Toezicht op de Autoriteit Persoonsgegevens via een handhavingsverzoek

De Autoriteit Persoonsgegevens heeft het zo druk met klachten (in 2019 dienden ruim 27.800 mensen een klacht in!) dat zij samen met het ministerie van Justitie en Veiligheid een onderzoek heeft ingesteld naar haar capaciteit en financiering. Sommige mensen willen desondanks dat de Autoriteit Persoonsgegevens (hierna: ‘de AP’) zo snel mogelijk actie onderneemt bij het probleem dat zij aankaarten. De eiser in de zaak die we hier bespreken had daarom een handhavingsverzoek ingediend bij de AP.

Een handhavingsverzoek is een instrument voor belanghebbenden om een toezichthouder aan te sporen om van haar bevoegdheden gebruik te maken. Ook de Algemene Verordening Gegevensbescherming (hierna: ‘de AVG’) geeft belanghebbenden deze mogelijkheid.

Achterliggende reden: het Landelijk Schakelpunt

Het Landelijk Schakelpunt (hierna: ‘LSP’) is een netwerk waar bepaalde categorieën zorgaanbieders zich op kunnen aansluiten. De Vereniging Zorgaanbieders voor Zorgcommunicatie (hierna: ‘VZVZ‘) beheert het LSP. Binnen het LSP worden patiënten aangemeld via het Burgerservicenummer (BSN), waarna aangesloten partijen, zoals apothekers, medische persoonsgegevens over hun patiënten kunnen raadplegen. Dit gaat niet via een nieuwe of landelijke database, maar de zorgaanbieders prikken als het ware in bij elkaars systemen.

Een eiser had een handhavingsverzoek ingediend bij de Autoriteit Persoonsgegevens. Volgens de eiser gaven patiënten niet de vereiste toestemming bij de aanmelding, ontbraken procedures voor de verwerking en opslag van de toestemming en ontbraken procedures voor het opvragen van informatie over de toestemming. Voor de eiser ging het dus niet om het systeem zelf, maar om de toestemming waarmee een patiënt is aangemeld.

Toestemming bij medische persoonsgegevens: uitdrukkelijk

Het LSP verwerkt naast het BSN ook bijzondere persoonsgegevens, namelijk medische persoonsgegevens. De AVG bepaalt dat er uitdrukkelijke toestemming voor het verwerken van bijzondere persoonsgegevens moet zijn. Dat gaat verder dan een vinkje op een website, uitdrukkelijke toestemming heeft meer eisen.

• Vrij geven van toestemming
Uitdrukkelijke toestemming moet vrij gegeven worden. Een patiënt moet de toestemming kunnen weigeren en de toestemming mag bijvoorbeeld geen gevolgen hebben voor een behandeling. Daarnaast mag de patiënt de toestemming altijd intrekken.

• Ondubbelzinnige toestemming
De toestemming moet helder en duidelijk zijn. ‘Geen bezwaar maken’ is daarom geen geldige vorm van uitdrukkelijke toestemming.

• Geïnformeerd
Een patiënt moet ook weten waar zij toestemming voor geeft. Welke organisatie verwerkt de persoonsgegevens, wat is het doel van de verwerking en over welke persoonsgegevens gaat het eigenlijk? Deze informatie moet helder en makkelijk op te vragen zijn.

• Specifiek
De uitdrukkelijke toestemming is slechts voor een specifieke verwerking en een specifiek doel geldig. Deze kan niet worden doorgetrokken naar ‘vergelijkbare’ verwerkingen of diensten.

Voor het LSP is het zaak dat de uitdrukkelijke toestemming aan deze vereisten voldoet en dat ze dit kan aantonen aan bijvoorbeeld de AP. De uitdrukkelijke toestemming moet de LSP dus goed opslaan.

De AP onderzoekt de werkwijze van VZVZ

Dankzij het handhavingsverzoek onderzoekt de AP de zaak. Zij komt al snel tot de conclusie dat VZVZ het aan de apothekers overlaat om de uitdrukkelijke toestemming te regelen. VZVZ voorziet de apotheker wel van informatiemateriaal over het LSP en de uitdrukkelijke toestemming.

De eiser heeft aan de AP acht ‘verdachte’ apothekers aangewezen. Deze zouden zich niet houden aan bovenstaande vereisten voor uitdrukkelijke toestemming. De AP heeft bij nader onderzoek bij de apothekers vastgesteld dat één apotheker zich inderdaad niet houdt aan het vereiste van ondubbelzinnige toestemming, deze apotheker werkte met een opt-out systeem. De AP heeft ook daadwerkelijk actie ondernomen tegen deze apotheker.

Het informatiemateriaal dat VZVZ aan de apothekers verstrekt is volgens de AP ook van voldoende kwaliteit. Dit betekent anders een overtreding van de informatieplicht. De folder met uitleg waarom uitwisseling van medische persoonsgegevens nuttig of levensreddend kan zijn, legt bijvoorbeeld geen ongeoorloofde druk op de patiënt om toestemming te verkrijgen.

De rechtbank wijst het handhavingsverzoek af

De indiener van het handhavingsverzoek was het hier niet mee eens en ging in beroep bij de rechtbank. De rechtbank kan de AP verplichten om nader onderzoek te doen als zij van mening is dat de AP haar taken niet goed uitvoert.

Volgens de rechtbank ging de AP echter voortvarend te werk. De eiser had graag gezien dat de AP een algemeen onderzoek zou starten naar alle apothekers. De AP was daartoe niet verplicht volgens de rechtbank. In het onderzoek dat is uitgevoerd door de AP waren weinig aanknopingspunten om nader onderzoek te doen.

De informatie vanuit VZVZ heeft de rechtbank ook beoordeeld en deze was van voldoende kwaliteit. De folders bevatten geen onjuiste, onduidelijke of ongeoorloofde informatie, dat gold ook voor de folders die apothekers te lang gebruikten terwijl er al een nieuwe versie beschikbaar was.

De rechtbank oordeelt dat de AP de handhaving heeft mogen beperking tot de bewuste apotheker die met een opt-out systeem werkte. Voor de andere apothekers was daartoe geen bevoegdheid en er is geen sprake van onjuiste, niet verifieerbare en niet verantwoorde registratieprocedures met betrekking tot de toestemmingsverlening in het LSP.

Tot slot: heeft het handhavingsverzoek effect?

De AP is in actie gekomen dankzij het handhavingsverzoek van de eiser. De AP heeft zelfs een apotheker aangesproken op een verkeerde werkwijze. Helaas voor de eiser verplicht de rechtbank de toezichthouder niet om een algemeen onderzoek te doen naar alle apothekers, zoals de eiser graag had gezien.

De AP onderneemt wel actie, ondanks het tekort aan mankracht, wanneer iemand ze op de hoogte stelt van mogelijke inbreuken op de AