zorgverzekering benodigde gegevens te verwerken, heeft de wetgever ervoor gekozen deze mogelijkheid ook in de Zvw op te nemen. Daarvoor bestaan drie redenen: 1.

omdat het om een privacy-gevoelig onderwerp gaat, is het goed om dit expliciet te regelen,26

2.

het medisch beroepsgeheim kan uitsluitend met een wettelijk voorschrift worden opzij gezet;27 de bepaling in de Zvw is zo’n wettelijk voorschrift en

3.

door de verstrekking van gegevens in de Zvw te regelen, kan aan de minister van VWS de bevoegdheid worden gegeven nadere voorwaarden te stellen.28

Nadere bepalingen in Zvw De verplichting tot het verstrekken van gegevens strekt zich ook uit tot personen die bij de zorgaanbieder werkzaam zijn.29 Medewerkers van de zorgverzekeraar, op wie niet al op grond van hun beroep (bijvoorbeeld dat van arts) een geheimhoudingsplicht rust, zijn op grond van de Zvw verplicht de van zorgaanbieders ontvangen gegevens geheim te houden.30 De Zvw bepaalt voor welke doeleinden zorgverzekeraars de ontvangen persoonsgegevens verder mogen verwerken. De verdere verwerking van de verstrekte gegevens moet noodzakelijk zijn voor: -

de betaling aan een zorgaanbieder of de vergoeding van zorgkosten aan een verzekerde,

-

de vaststelling van eigen bijdragen of het openstaande eigen risico,

-

het uitoefenen van het verhaalsrecht of

-

het verrichten van controle of fraudeonderzoek.31

26

In de Nota naar aanleiding van het verslag wordt artikel 87 Zvw aangeduid als 'lex specialis' van artikel 21 Wbp, dat gaat over de verwerking van persoonsgegevens over de gezondheid. Kamerstukken II 2004/05, nr, 7, p. 17. 27 Artikel 7:457 BW. 28 MvT Zvw, Kamerstukken II 2003/04, 29 763, nr. 3, p. 176-177. 29 Artikel 87 lid 4 Zvw. 30 Artikel 87 lid 5 Zvw. 31 Artikel 87 lid 6 aanhef en onder e Zvw.


12/43

De zorgverzekeraar mag de verstrekte gegevens niet gebruiken voor het beoordelen en accepteren van een aspirant-verzekerde voor een aanvullende ziektekostenverzekering.32 Nadere bepalingen in Regeling zorgverzekering De minister van VWS kan een aantal aspecten van de gegevensverstrekking nader regelen: -

de gegevens die ‘in ieder geval’ moeten worden verstrekt,

-

de wijze van gegevensverstrekking,

-

technische standaarden en beveiligingseisen en

-

doelen waarvoor de gegevens verder mogen worden verwerkt.33

De minister van VWS heeft van de bevoegdheid tot nadere regeling van deze onderwerpen gebruik gemaakt in de Regeling zorgverzekering (hierna: Rzv). 34 In de Rzv zijn de in de Zvw geformuleerde doeleinden voor het gebruik van verstrekte gegevens nader uitgewerkt. Deze gegevens mogen worden gebruikt voor het verrichten van formele en materiële controle ten behoeve van: -

de betaling aan een zorgaanbieder of de vergoeding van zorgkosten aan een verzekerde,

-

de vaststelling van eigen bijdragen of het openstaande eigen risico,

-

het uitoefenen van het verhaalsrecht of

-

het verrichten van controle of fraudeonderzoek.35

Onder ‘formele controle’ wordt verstaan een onderzoek waarbij de zorgverzekeraar nagaat: -

of de zorg is verleend aan een persoon die bij de zorgverzekeraar verzekerd is,

-

of de zorg behoort tot het verzekerde pakket,

-

of de zorgaanbieder bevoegd is de zorg te verlenen en

-

of voor de gedeclareerde prestatie het juiste bedrag in rekening is gebracht. 36

Onder ‘materiële controle’ wordt verstaan een onderzoek waarbij de zorgverzekeraar nagaat of de gedeclareerde prestatie echt geleverd (‘rechtmatigheid’) is en of die prestatie gezien de gezondheidstoestand van de verzekerde het meest was aangewezen (‘doelmatigheid’).37

32 33 34 35 36 37

Artikel 87 lid 6 aanhef en onder e Zvw. Artikel 87 lid 6 Zvw. Hoofdstuk 7, artikelen 7.1 t/m 7.10 Rzv. Artikel 7.1 lid 2 en 3 Rzv. Artikel 1 lid 1 aanhef en onder t Rzv. Artikel 1 lid 1 aanhef en onder u Rzv.


13/43

De Rzv bevat een lijst van persoonsgegevens waarover de zorgverzekeraar kan beschikken. Het gaat om de volgende gegevens: a.

naam, adres, postcode en woonplaats,

b.

polisnummer, BSN, geslacht en geboortedatum,

c.

de prestatiebeschrijving van de aan de verzekerde geleverde prestatie,

d.

wanneer de prestatie is geleverd,

e.

het voor de geleverde prestatie in rekening gebrachte tarief,

f.

de gegevens die op grond van een declaratieregeling moeten worden verstrekt,

g.

de gegevens die noodzakelijk zijn om vast te stellen of de prestatie behoort tot het verzekerde pakket van die verzekerde,

h.

het bank- of girorekeningnummer en

i.

overige gegevens die noodzakelijk zijn voor het verrichten van materiële controle dan wel fraudeonderzoek.38

Onder ‘prestatiebeschrijving’ (onderdeel c) wordt verstaan de beschrijving van een prestatie zoals die op grond van de Wet marktordening gezondheidszorg is vastgesteld of tussen de verzekerde en de zorgaanbieder is overeengekomen.39 Onder ‘declaratieregeling’ (onderdeel f) wordt verstaan een regeling van de NZa over de specificatie van rekeningen voor zorg.40 Deze regelingen worden hierna, onder 2.4, nader besproken. Gelijksoortige verplichting voor aanvullende ziektekostenverzekeringen De hiervoor beschreven verplichting heeft betrekking op zorg die behoort tot de te verzekeren prestaties van de Zvw. Voor zorg die niet tot deze prestaties behoort, kunnen consumenten een aanvullende ziektekostenverzekeringen sluiten. Om zeker te stellen dat verzekeraars ook over de gegevens kunnen beschikken die nodig zijn om dit soort verzekeringen uit te voeren, is voor aanvullende ziektekostenverzekeringen eenzelfde wettelijke verplichting als in de Zvw tot stand gebracht.41 Ook deze verplichting is in een ministeriële regeling uitgewerkt.42

38

Artikel 7.2 Rzv. Artikel 1 lid 1 aanhef en onder r Rzv. 40 Artikel 1 lid 1 aanhef en onder s Rzv verwijst naar artikel 38 lid 3 onder b van de Wet marktordening gezondheidszorg. 41 Artikel 68a Wet marktordening gezondheidszorg. Zie ook Kamerstukken II 2006/07, 30 918, nr. 3, p. 1718. 42 Regeling persoonsgegevens vrijwillige ziektekostenverzekeringen WMG. 39


14/43

2.4

Wet marktordening gezondheidszorg Medisch-specialistische zorg is onderworpen aan tariefregulering op grond van de Wet marktordening gezondheidszorg (hierna: Wmg). Besluiten over deze regulering worden genomen door de NZa. Twee centrale begrippen in de Wmg zijn ‘prestatie’ en ‘tarief’. Prestatie wordt in de Wmg gedefinieerd als ‘de levering van zorg door een zorgaanbieder (…)’, tarief als de ‘prijs voor een prestatie, een deel van een prestatie of een geheel van prestaties van een zorgaanbieder’.43 Als de NZa voor bepaalde zorg prestatiebeschrijvingen heeft vastgesteld, is het zorgaanbieders verboden tarieven voor andere dan deze prestatiebeschrijvingen te declareren.44 Als de NZa bij bepaalde prestatiebeschrijvingen tarieven heeft bepaald, is het zorgaanbieders verboden afwijkende tarieven te declareren.45 De Wmg verleent de NZa voorts de bevoegdheid regels te stellen over een enkele verwante onderwerpen: de administratie van zorgaanbieders en verzekeraars,46 het declaratieverkeer47 en informatieverstrekking door zorgaanbieders en verzekeraars.48 De regels van de NZa over informatieverstrekking door zorgaanbieders kunnen onder meer betrekking hebben op het ‘bekendmaken van tarieven’ en het ‘specificeren van op verrichte prestaties betrekking hebbende rekeningen’.49 Regelingen van de NZa over dit laatste onderwerp worden, zoals hiervoor onder 2.3 besproken, in de Rzv als ‘declaratieregeling’ aangeduid. De NZa is bevoegd om de hiervoor besproken regels te handhaven door middel van het geven van aanwijzingen, lasten onder dwangsom en bestuurlijke boetes.50

2.5

Rechtspraak Het College van Beroep voor het bedrijfsleven (hierna: CBb) heeft in drie uitspraken oordelen gegeven over de toelaatbaarheid van het vermelden van diagnose-informatie

43 44 45 46 47 48 49 50

Artikel 1 aanhef en onder j en k Wmg. Artikel 35 lid 1 aanhef en onder c en d Wmg. Artikel 35 lid 1 aanhef en onder a en b Wmg. Artikel 36 lid 3 Wmg. Artikel 37 Wmg. Artikelen 38 lid 3 en 7, 39 lid 2 en artikel 40 lid 4 jo. 38 lid 7 Wmg. Artikel 38 lid 3 Wmg. Artikelen 76 lid 1, 82 en 85 Wmg.


15/43

op nota’s als gevolg van de vaststelling van diagnose-behandelingcombinaties (hierna: DBC’s) als prestaties voor geestelijke gezondheidszorg.51 Het CBb heeft geoordeeld dat de verplichting om diagnose-informatie op nota’s te vermelden, zoals die in de geestelijke gezondheid gold, niet toelaatbaar is. De – sterk samengevatte – overwegingen van het CBb zijn de volgende: -

de NZa is, ook gelet op artikel 8 EVRM, gehouden bij haar besluitvorming het subsidiariteitsbeginsel in ogenschouw te nemen; 52

-

de NZa heeft de belangen die met deze verplichting worden gediend, te weten de controle van geleverde prestaties en het ‘inkopen’ van zorg, voldoende aangetoond;53

-

tegenover deze belangen staan echter zwaarwegende privacybelangen;54

-

informatie over psychische diagnoses is in het algemeen privacygevoeliger dan informatie over somatische diagnoses, mede vanwege de ‘stigmatisering’ van patiënten met een psychische aandoening en de negatieve effecten die het bekend worden van de diagnose op de behandeling van een patiënt met een psychische aandoening kan hebben;55

-

van belang is dat de informatie op nota’s van zorgaanbieders bij de zorgverzekeraars onder ogen komen van ‘een, onbepaalde en mogelijk grote, groep medewerkers […] voor wie geen medisch beroepsgeheim geldt en die niet onder de werking van het medisch tuchtrecht vallen’;56

-

bij haar besluitvorming moet de NZa voorts in ogenschouw nemen, dat 1.

aan de opslag van gegevens gedigitaliseerde informatiesystemen hoe dan ook risico’s zijn verbonden,

2.

patiënten de omvang van deze risico’s verschillend inschatten en

3.

wanneer een patiënt dit risico als groot inschat, dit negatieve consequenties voor zijn behandeling kan hebben;57

-

voor patiënten die hun behandeling zelf betalen spelen de belangen bij vermelding van diagnose-informatie geen rol.58

Het CBb komt daarom tot de slotsom dat een verplichting tot vermelding van diagnose-informatie op nota’s in de geestelijke gezondheidszorg, zonder dat daarbij uitzonderingen zijn gemaakt voor patiënten die de behandeling zelf betalen en voor

51

CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056; CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297; CBb 21 maart 2013, ECLI:NL:CBB:2013:BZ6194. 52 CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o. 5.9. 53 CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o. 2.4.4.2. 54 CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o. 2.4.4.3. 55 CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o. 5.26. 56 CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o. 2.4.4.4. 57 CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o. 5.19. 58 CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o. 2.4.4.6.


16/43

patiënten die tegen deze vermelding bezwaar maken, in strijd is met het evenredigheidsbeginsel.59 De NZa heeft de verplichting tot het vermelden van diagnose-informatie voor de geestelijke gezondheidszorg vervolgens zo aangepast, dat die niet langer geldt voor: 1.

patiënten die aan hun zorgaanbieder te kennen geven dat zij de behandeling zelf zullen betalen en

2.

patiënten die samen met de zorgaanbieder een ‘privacyverklaring’ hebben ondertekend en deze verklaring aan de zorgverzekeraar hebben verstrekt.

Het CBb heeft de aldus vormgegeven verplichting geaccepteerd.60 2.6

Oordelen toezichthouders Oordelen Cbp Het Cbp heeft in de afgelopen tien jaar een aantal adviezen uitgebracht over onderwerpen die relevant zijn voor dit advies. Deze adviezen worden hierna kort samengevat. Een aantal adviezen van het Cbp heeft betrekking op het hanteren van DBC’s als prestatie voor geestelijke gezondheidszorg.61 Het ministerie van VWS heeft, na eerdere consultatie van het Cbp, het voorstel gedaan om in het kader van de DBCsystematiek bij kortdurende ambulante zorg en klinische zorg geen diagnoseinformatie op declaraties te vermelden en bij langdurige ambulante zorg wel diagnoseinformatie op de declaraties te vermelden. Het Cbp heeft met dit voorstel ingestemd.62 Over een later voorstel tot wijziging van de DBC-systematiek heeft het Cbp geen advies uitgebracht.63 Het Cbp heeft twee adviezen uitgebracht over de DBC-systematiek in de somatische medisch-specialistische zorg.64 Het Cbp heeft in de eerste plaats geadviseerd over een voorgestelde aanvulling van de Ziekenfondswet met een bepaling die sterk lijkt op artikel 87 Zvw.65 Het Cbp kan zich met de voorgestelde bepaling verenigen, zolang in

59

CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o. 5.39 en 5.41. CBb 21 maart 2013, ECLI:NL:CBB:2013:BZ6194. 61 Advies Cbp 2 november 2005, kenmerk Z2005-1144; advies Cbp 18 september 2006, kenmerk Z200600205; advies Cbp 6 december 2006, kenmerk Z2006-00205; advies Cbp 26 april 2007; kenmerk Z200700330. Alle adviezen zijn te raadplegen op www.cbpweb.nl. 62 Advies Cbp 6 december 2006, kenmerk Z2006-00205. 63 Advies Cbp 26 april 2007, kenmerk Z2007-00330. 64 Advies Cbp 10 februari 2004, kenmerk Z2003-1433; advies Cbp 12 februari 2007, kenmerk Z2006-828. Beide adviezen zijn te raadplegen via www.cpbweb.nl. 65 Het voorgestelde artikel 73a Ziekenfondswet is nooit in werking getreden, naar valt aan te nemen door de inwerkingtreding van de Zvw op 1 januari 2006. 60


17/43

de voorgestelde ministeriële regeling nader zal worden gespecificeerd welke gegevens kunnen worden verstrekt. Het Cbp heeft in de tweede plaats geadviseerd over de DBC-systematiek zelf. Bij de voorbereiding daarvan heeft een werkgroep, geadviseerd door het Cbp, een toetsingskader opgesteld aan de hand waarvan beoordeeld kan worden of de verstrekking van diagnose-informatie aan ziekenfondsen (thans zorgverzekeraars) noodzakelijk is. Aan de hand van het toetsingskader zou periodiek een lijst van DBC’s worden samengesteld waarvan het noodzakelijk is dat de zorgaanbieder diagnoseinformatie op de declaratie vermeldt. Het Cbp stemt met deze benadering in. Het Cbp merkt daarbij op dat naar zijn oordeel de toepassing van het toetsingskader ertoe moet leiden dat steeds minder diagnose-informatie op declaraties wordt vermeld. Door deze ‘vergroving’ van de te verstrekken informatie vermindert de privacygevoeligheid van het DBC-systeem.66 In een later advies aan het ministerie van VWS wijst het Cbp erop dat deze ‘vergroving’ een uitdrukkelijke voorwaarde was voor haar instemming met de DBC-systematiek en dat de ‘vergroving’ naar zijn mening onvoldoende plaats vond.67 Het Cbp heeft in 2011 een oordeel gegeven over de ‘Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars’ van de brancheorganisatie Zorgverzekeraars Nederland.68 In reactie op een zienswijze van Stichting De Koepel, een van de partijen in de procedures bij het CBb over de DBC-systematiek in de geestelijke gezondheidszorg, heeft het CBp opgemerkt dat ‘in de [Rzv] is voorzien in de vereiste grondslag voor verwerking van medische persoonsgegevens ten behoeve van materiële controle’. Omdat de Gedragscode niet de grondslag vormt voor deze verwerking, oordeelt het Cbp dat een zienswijze over deze Gedragscode niet de geëigende plaats is om bezwaren te maken tegen de Rzv. Naar het oordeel van het Cbp is de Gedragscode overigens in overeenstemming met de Rzv. Het Cbp komt tot de slotsom dat de Gedragscode een juiste uitwerking vormt van de Wbp en andere wettelijke bepalingen over de verwerking van persoonsgegevens.

66

Advies Cbp 10 februari 2004, kenmerk Z2003-1433, p. 3-4. Advies Cbp 12 februari 2007, kenmerk Z2006-828. 68 De Gedragscode, het bijbehorende Protocol materiële controle en het oordeel van het Cbp zijn te raadplegen via www.cbpweb.nl. 67


18/43

Oordelen Article 29-Working Group De Wbp vormt een uitvloeisel van de Europese privacyrichtlijn.69 Deze richtlijn bepaalt dat het verbod om bijzondere persoonsgegevens te verwerken niet van toepassing is wanneer de verwerking van de gegevens noodzakelijk is voor de doeleinden van preventieve geneeskunde of medische diagnose, het verstrekken van zorg of behandelingen of het beheer van gezondheidsdiensten.70 Daarop is de hiervoor besproken grond in de Wbp gebaseerd dat instellingen of voorzieningen voor gezondheidszorg gezondheidsgegevens mogen verwerken voor zover dat noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk. In artikel 29 van de privacyrichtlijn is bepaald dat een Groep wordt ingesteld voor de bescherming van personen in verband met de verwerking van persoonsgegevens. Die Groep, ook wel de Article 29-Working Group genoemd, bestaat onder andere uit vertegenwoordigers van de door iedere lidstaat aangewezen toezichthoudende autoriteiten (voor Nederland: het Cbp) en heeft onder meer tot taak een uniforme toepassing van de principes uit de privacyrichtlijn te bewerkstelligen. In dat verband brengt de Article 29-Working Group meer adviezen en zogenaamde ‘working papers’ uit. In 2007 heeft de groep een working paper uitgebracht over het elektronisch patiëntendossier.71 In genoemde working paper is over de hiervoor besproken bepaling in de richtlijn opgemerkt dat ook factureren (‘invoicing’) onder het bereik daarvan valt.72 Niet gedekt is echter ‘further processing which is not required for the direct provision of such services [gezondheidsdiensten], such as (…) the subsequent reimbursement of costs by a sickness insurance scheme.’ Ook buiten het bereik van het artikellid vallen ‘some other processing operations in areas such as public health and social protection, especially in order to ensure the quality and cost-effectiveniss of the procedures used for settling claims for benefits and services in the health insurance system’.

69

Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. 70 Artikel 8 lid 3 privacyrichtlijn. 71 Working Document on the processing of personal data relating to health in electronic health records (EHR), 00323/07/EN WP 131. 72 "This derogation only covers processing of personal data for the specific purpose of providing health-related services of a preventive, diagnostic, therapeutic of after-care nature and for the purpose of the management of these healthcare services, e.g. invoicing, accounting or statistics."


19/43

Het waarborgen van kwaliteit en rentabiliteit met betrekking tot de procedures voor de afwikkeling van aanvragen voor uitkeringen en diensten in het kader van de ziektekostenverzekering valt volgens de Groep namelijk onder de equivalent van de bepaling in de Wbp die verwerkingen mogelijk maakt die noodzakelijk zijn met het oog op een zwaarwegend algemeen belang. In de working paper wordt verder nog opgemerkt dat verwerking van de gezondheidsgegevens met een ander doel dan genoemd in de richtlijn in principe verboden is en dat voldaan moet worden aan strenge beveiligingseisen.


20/43

3

Huidige toepassing

3.1

Inleiding In dit hoofdstuk worden de tariefregulering en de regels over informatieverstrekking beschreven die op dit moment gelden voor medisch-specialistische zorg. Ook wordt beschreven hoe deze regelgeving in de praktijk wordt uitgevoerd. Dit laatste onderdeel is gebaseerd op de expert meeting van 16 september 2013.

3.2

Prestatie- en tariefregulering Vanaf 1 januari 2012 kunnen tarieven in rekening worden gebracht voor zg. DBCzorgproducten en voor zg. overige zorgproducten.73 Een DBC-zorgproduct omvat het geheel van activiteiten en verrichtingen waarvoor kosten- en honorariumbedragen gelden die zowel alle kosten van het ziekenhuis als het honorarium van de medisch specialist omvatten.74 De NZa heeft circa 4.400DBC-zorgproducten vastgesteld. Enkele voorbeelden van DBC-zorgproducten zijn: DBC-

consumentenomschrijving

zorgproductcode 972802102

operatie (met 6 tot maximaal 28 verpleegligdagen) bij een aandoening van het zenuwstelsel

979001200

bypass operatie bij een aandoening van hart en/ of long(vaten)

990022067

basisbehandeling met psychosociale behandeling (meer dan 6 verpleegligdagen) bij COPD

070601020

laserbehandeling bij glaucoom

Het proces dat leidt tot het in rekening brengen van een tarief begint met het openen van een zorgtraject en een subtraject.75 Beide zijn voorgeschreven administratieve handelingen die worden verricht door of in opdracht van de medisch specialist.76

73

Op dit moment geldt de Prestatie- en tariefbeschikking DOT van 25 april 2013 (nr. TB/CU-2011-02). De overige producten blijven hier verder buiten beschouwing. 74 De omschrijving is ontleend aan artikel 11 van de Beleidsregel prestaties en tarieven medisch specialistische zorg (BR/CU-2104). 75 Zie voor de definities van zorgtraject en subtraject Beleidsregel prestaties en tarieven medisch specialistische zorg (BR/CU-2104), onder 8.37 en 8.28. 76 De hiervoor geldende regels zijn neergelegd in de Regeling medisch specialistische zorg (NR/CU-228).


21/43

Na opening van zorgtraject en subtraject worden de diagnose en de daadwerkelijk verleende zorg vastgelegd aan de hand van een door de NZa vastgestelde lijst van zorgactiviteiten.77 Na afloop van de behandeling worden subtraject(en) en zorgtraject automatisch gesloten. Ook dit zijn voorgeschreven administratieve handelingen die plaatsvinden onder verantwoordelijkheid van de medisch specialist.78 Vervolgens moet worden bepaald welk tarief voor het DBC-zorgproduct in rekening kan worden gebracht. Het toepasselijke DBC-zorgproduct wordt afgeleid uit de geregistreerde diagnose en de geregistreerde zorgactiviteiten. Deze afleiding vindt plaats door middel van een zg. grouper. Een grouper is een centrale landelijke computer die vanuit het Ziekenhuis Informatie Systeem via internet te benaderen is en die uit de in het ziekenhuis vastgelegde informatie het declarabele DBC-zorgproduct (of andere declarabele prestatie) afleidt.79 De afleiding geschiedt door middel van een beslisboom die voldoet aan de voorwaarden zoals in de regelgeving van de NZa is opgenomen80 (en die door middel van een grouper wordt toegepast). Staat het te declareren DBC-zorgproduct vast, dan wordt daarvoor hetzij het met de verzekeraar afgesproken tarief dan wel het passantentarief in rekening gebracht. 3.3

Regels informatieverstrekking De NZa heeft regels gesteld over de informatie die aanbieders van medischspecialistische zorg op de declaratie moeten vermelden.81 Declaraties van DBC-zorgproducten moeten onder meer de volgende gegevens bevatten: -

DBC-zorgproduct startdatum,

-

DBC-zorgproduct einddatum,

-

zorgtype (initieel, vervolg, intercollegiaal consult),

-

(typerende) diagnose,

-

DBC-declaratiecode,

-

kostenbedrag (tarief voor de kosten van de zorgaanbieder) en honorariumbedrag (tarief voor de honoraria van medisch specialisten),

-

DBC-zorgproductcode,

77

Artikel 5.3 Regeling medisch specialistische zorg (NR/CU-228). Zie voor de gedetailleerde regels artikelen 8 en 9 Regeling medisch specialistische zorg (NR/CU-228). 79 Zie voor de definitie van de grouper artikel 4.13 Regeling medisch specialistische zorg (NR/CU-228). Het is ook mogelijk dat de bewerkingen van de grouper de uitkomst hebben dat er geen prestatie kan worden gedeclareerd (‘uitval’). 80 Artikel 12 Regeling medisch specialistische zorg (NR/CU-228). 81 Deze regels zijn gebaseerd op artikel 38 lid 3 onder b Wmg. 78


22/43

-

code uitvoerend specialisme (bijvoorbeeld: interne geneeskunde),

-

consumentenomschrijving DBC-zorgproduct,

-

type verwijzer (bijvoorbeeld: gemeld zonder verwijzing, verwezen door huisarts, verwezen door ander specialisme, verwezen door andere aanbieder van medischspecialistische zorg),

-

afsluitreden DBC-zorgproduct en

-

wel/geen machtiging van zorgverzekeraar vereist.82

De onderstreepte categorieën ‘DBC-zorgproductcode’ en ‘consumentenomschrijving’ zijn hiervóór toegelicht en van voorbeelden voorzien. Bij de categorie ‘(typerende) diagnose’ moet op de nota worden aangeduid welke diagnose het best de aandoening beschrijft waarvoor de patiënt is behandeld, die de medisch specialist heeft vastgelegd en die is gebruikt in de afleiding van het DBC-zorgproduct. Daarvoor wordt gebruik gemaakt van een ‘typeringslijst’, die bestaat uit bijna 2.500 diagnoses, verdeeld over de verschillende medische specialismen.83 3.4

Uitvoering Zorgaanbieders In het registratie- en declaratieproces van verleende zorg verwerken diverse personen binnen de zorgaanbieder diverse persoonsgegevens. Patiënten worden aangemeld door medewerkers van de poliklinieken of de spoedeisende eerste hulp (SEH). In dat verband worden hun NAW-gegevens, geslacht en geboortedatum verwerkt. Diezelfde gegevens worden, samen met verzekeringsgegevens en de naam van de huisarts, verwerkt door medewerkers van de patiëntenadministratie of SEH, die de patiënten inschrijven. Met gebruikmaking van NAW-gegevens wordt vervolgens een afspraak gepland. Bij het eerste contact met een patiënt registreren de medewerkers van de poliklinieken de datum van de verwijzing en het verwijzertype op basis van een verwijsdocument. Daarbij zien zij alle NAWgegevens. De medisch specialisten registreren de (startdatum van de) zorgvraag, de diagnose en registreren de zorgactiviteiten of laten deze registreren. De personen die tijdens het zorgtraject ondersteuning verlenen, zoals verpleegkundigen, OK-personeel, doktersassistenten, laboranten etc. zien alleen die gegevens die noodzakelijk zijn voor de uitvoering van hun functie. Datzelfde geldt voor de personen die belast zijn met de

82

Artikel 17.1 Regeling medisch-specialistische zorg (NR/CU-228). Zie voor de typeringslijst bijlage 2 bij de beleidsregel prestaties en tarieven medisch specialistische zorg (BR/CU-2104). 83


23/43

administratieve ondersteuning tijdens en na het zorgtraject en voor de functioneel beheerders van de zorgadministratieve systemen. De medewerkers van de debiteurenadministratie hebben toegang tot alle informatie die via de nota naar de zorgverzekeraar of de patiënt wordt verstuurd. 84 In de praktijk zien zij, gelet op het feit dat facturatie op geautomatiseerde wijze plaatsvindt, alleen uitgevallen nota’s en nota’s die door de zorgverzekeraar zijn afgewezen. In ieder geval in theorie bestaat de mogelijkheid dat een patiënt de ontvangen nota niet ter vergoeding indient bij zijn zorgverzekeraar. Bij deze ‘zelfbetalers’ eindigt het declaratieproces wanneer de patiënt de nota heeft ontvangen en betaald. Er is dan geen betrokkenheid van de zorgverzekeraar. Zorgverzekeraars Uit de Uniforme Maatregel 06 ‘Privacy afhandeling declaraties’ van de brancheorganisatie Zorgverzekeraars Nederland blijkt nog het volgende.85 Tussen zorgverzekeraars en zorgaanbieders is afgesproken dat het declaratieverkeer zoveel mogelijk elektronisch plaatsvindt. Dit betekent dat declaraties in de systemen van de verzekeraars worden ingelezen en verder automatisch worden afgehandeld. Dit heeft ertoe geleid dat in de praktijk circa 95% elektronisch, zonder tussenkomst van mensen, wordt verwerkt. Worden nota’s per post ontvangen (in de praktijk ongeveer 5% van het declaratieverkeer) dan worden deze in beginsel ook elektronisch verwerkt: via scanning en automatische herkenning. Dat wil zeggen grotendeels zonder menselijke tussenkomst. Is sprake van ‘uitval’ van nota’s, dit gebeurt als nota’s niet conform afspraak ingediend worden, dan vindt er handmatige verwerking plaats. De zorgverzekeraar legt vast welke medewerkers/functionarissen betrokken zijn bij de verwerking van persoonsgegevens voor bepaalde doelen (werkprocessen), en over welke persoonsgegevens zij gelet op hun functie mogen beschikken. Hierbij treft de zorgverzekeraar maatregelen om medewerkers te verplichten tot geheimhouding bij het verwerken van persoonsgegevens. Er gelden twee uitgangspunten: 1.

er worden niet méér medewerkers/functionarissen geautoriseerd dan voor het desbetreffende werkproces noodzakelijk is en

2.

de autorisatie is beperkt tot verwerking van die persoonsgegevens die noodzakelijk zijn gelet op het doel van de werkzaamheden.86

84

Deze informatie is ontleend aan de schriftelijke reactie van Erasmus MC van 13 september 2013 op de vragen die ter voorbereiding op de expertmeeting aan de genodigden zijn verzonden. 85 De maatregel dateert van 26 augustus 2011 en is te raadplegen via www.zn.nl.


24/43

De toekenning van bevoegdheden (autorisaties) aan medewerkers – gelet op hun taken – wordt gebaseerd op een strikte koppeling tussen de aard van de taken en de daarvoor noodzakelijke gegevens. Over de toekenning van (de aard en omvang van) bevoegdheden voor bepaalde medewerkers om kennis te nemen van gezondheidsgegevens laat de zorgverzekeraar zich adviseren door de medisch adviseur. Periodiek wordt gecontroleerd of de daadwerkelijk aan een medewerker toegekende autorisaties overeenkomen met de autorisaties waarover een medewerker, gezien de uit te voeren werkzaamheden, dient te beschikken. Indien zich een discrepantie voordoet worden de nodige correctieve handelingen verricht waarbij de autorisaties worden teruggezet naar de initieel overeengekomen autorisatieset. Ook wordt periodiek gecontroleerd of de autorisaties nog actueel zijn: indien een medewerker binnen de verzekeraar van functie verandert of de verzekeraar verlaat, wordt de autorisatie zo spoedig mogelijk aangepast. Zorgverzekeraars treffen maatregelen om de geheimhouding bij het verwerken van gegevens betreffende iemands gezondheid te borgen. In arbeidsovereenkomsten en in andere relevante overeenkomsten met derden wordt een contractuele geheimhoudingsverplichting opgelegd. Ook informeren managers van de medewerkers die betrokken zijn bij de afhandeling van declaraties dat zij tot geheimhouding verplicht zijn van de informatie waarvan zij bij het uitoefenen van hun werkzaamheden kennis hebben genomen. Dat geschiedt onder meer tijdens het functioneringsgesprek en het afdelingsoverleg. De medewerkers worden erop geattendeerd dat de aard van de werkzaamheden een zeer vertrouwelijk karakter kent. Houdt een medewerker zich niet aan de geheimhoudingsplicht, dan zal in elk geval een disciplinaire maatregel worden opgelegd die ook in het personeelsdossier wordt opgenomen. In geval van herhaling volgt ontslag. Misbruik van (medische) persoonsgegevens wordt gevolgd door ontslag op staande voet. Verder wordt geheimhouding gewaarborgd door het treffen van organisatorische maatregelen, technische maatregelen – waarbij uitgangspunt is dat niet gegevens kunnen worden ingezien dan noodzakelijk is – en door het creëren van (aandacht voor) privacy bewustzijn.

86

Zie in dit verband ook nummer 4.0.1 van de Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars en de toelichting daarbij.


25/43

Informatieverstrekking door zorgverzekeraars Bij de informatieverstrekking door zorgverzekeraars moet onderscheid worden gemaakt tussen informatieverstrekking aan verzekerden en aan verzekeringnemers. Verzekerden zijn alle natuurlijke personen wier behoefte aan zorg door een zorgverzekering is gedekt; verzekeringnemers zijn natuurlijke personen of rechtspersonen die een zorgverzekering hebben afgesloten. Bij de veel voorkomende ‘gezinspolis’ is één van de ouders de verzekeringnemer, terwijl alle gezinsleden verzekerden zijn. Alle verzekerden kunnen gebruik maken van een zg. ‘mijn omgeving’, een met een persoonlijk wachtwoord afgeschermd gedeelte van de website van hun zorgverzekeraar. Daar kunnen declaraties worden ingezien, die dan ook niet per post worden verzonden (tenzij een verzekerde daar om verzoekt). Uit de Uniforme Maatregel 03 ‘Informatie verstrekken aan verzekerden en verzekeringnemer’ van Zorgverzekeraars Nederland87 volgt dat de verzekeraar er bij de noodzakelijke gegevensverstrekking aan de verzekeringnemer zorg voor dient te dragen dat de privacy van de door hem of haar verzekerde personen daarbij niet onevenredig wordt geschaad. Te verstrekken gegevens moeten op een hoog abstractieniveau zijn in verband met de privacy van de verzekerde, maar voldoende gedetailleerd dat voor de verzekeringnemer voldoende duidelijk is waar de vordering betrekking op heeft. Het in de bijlage bij deze uniforme maatregel opgenomen communicatieniveau kan daarbij als richtsnoer dienen. Er mag informatie worden verstrekt over aan wie, door wie, wanneer, welke soort zorg is geleverd (waarbij de soort zorg in vrij algemene termen wordt aangeduid, zoals huisartsenzorg, kraamzorg, fysiotherapie, laboratorium etc.). Daarnaast gaat het om gegevens van financiële aard en gegevens over waarom een bedrag niet betaald of gevorderd wordt.

87

Deze maatregel dateert van van 26 augustus 2011 en is te raadplegen via www.zn.nl.


26/43

4

Voorgenomen toepassing

4.1

Inleiding en doelstellingen Op 9 april, 23 juli en 24 september 2013 heeft de NZa (voorgenomen) besluiten genomen tot het wijzigen van de Regeling medisch-specialistische zorg. Als gevolg van deze besluiten zullen zorgaanbieders met ingang van 1 januari 2014, naast de hiervoor onder 3.3 besproken gegevens, bepaalde geregistreerde zorgactiviteiten op nota’s voor DBC-zorgproducten moeten vermelden.88 In dit hoofdstuk zullen de consequenties van deze besluiten worden beschreven. Net als in hoofdstuk 3 komen achtereenvolgens de tariefregulering van de NZa, de regels over informatieverstrekking van de NZa en uitvoeringsaspecten aan de orde. Hierna worden eerst de doelen beschreven die de NZa met haar besluiten nastreeft. Deze doelen zijn: 1.

Vergroting van het kostenbewustzijn van de patiënt. Een beter inzicht van patiënten in de kosten van zorg kan bijdragen aan ‘zinnig en zuinig gebruik van zorg’.89

2.

Effectievere controle van de nota door de patiënt. Uitbreiding en verduidelijking van de gegevens die de patiënt over de nota van de zorgaanbieder ontvangt stelt patiënten in staat onjuistheden in de nota, in het eigen risico en in de eigen bijdragen te signaleren.90

3.

Effectievere controle van de nota door de zorgverzekeraar. Met behulp van informatie over geregistreerde zorgactiviteiten kunnen zorgverzekeraars nota’s effectiever en gerichter controleren. Daarmee wordt bereikt dat alleen die zorg wordt vergoed die op grond van de zorgverzekering verzekerd is en voorts dat voor de verzekerde zorg het juiste bedrag wordt gedeclareerd en vergoed.91

4.2

Tariefregulering Door het voorgenomen besluit van de NZa zal de hiervoor, onder 3.2, beschreven tariefregulering niet wijzigen.

88

Circulaire 12 april 2013 (CI/13/17c); circulaire 23 juli 2013 (CI/13/28c); circulaire 27 september (CI/13/37c). 89 Circulaire 23 juli 2013 (CI/13/28c), p. 2; Kamerstukken II 2012/13, 29 689, nr. 441, p. 1. 90 Circulaire 23 juli 2013 (CI/13/28c), p. 2; Kamerstukken II 2012/13, 29 689, nr. 441, p. 1 en 2; Handelingen II 2012/13, 86, p. 31. 91 Circulaire 12 april 2013 (CI/13/17c), p. 1-2; circulaire 23 juli 2013 (CI/13/28c), p. 2. Vgl. ook art. 7.2 van de Rzv. Dat artikel bevat een lijst van persoonsgegevens waarover de zorgverzekeraar kan beschikken. Het gaat daarbij onder meer om het voor de prestatie in rekening gebrachte tarief, om gegevens die noodzakelijk zijn om vast te stellen of de prestatie behoort tot het verzekerde pakket en om overige gegevens die noodzakelijk zijn voor het verrichten van materiële controle dan wel fraudeonderzoek.


27/43

4.3

Regels informatieverstrekking Zorgaanbieders zullen als gevolg van de besluiten van de NZa bij het declareren van DBC-zorgproducten die op of na 1 januari 2014 worden geopend de volgende categorieën zorgactiviteiten op hun nota’s moeten vermelden:92

categorie (ZPK)

omschrijving

1, 2, 3

polikliniekbezoeken, dagverpleging en verpleegdag

4

diagnostische activiteiten

5

operatieve ingreep

6

overige therapeutische ingrepen

7

beeldvormende diagnostiek

12

paramedische en ondersteunende functies

14

revalidatie

16

geriatrische revalidatie zorg

17

longastmacentrum

-

zorgactiviteiten met een aanspraakbeperking93

Een voorlopige lijst van deze zorgactiviteiten is te raadplegen op de website van de NZa.94 Op de nota moeten worden vermeld de code, de omschrijving, het aantal en de uitvoerdatum van de zorgactiviteiten (hierna: de aanvullende gegevens). 4.4

Uitvoering Tijdens de expertmeeting kwam een aantal zaken naar voren: 1.

Aan het registratie- en declaratieproces als zodanig (zie onderdeel 3.4) verandert niets. Wel zullen degenen die zich bij de zorgaanbieder en zorgverzekeraar bezig houden met de afhandeling van declaraties meer gezondheidsgegevens gaan verwerken, te weten de aanvullende gegevens.

2.

De vermelding van de zorgactiviteiten op de zorgnota draagt bij aan het uitvoeren van materiële controle, omdat er meer mogelijkheden zijn om afwijkingen te signaleren (ZN). Er wordt nu enkel op productniveau gecontroleerd, maar in de beoogde nieuwe situatie kan dat (ook) op zorgactiviteitenniveau.

92

Circulaire 23 juli 2013 (CI/13/28c), p. 2. Het gaat om zorgactiviteiten met een zg. aanspraakcode, die aanduidt dat deze zorgactiviteiten niet of mogelijk niet tot de te verzekeren prestaties op grond van de Zvw behoren. 94 Als bijlage bij circulaire CI//13/28c. 93


28/43

3.

Zorgverzekeraars kunnen de aanvullende gegevens niet alleen gebruiken voor het controleren van de nota en het informeren van patiënten, maar bijvoorbeeld ook om behandelmethoden beter te analyseren of de zorgprofielen van verschillende aanbieders beter te kunnen vergelijken.

4.

De vraag kan gesteld worden of vermelding van de aanvullende gegevens noodzakelijk is: het proces zou bij de zorgaanbieder ook dusdanig (moeten) kunnen worden ingericht dat er minder kans bestaat op fouten in de declaratie en ook zou het doel van controle van de nota verwezenlijk kunnen worden door meer afspraken te maken over gezamenlijke controles, zodat de zorgverzekeraar op de hoogte is van de controles die de zorgaanbieder al verricht. Aldus wordt dubbel werk voorkomen en kunnen controles voorafgaand aan de facturatie zorgen voor minder retourposten en afwijzingen achteraf (NVZ en Erasmus MC).

5.

Het gevoel dat patiënten door het vermelden van de extra gegevens meer inzicht zullen krijgen in de kosten van de geleverde zorg wordt gedeeld. Patiënten zullen (beter) weten waarvoor ze betalen.

6.

Het is voor de zorgaanbieder (uitgezonderd de Fenac) geen haalbare kaart om rechtstreeks aan de patiënt te berichten welke zorgactiviteiten zijn verleend. Dat zal via de verzekeraar moeten lopen.

7.

De deelnemers aan de expertmeeting neigen naar een ontkennend antwoord op de vraag of met het opnemen van de aanvullende gegevens op de zorgnota een extra inbreuk op de privacy van de patiënten wordt gemaakt: de (typerende) diagnose is bij de verzekeraar immers al bekend.

8.

De verzekeringnemer zal geen inzicht krijgen in de verrichte zorgactiviteiten (ZN).


29/43

5

Beoordeling

5.1

Grondslag In onderdeel 2.2 is toegelicht dat iedere gegevensverwerking een grondslag moet hebben in artikel 8 Wbp. Dat is onder meer het geval als de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is. Omdat in de Regeling medisch specialistische zorg zal worden opgenomen dat ook de zorgactiviteiten op de zorgnota moeten worden vermeld – een wettelijke verplichting – zal een grondslag kunnen worden gevonden in art. 8 aanhef en onder c Wbp. In onderdeel 2.2 is verder toegelicht dat het verboden is om bijzondere persoonsgegevens te verwerken, tenzij de wet daarvoor een nadrukkelijke grondslag biedt. Dat verbod kan in de eerste plaats worden doorbroken als de verwerking noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald. In onderdeel 2.3 is uiteengezet dat artikel 87 Zvw een dergelijke grondslag biedt voor de zorgaanbieder om aan de zorgverzekeraar of aan de verzekerde / patiënt de gezondheidsgegevens te verstrekken die voor de zorgverzekeraar noodzakelijk zijn voor de uitvoering van de zorgverzekering of de Zvw. Verder biedt artikel 87 Zvw een grondslag voor het stellen van nadere regels over welke gegevens, op welke wijze en voor welke doeleinden vervolgens door de zorgverzekeraar (verder) mogen worden verwerkt. Deze nadere regels zijn neergelegd in de Rzv. 95 Voor de vraag of voor het verstrekken en verder verwerken van de aanvullende gegevens (zorgactiviteiten) op de nota een afdoende grondslag bestaat, moet derhalve worden vastgesteld of daarvoor in de Rzv een afdoende grondslag kan worden gevonden. Daarbij kan onderscheid worden gemaakt tussen (i) om welke gegevens het dan gaat en (ii) de doelen waarvoor de aanvullende gegevens worden verwerkt. Ten aanzien van het eerste aspect ‘welke gegevens’ is van belang dat de Rzv bepaalt dat de zorgverzekeraar en de verzekerde / patiënt kunnen beschikken over de gegevens die op grond van een declaratieregeling moeten worden verstrekt. In onderdeel 2.4 is toegelicht dat de Regeling medisch specialistische zorg, op grond waarvan de aanvullende gegevens op de nota moeten worden verstrekt, een dergelijke

95

Artikel 38 lid 3 aanhef en onder b Wmg jo. art. 87 lid 1, 2 en 6 Zvw jo. art. 7.1 t/m 7.3 Rzv.


30/43

declaratieregeling is. Dit betekent dat een afdoende grondslag bestaat voor de zorgverzekeraar en de verzekerde / patiënt om over deze gegevens te beschikken. De zorgverzekeraar mag deze aanvullende gegevens gebruiken voor de doelen als omschreven in artikel 7.1 Rzv. Voor wat betreft het tweede aspect ‘voor welke doelen mogen de aanvullende gegevens worden verwerkt’ zijn de in de Rzv omschreven doelen relevant. De hiervoor in onderdeel 4.1 omschreven doelen van effectievere controle van de nota door de patiënt en de zorgverzekeraar zijn zonder meer terug te voeren op meerdere van de in de Rzv omschreven doelen van het verrichten van formele dan wel materiële controle. Daarbij is van belang dat een effectievere controle door de patiënt er toe zal kunnen leiden dat de patiënt contact opneemt met de zorgverzekeraar over ten onrechte gedeclareerde zorg. Wanneer de patiënt in staat wordt gesteld tot een meer effectieve controle op de juistheid van de declaratie kan dat tevens zijn kostenbewustzijn vergroten. Wij zien de vergroting van het kostenbewustzijn niet zozeer als een op zich zelfstaand (en in artikel 7.1 lid 2 van de Rzv omschreven) doel, maar veeleer als een gewenst effect dat inherent is aan het vergroten van de controlemogelijkheden en daarmee gepaard gaat. Aangezien voor de verwezenlijking van de andere twee doelen – effectievere controle van de nota door de patiënt en de zorgverzekeraar – dezelfde verwerkingen dienen plaats te vinden, zal het verhogen van het kostenbewustzijn een nuttig neveneffect kunnen zijn van het vermelden van de zorgactiviteiten op de zorgnota. In onderdeel 2.3 is toegelicht dat voor niet-verzekerde zorg voor een gelijksoortige systematiek is gekozen. Het voorgaande geldt daarom ook voor de gegevensverwerking die noodzakelijk is voor de uitvoering van een aanvullende ziektekostenverzekering. De slotsom is dat voor het verstrekken van de aanvullende gegevens op de zorgnota een afdoende juridische grondslag bestaat.


31/43

5.2

Evenredigheid Inleiding Voor de vraag of het toevoegen van (een deel van) de zorgactiviteiten op de zorgnota noodzakelijk kan worden geacht met het oog op de uitvoering van de zorgverzekering of de uitvoering van de Zvw zijn in de eerste plaats van belang de doelen die met deze extra gegevensuitwisseling (kunnen) worden nagestreefd. Deze doelen zijn: 1.

Effectievere controle van de nota door de patiënt. Uitbreiding en verduidelijking van de gegevens die de patiënt over de nota van de zorgaanbieder ontvangt stelt patiënten in staat onjuistheden in de nota, in het eigen risico en in de eigen bijdragen te signaleren.96 Als nuttig neveneffect heeft te gelden dat door de gegevensverstrekking mogelijk ook het kostenbewustzijn van de patiënt wordt verhoogd. Een beter inzicht van patiënten in de kosten van zorg kan bijdragen aan ‘zinnig en zuinig gebruik van zorg’.97

2.

Effectievere controle van de nota door de zorgverzekeraar. Met behulp van informatie over geregistreerde zorgactiviteiten kunnen zorgverzekeraars nota’s effectiever en gerichter controleren.98 Daarmee wordt bereikt dat alleen die zorg wordt vergoed die op grond van de zorgverzekering verzekerd is en voorts dat voor de verzekerde zorg het juiste bedrag wordt gedeclareerd en vergoed.99

Deze doelen moeten worden bezien tegen de achtergrond van het zwaarwegend algemeen belang de kosten van de zorg beheersbaar te houden en als onderdeel daarvan fraude en oneigenlijk gebruik in de zorg terug te dringen. Voor dit advies nemen wij daarbij als uitgangspunt dat fraude en oneigenlijk gebruik in de zorg een probleem vormen waarvoor nadere maatregelen noodzakelijk zijn. In dit verband kan er ook op worden gewezen dat hiervoor zowel politiek als maatschappelijk de nodige aandacht bestaat.100 Op 16 september jl. schreef de

96

Circulaire 23 juli 2013 (CI/13/28c), p. 2; Kamerstukken II 2012/13, 29 689, nr. 441, p. 1 en 2; Handelingen II 2012/13, 86, p. 31. 97 Circulaire 23 juli 2013 (CI/13/28c), p. 2; Kamerstukken II 2012/13, 29 689, nr. 441, p. 1. 98 Circulaire 12 april 2013 (CI/13/17c), p. 1-2; circulaire 23 juli 2013 (CI/13/28c), p. 2. 99 Circulaire 12 april 2013 (CI/13/17c), p. 1-2; circulaire 23 juli 2013 (CI/13/28c), p. 2. Vgl. ook art. 7.2 van de Rzv. Dat artikel bevat een lijst van persoonsgegevens waarover de zorgverzekeraar kan beschikken. Het gaat daarbij onder meer om het voor de prestatie in rekening gebrachte tarief, om gegevens die noodzakelijk zijn om vast te stellen of de prestatie behoort tot het verzekerde pakket en om overige gegevens die noodzakelijk zijn voor het verrichten van materiële controle dan wel fraudeonderzoek. 100 Zie bijvoorbeeld de brief van de minister van VWS aan de Tweede Kamer van 16 september 2013 (150743110124-Z); de brief van de minister van VWS aan de Tweede Kamer van 12 september 2013 (149804-109880Z); de brief van de minister van VWS aan de Tweede Kamer betreffende de beantwoording van de kamervragen van het kamerlid Bouwmeester over aanpak zorgfraude (118892-104056-Z); Kamestukken II 2012/13, Aanhangsel van de Handelingen 2352; de brief van de minister en de staatssecretaris van VWS aan


32/43

minister van VWS nog aan de Tweede Kamer: ‘Fraude en oneigenlijk gebruik in de zorg zijn niet acceptabel en dienen hard aangepakt te worden. Beide tasten de betaalbaarheid van ons zorgstelsel aan en bedreigen de solidariteit. Wij zien de bestrijding van fraude en de aanpak van oneigenlijk gebruik van zorg als een prioriteit in ons beleid’.101 Bijdrage aan het algemeen belang? In het kader van de beoordeling van de evenredigheid van de extra gegevensuitwisseling is derhalve van belang of, en zo ja in hoeverre de hiervoor genoemde doelen kunnen bijdragen aan de beheersing van de kosten in de zorg, waaronder ook de bestrijding van fraude moet worden begrepen. Dat is naar ons oordeel goed verdedigbaar. Daarvoor kan in de eerste plaats worden verwezen naar het rapport meldactie ‘Inzicht in Zorgkosten’ van de NPCF van januari 2013.102 Uit dit rapport komt het volgende naar voren: -

72% van de deelnemers vindt dat ze beter gebruik maken van de zorg omdat ze zich bewust zijn van de kosten voor bijvoorbeeld consulten, behandelingen of onderzoek,103

-

59% van de deelnemers is van mening dat inzicht in de kosten ervoor zorgt dat zij beter nadenken over de noodzaak van een behandeling,104

-

23% van de deelnemers houdt altijd rekening met de kosten bij hun zorggebruik, 42% doet dat meestal, 21% doet dat soms en 11% houdt nooit rekening met de kosten,

-

62% van de deelnemers vindt het overzicht van de declaraties altijd of meestal duidelijk, maar wel zijn er verbeteringen mogelijk: -

35% van de deelnemers mist bepaalde informatie op het overzicht,

-

32% kan de declaraties niet koppelen aan de zorg die ze hebben gehad,

de Tweede Kamer van15 mei 2013 (118189-1007806-Z) en de risicoanalyse fraude in de AWBZ zorg in natura van het ministerie van VWS van november 2012. 101 Brief van de minister van VWS aan de Tweede Kamer van 16 september 2013 (150743-110124-Z). Vgl. CBb 11 februari 2010, ECLI:NL:CBB:2010:BL3730). Terzijde wees het CBb in deze zaak op jurisprudentie van de Hoge Raad (HR 27 mei 2008, ECLI:NL:HR:2008:BC1369), waaruit blijkt dat indien sprake is van een vermoeden van fraude met betrekking tot tarieven in de gezondheidszorg, het belang van zorgverzekeraars en het algemeen belang dat gemoeid is bij het voorkomen van hogere verzekeringspremies - ook - in het kader van strafvordering wordt aangemerkt als een zodanig zwaarwegend belang, dat het verschoningsrecht van zorgverleners daarvoor moet wijken. (curs. adv.). 102 In het rapport wordt opgemerkt dat de groep deelnemers van de meldactie niet representatief is voor de Nederlandse bevolking en dat uit de resultaten geen conclusies kunnen worden getrokken over zorggebruikers in het algemeen. Door het grote aantal deelnemers (9236) geven de uitkomsten van de meldactie volgens de auteur(s) van het project echter een goed beeld van de ervaringen en mening van zorggebruikers. 103 15% weet niet of dit zo is en 12% geeft te kennen daardoor niet beter gebruik te maken van de zorg. 104 21% van de deelnemers geeft aan dat inzicht in de kosten niet betekent dat zij beter nadenken over de noodzaak van een behandeling en 6% denkt dat min of meer. 15% heeft geen mening.


33/43

-

-

25% kent de medische termen niet die worden gebruikt en

-

20% snapt de bedragen niet,

48% van de deelnemers controleert altijd of het overzicht van declaraties klopt, 22% doet dat meestal, 12% soms en 18% doet nooit een controle,

-

op de vraag welke informatie de deelnemers nodig hebben om te kunnen controleren waar een declaratie voor was noemt 85% de datum van de behandeling of het consult en 70% het soort behandeling105 en

-

van de deelnemers die weleens hebben meegemaakt dat het overzicht van de declaraties niet juist was (32%) heeft 57% actie ondernomen door ofwel contact op te nemen met de zorgverzekeraar (41%) ofwel met de zorgaanbieder (16%); 44% deed niets.

In het gros van de gevallen worden overzichten van declaraties gecontroleerd en in dat verband wordt onder meer gehecht aan duidelijkheid over (de datum van) de behandeling en daarmee aan exact. Worden onjuistheden gesignaleerd, dan wordt in meer dan de helft van de gevallen contact opgenomen met de zorgverzekeraar of de zorgaanbieder.106 Vastgesteld moet worden dat met het vermelden van (een deel van de) zorgactiviteiten op de nota aan bovengenoemde wensen tegemoet wordt gekomen.107 Het lijkt gerechtvaardigd te concluderen dat het vermelden van juist de zorgactiviteiten patiënten meer inzicht geeft in de zorg die zij hebben genoten en hen ook in staat stelt op te merken als kosten in rekening zijn gebracht voor niet uitgevoerde zorg. Een voor de handliggend voorbeeld is het vermelden van de polikliniekbezoeken, dagverpleging en verpleegdag. Patiënten zullen eenvoudig kunnen vaststellen of zij op een bepaalde datum en tijd daadwerkelijk zorg hebben ontvangen. Ook de omschrijving van de overige activiteiten en ingrepen geven een beter inzicht in de verrichte zorg dan voorheen. Wel geldt daarbij de kanttekening dat van belang is dat de zorgactiviteiten, door middel van een lekenomschrijving, ‘leesbaar’ worden gemaakt voor de patiënt, zodat hij daadwerkelijk (goed) zal kunnen vaststellen welke zorgactiviteiten zijn gedeclareerd. Onderdeel hiervan is ook het voorkomen van te lange of

105

75% noemt de naam van de zorgverlener, 59% noemt het bedrag en 40% noemt de instelling. Zie in dit verband ook nog de brief van de minister van VWS aan de Tweede Kamer van 14 mei 2013, waarin onder meer staat: "Een beter inzicht in de kosten (...) stelt patiënten beter in staat mogelijke onjuistheden in de declaraties, eigen risico en ingehouden eigen bijdragen te signaleren. Een duidelijk kostenoverzicht naar de verzekerde kan bijdragen aan de controleerbaarheid van de zorg." 107 Zie in dit verband ook de brief van de minister van VWS aan de Tweede Kamer van 14 mei 2013, waarin onder meer staat: "Een beter inzicht in de kosten (...) stelt patiënten beter in staat mogelijke onjuistheden in de declaraties, eigen risico en ingehouden eigen bijdragen te signaleren. Een duidelijk kostenoverzicht naar de verzekerde kan bijdragen aan de controleerbaarheid van de zorg." 106


34/43

onoverzichtelijke overzichten door de zorgactiviteiten niet per te kleine tijdseenheid aan de patiënt terug te koppelen. De patiënt zal door middel van vermelding van de zorgactiviteiten aldus meer kunnen bijdragen aan een effectievere controle van de zorgnota.108 Het is immers in eerste instantie de patiënt die kan nagaan of de op de zorgnota vermelde zorgactiviteiten daadwerkelijk zijn verricht. In dit kader is de vaststelling van belang dat, als gezegd, patiënten hun declaratie veelal controleren en onjuistheden in meer dan de helft van de gevallen daadwerkelijk melden. Het vermelden van aanvullende zorgactiviteiten kan er mogelijk toe leiden dat dit aantal nog omhoog gaat omdat eventuele onjuistheden zich eenvoudiger laten duiden. Bovendien is niet uitgesloten dat juist controle door de patiënt van meerwaarde kan zijn bij het terugdringen van de kosten in de zorg. Daarbij kan bijvoorbeeld gedacht worden aan de situatie dat het belang van een zorgaanbieder gelijk is aan het belang van een zorgverzekeraar. De vraag kan nog worden gesteld of voorgaande doelen niet op een andere, vanuit privacyoogpunt minder belastende wijze kunnen worden gerealiseerd. In de situatie dat de zorgnota via de zorgverzekeraar naar de patiënt gaat is denkbaar dat de patiënt niet via de zorgverzekeraar wordt geïnformeerd over de verrichte zorgactiviteiten, maar dat de zorgaanbieder de patiënt hierover zelf rechtstreeks informeert. Uit de expertmeeting is echter naar voren gekomen dat dit door de zorgaanbieders zelf (uitgezonderd de Fenac) vanwege praktische bezwaren niet als een reële mogelijkheid wordt gezien. Bovendien maakt verstrekking van de aanvullende gegevens aan de zorgverzekeraar ook mogelijk dat de zorgverzekeraar zelf beter in staat is fraude en oneigenlijk gebruik in de zorg te bestrijden. Hoewel NVZ en Erasmus terecht opmerken dat een belangrijk bijdrage in het voorkomen van onjuiste declaraties mede zal liggen in het verder inrichten van een betrouwbaar declaratieproces bij de zorgaanbieder en het afstemmen en uitvoeren van (gezamenlijke) controles, lijkt hierin geen volwaardig alternatief te kunnen worden gezien voor de controle door zorgverzekeraar (mede op aanwijzing van de patiënt) achteraf, reeds omdat ook (het functioneren en juiste uitvoering van) het declaratieproces (achteraf) gecontroleerd zal moeten kunnen worden. De zorgverzekeraar is ‘bij uitstek de partij [is] die de declaratiestromen kan analyseren op de belangrijkste risico’s op fraude en ongepast gebruik van zorg’. 109

108

Zie in dit verband ook de brief van de minister van VWS aan de Tweede Kamer van 14 mei 2013, waarin onder meer staat: "Een beter inzicht in de kosten (...) stelt patiënten beter in staat mogelijke onjuistheden in de declaraties, eigen risico en ingehouden eigen bijdragen te signaleren. Een duidelijk kostenoverzicht naar de verzekerde kan bijdragen aan de controleerbaarheid van de zorg." 109 Brief van de minister van VWS aan de Tweede Kamer waarin de kamervragen van het Kamerlid Boumeester over aanpak zorgfraude worden beantwoord (118892-104056-Z).


35/43

Ook tijdens de expertmeeting is naar voren gekomen dat vermelding van de zorgactiviteiten op de zorgnota bijdraagt aan het uitvoeren van controle op de rechtmatigheid van de declaratie: doordat verzekeraars niet meer alleen op productniveau kunnen controleren, maar ook op zorgactiviteitenniveau, bestaan er volgens ZN meer mogelijkheden om (op geautomatiseerde wijze) afwijkingen te signaleren. Bij het voorgaande past wel de opmerking dat het voor ons uiteindelijk niet goed is in te schatten in hoeverre de door NVZ en Erasmus genoemde controlemechanismen als een volwaardig alternatief voor het vermelden van de zorgactiviteiten op de zorgnota kunnen gelden. Voor de privacyrechtelijke houdbaarheid van de verstrekking van de zorgactiviteiten is wel van doorslaggevend belang dat in rechte aannemelijk kan worden gemaakt dat geen volwaardig, minder ingrijpend alternatief voor handen is. Gelet op het voorgaande komen wij dan ook tot de conclusie dat het vermelden van de aanvullende gegevens op de nota een wezenlijke bijdrage wordt geleverd aan het zwaarwegend algemeen belang de kosten in de zorg verder te beheersen, onder meer door fraude en oneigenlijk gebruik te bestrijden. Ernst van de inbreuk van het verstrekken van aanvullende gegevens In het kader van de beoordeling van de evenredigheid moet voorts de ernst van de inbreuk in ogenschouw worden genomen. Daarbij moet voorop worden gesteld dat de aanvullende gegevens medische gegevens betreffen en daarmee reeds daarom zwaarwegende privacybelangen van de patiënten zijn gemoeid. Tegelijkertijd moet onder ogen worden gezien dat zoals in hoofdstuk 3 is uiteengezet in de huidige praktijk al veel en gevoelige medische informatie op de zorgnota wordt vermeld. 110 Daarbij geldt in het bijzonder dat de combinatie van het DBC-zorgproduct en de typerende diagnose op de zorgnota betekent dat in de huidige praktijk de nota reeds de essentie van de gezondheidstoestand van de patiënt in beeld brengt.111 Gegeven het feit dat in dit advies uitsluitend de extra gegevensuitwisseling van de aanvullende gegevens ter beoordeling voorligt en daarbij als vertrekpunt heeft te gelden dat voor dit advies van de rechtmatigheid van de bestaande praktijk moet worden uitgegaan112, moet de privacyinbreuk die gepaard gaat met het vermelden van

110

Zie in dit verband ook brief van de minister van VWS aan de NZa (ongedateerd, kenmerk: 129222-106269CZ). 111 Zie Meijer, Hooghiemstra en Groenewegen, DOT en privacy, Het Expertise Centrum 2010 (rapport uitgebracht aan het ministerie van VWS). 112 In de onder 2.5 besproken uitspraken van het CBb zijn ook belangrijke aanknopingspunten te vinden dat de bestaande praktijk in de kern genomen de privacytoets kan doorstaan. Tegelijkertijd geldt dat de uitspraken, mede tegen de achtergrond van de eerdere oordelen van het CBP (zie onderdeel 2.6) ook vragen oproepen over het detailniveau waarop zonder uitzondering en in alle gevallen medische gegevens op de declartie worden


36/43

de zorgactiviteiten op de zorgnota tegen de achtergrond van de reeds bestaande praktijk worden geplaatst. Vergelijking van de lijsten van DBC-zorgproducten en bij de registratie gebruikte diagnoses aan de ene kant en de (voorlopige) lijst van zorgactiviteiten die op de nota kunnen worden vermeld aan de andere kant geeft aanleiding tot de vaststelling dat het vermelden van de zorgactiviteiten op de nota, hoewel zeker privacygevoelig, in de regel geen wezenlijk aanvullende informatie geeft over de gezondheidstoestand van de patiënt. Ook de deelnemers aan de expertmeeting lijken deze conclusie te onderschrijven. Met de gegevens die thans al op de nota worden vermeld, in het bijzondere de combinatie van het DBC-zorproduct en de typerende diagnose, is, kort gezegd, reeds duidelijk wat de patiënt mankeert. Tegen die achtergrond zal de toevoeging van de zorgactiviteiten in het algemeen geen vergaande extra inbeuk met zich brengen. Een voorbeeld kan dit illustreren. Een hypothetische nota voor medisch-specialistische zorg bevat op dit moment al onder meer de volgende gegevens:

startdatum

30 augustus 2013

einddatum

23 september 2013

zorgtype

initieel

DBC-zorgproduct

operatie (met 6 tot maximaal 28 verpleegligdagen) bij een aandoening van het zenuwstelsel (9972802102)

typerende diagnose

hersentumor intra-axiaal, centraal gelokaliseerd of ventrikeltumor, behandeling dmv craniotomie of endoscopie

uitvoerend specialisme

neurochirurgie

verwijzer

huisarts

Uit deze gegevens kan al worden afgeleid dat de patiënt een hersentumor heeft, waarvoor hij een neurochirurgische operatie heeft ondergaan en circa drie weken in het ziekenhuis opgenomen is geweest.

vermeld zonder dat duidelijk is of het in al deze gevallen ook noodzakelijk is dat bedoelde gegevens op de declaratie worden vermeld.


37/43

Door de besluiten van de NZa zal deze nota in de toekomst bijvoorbeeld de volgende zorgactiviteiten vermelden: 30 augustus

eerste polikliniekbezoek voor een nieuwe zorgvraag (190060)

30 augustus

CT hersenen (81342)

3 september

MRI hersenen – met contrast (81092)

6 september

Operatieve behandeling intraparenchymale aandoening supratentorieel diep (oa tumor, cavernoom) met betrokkenheid 1e, 2e of 3e ventrikel, insula thalamus (30176)

9 september

CT hersenen (81342)

13 september

CT hersenen (81342)

20 september

CT hersenen (81342)

30 augustus

verpleegdag (190218) […]

22 september

verpleegdag (190218)

Ten opzichte van de eerder bekende gegevens voegt de vermelding van de zorgactiviteiten weinig ‘gevoelige’ informatie toe. Wellicht kan een deskundige uit de omschrijving van de operatie nog iets meer afleiden over de plaats van de hersentumor. Daarnaast wordt de exacte duur van de ziekenhuisopname en het aantal beeldvormende onderzoeken bekend. Ter zake dienend, niet bovenmatig Tot slot is van belang dat de omschrijving en het aantal zorgactiviteiten dat op de zorgnota wordt vermeld ter zake dienend en niet bovenmatig is. Uitsluitend die gegevens en zorgactiviteiten moeten worden vermeld die duidelijk kunnen bijdragen aan de verwezenlijking van de hiervoor in onderdeel 4.1 genoemde doelen. Bij het vaststellen van de lijst met zorgactiviteiten zal de NZa zich hiervan rekenschap moeten geven. Het vermelden van onnodige gegevens moet worden vermeden. Conclusie Wij komen tot de conclusie dat gelet op de zwaarwegende belangen die met het vermelden van de zorgactiviteiten op de nota zijn gemoeid en het gegeven dat de daarmee gepaard gaande privacy inbreuk tegen de achtergrond van de gegevens die reeds op de nota worden vermeld in de regel geen vergaande extra inbeuk met zich brengen, de extra gegevensuitwisseling voldoet aan de eisen van proportionaliteit en subsidiariteit.


38/43

Bij deze conclusie plaatsen wij drie kanttekeningen. In de eerste plaats zijn hiervoor (tussen)conclusies geformuleerd voor het geheel van de medisch-specialistische zorg. Het is niet uit te sluiten dat één of meer van deze tussenconclusies voor onderdelen van deze zorg niet opgaan. Dat kan bijvoorbeeld het geval zijn als bij bepaalde zorg de DBC-zorgproducten en typerende diagnoses ‘grofmazig’ zijn, zodat de vermelding van zorgactiviteiten aan de nota’s een grote aanvullende privacyinbreuk oplevert. Dat kan ook het geval zijn als bepaalde DBCzorgproducten een één-op-één-relatie vertonen met de relevante zorgactiviteiten, zodat de vermelding daarvan niet bijdragen aan de controle van nota’s. 113 Dit juridische onderzoek is niet geschikt om dergelijke situaties ‘op te sporen’. De opsporing daarvan is wel noodzakelijk om te voorkomen dat in bepaalde casusposities de vermelding van zorgactiviteiten op de nota een privacyinbreuk oplevert die niet voldoet aan de eis van evenredigheid. Wij adviseren daarom de vaststelling van de definitieve lijst van te vermelden zorgactiviteiten te laten voorafgaan door een nader onderzoek. Op basis van dit nadere onderzoek kan de NZa besluiten bepaalde DBCzorgproducten of zorgactiviteiten uit te zonderen van de verplichting tot het vermelden van zorgproducten op de nota. In de tweede plaats moeten de aanvullende gegevens op dezelfde wijze en met dezelfde waarborgen worden verwerkt als thans het geval is (zie hierover verder 5.45.5). De reeds bestaande waarborgen zullen zich ook moeten uitstrekken tot de aanvullende gegevens. In de derde plaats kunnen wij niet uitsluiten dat in bijzondere gevallen de verstrekking van zorgactiviteiten op de nota een onevenredige inbreuk maakt op de privacy van de patiënt. In het bijzonder zal van een onevenredig inbreuk sprake kunnen zijn indien het vermelden van deze gegevens op de nota negatieve consequenties voor de behandeling zal kunnen hebben of als deze gegevens zo gevoelig zijn dat het bekend worden van die gegevens voor de betrokkene vergaande gevolgen zal meebrengen in het maatschappelijk verkeer. Daarbij zal ook een rol kunnen spelen of en zo ja, op welke wijze de zorgnota door de zorgaanbieder rechtstreeks wordt verstrekt aan de patiënt.114 Wij adviseren voor dergelijke gevallen te voorzien in een mogelijkheid om in individuele gevallen te kunnen afzien van de verplichting zorgactiviteiten op nota’s te vermelden. Gelet op de reikwijdte van ons onderzoek heeft ons advies in een

113

Actiz heeft zich naar aanleiding van de expert meeting op het standpunt gesteld dat dit geldt voor geriatrische revalidatiezorg. 114 Vgl. de hiervoor in onderdeel 2.5 besproken rechtspraak van het CBb.


39/43

individuele afwijkingsmogelijkheid te voorzien uitsluitend betrekking op het vermelden van de zorgactiviteiten op de zorgnota. 5.3

Verdere verwerking door zorgverzekeraars? Tijdens de expertmeeting is naar voren gekomen dat de aan de zorgverzekeraar verstrekte zorgactiviteiten mogelijk niet alleen zullen worden gebruikt voor de (materiële en formele) controle van de nota, maar dat de aanvullende gegevens door de zorgverzekeraar ook gebruikt kunnen worden ten behoeve van bijvoorbeeld de inkoop van zorg, om behandelmethodes te analyseren, om ziekenhuizen te vergelijken en (overige) verbanden te leggen en analyses te verrichten. Vastgesteld moet worden dat het hier gaat om verdere verwerkingen in die zin dat de aanvullende gegevens niet voor deze doelen aan de zorgverzekeraars zijn verstrekt. Met de conclusie dat voor de verstrekking van de aanvullende gegevens een grondslag bestaat en dat de eisen van proportionaliteit en subsidiariteit afdoende in acht zijn genomen, is dan ook niet gegeven dat het zorgverzekeraars is toegestaan de gegevens voor dit doel te gebruiken. Het gaat hier om verdere verwerkingen, waarvan de aanvaardbaarheid vanuit privacyoogpunt aan de hand van de Wbp zal moeten worden getoetst. De vraag of, en zo ja in hoeverre dergelijke verdere verwerkingen toelaatbaar zijn, is in zoverre niet van invloed op de vraag die in dit advies centraal staat, te weten in hoeverre het vermelden van de zorgactiviteiten op de nota ten behoeve het voorkomen van fraude en oneigenlijk gebruik in de zorg voldoet aan de eisen van de Wbp. Daarbij geldt overigens nog dat een dergelijke verdere verwerking ten behoeve van de inkoop en doelmatigheid van de zorg – naar wij begrijpen – op geaggregeerd niveau plaatsvindt. De privacyrechtelijke dimensie van de vraag naar de aanvaardbaarheid van een dergelijke verwerking is daarmee beperkt.

5.4

Waarborgen ten aanzien van betrokkenen Een ander belangrijk aspect dat in het kader van de beoordeling van de privacyrechtelijke houdbaarheid van de verstrekking van de aanvullende gegevens door zorgaanbieders aan zorgverzekeraars vermelding verdient, zijn de zogenaamde waarborgen die aan de betrokkenen dienen te worden geboden. In dit verband wijzen wij in de eerste plaats op de informatieverplichting uit de Wbp.115 Op basis van deze artikelen moet de patiënt worden geïnformeerd over kort gezegd

115

Artikelen 33 en 34 Wbp.


40/43

wie, welke hem betreffende persoonsgegevens waarvoor verwerkt, tenzij de patiënt daar al van op de hoogte is.116 Deze informatieverplichting rust in dit geval primair op de zorgaanbieder en niet op de zorgverzekeraar. Het is namelijk de zorgaanbieder die de aanvullende gegevens als ‘eerste’ verwerkt en deze (via de zorgnota) aan de zorgverzekeraar verstrekt met het oog op de controle van de zorgnota door patiënt en zorgverzekeraar. Omdat de patiënt daar vermoedelijk niet van op hoogte is, zal de zorgaanbieder de patiënt dan ook over die doelen van verstrekking moeten informeren. Bij voorkeur gebeurt dat al voordat de aanvullende gegevens bij de patiënt worden verkregen of op het moment dat de zorgaanbieder ze vastlegt, maar in ieder geval zal de zorgaanbieder de patiënt moeten informeren vóórdat deze de gegevens aan de zorgverzekeraar verstrekt. Dat kan zowel mondeling als schriftelijk, bijvoorbeeld op het moment dat de patiënt zich voor het eerst bij de zorgaanbieder meldt. Bij een schriftelijke mededeling kan daarbij gedacht worden aan een brief, maar bijvoorbeeld ook aan het uitdelen / ter beschikking stellen van een flyer of een brochure, waarin wordt vermeld met welk doel de aanvullende gegevens aan de zorgverzekeraar worden verstrekt. Mogelijk informeren zorgaanbieders hun patiënten ook nu al over de doelen waarmee zij persoonsgegevens verwerken. In dat geval zou die mededeling kunnen worden uitgebreid met voorbedoelde informatie. Als de zorgaanbieder aan zijn informatieverplichting heeft voldaan, is de patiënt op de hoogte van de verstrekking en verdere verwerking van de hem betreffende zorgactiviteiten. Op de zorgverzekeraar rust dan geen verplichting meer de patiënt nogmaals te informeren. Indien de zorgverzekeraar de persoonsgegevens voor andere doelen gaat verwerken, zal hij de patiënt daarover alsnog moeten informeren.117 Het verdient aanbeveling dat zorgaanbieder en zorgverzekeraar over de invulling van de informatieverplichting afspraken maken. Laat een zorgaanbieder na de patiënt te informeren, dan zal een zorgverzekeraar dat (alsnog) moeten doen. Tot slot merken wij nog op dat als de hiervoor in onderdeel 5.2 bedoelde individuele afwijkingsmogelijkheid wordt gecreëerd, het vanuit een oogpunt van zorgvuldigheid in de rede ligt dat de zorgaanbieder de patiënt op die mogelijkheid wijst.

116

Artikel 33 ziet op de situatie dat de persoonsgegevens bij de betrokkene zijn verkregen en artikel 34 op overige situaties. 117 Zie ook art. 3.7 van de Gedragscode Verwerking Peroonsgegevens Zorgverzekeraars.


41/43

5.5

Waarborgen ten aanzien van het gebruik Zoals in onderdeel 3.4 reeds is toegelicht hebben verzekeraars diverse waarborgen gecreëerd om een zorgvuldige omgang met persoonsgegevens te bewerkstelligen. Die waarborgen vallen uiteen in twee elementen, te weten geheimhouding (art. 12 Wbp) en het treffen van technische en organisatorische (beveiligings)maatregelen (art. 13 Wbp). Geheimhouding Geheimhouding wordt door zorgverzekeraars onder meer gewaarborgd doordat zij: -

een contractuele geheimhoudingsverplichting opleggen aan hun werknemers (en in andere relevante overeenkomsten met derden) en

-

werknemers ook mondeling op het bestaan van hun geheimhoudingsplicht wijzen en het belang van een zorgvuldige omgang met de persoonsgegevens benadrukken

Van belang is dat zorgverzekeraars waarborgen dat de geheimhoudingsverplichting zich ook tot de aanvullende gegevens uitstrekt. Beveiligingsmaatregelen Daarnaast treffen zorgverzekeraars maatregelen waardoor de groep van mensen die de persoonsgegevens kunnen inzien zo beperkt mogelijk wordt gehouden: -

er worden niet méér medewerkers/functionarissen geautoriseerd dan voor het desbetreffende werkproces noodzakelijk is en

-

de autorisatie is beperkt tot verwerking van die persoonsgegevens die noodzakelijk zijn gelet op het doel van de werkzaamheden.

Daarnaast geldt dat: -

de zorgverzekeraar zich over de toekenning van (de aard en omvang van) autorisaties voor bepaalde medewerkers om kennis te nemen van gezondheidsgegevens door de medisch adviseur laat adviseren en

-

periodiek wordt gecontroleerd of (nog steeds) de juiste autorisaties zijn toegekend aan de juiste personen.

Deze waarborgen zullen moeten ook moeten worden toegespitst op degenen die de aanvullende gegevens verwerken. Die groep van mensen zal zo klein mogelijk moeten worden gehouden. Een punt van aandacht hierbij is nog dat afgesproken zal moeten worden wie de patiënten te woord staan die – nadat zij de zorgnota hebben bestudeerd – contact met de zorgverzekeraar opnemen.


42/43

Tot slot Tot slot is van belang dat de zorgverzekeraar ook de aanvullende gegevens – conform de Uniforme Maatregel 03 ‘Informatie verstrekken aan verzekerden en verzekeringnemer’ van Zorgverzekeraars Nederland118 – niet aan de verzekeringnemer zal verstrekken.

118

Deze maatregel dateert van van 26 augustus 2011 en is te raadplegen via www.zn.nl.


43/43

6

Slot Met dit rapport hebben wij beoogd inzicht te verschaffen in de privacyaspecten van de vermelding van zorgactiviteiten op de nota voor medisch-specialistische zorg. Wij hopen dat het rapport beantwoordt aan de vraagstelling van de NZa. Uiteraard zijn wij graag bereid het rapport toe te lichten en de NZa nader te assisteren.

Den Haag, 25 oktober 2013 Pels Rijcken & Droogleever Fortuijn N.V. Rolf de Groot Reimer Veldhuis Joris Rijken Marte van Graafeiland


Verplichte vermelding van zorgactiviteiten op nota's voor. juridisch onderzoek voor de Nederlandse Zorgautoriteit

Recommend Documents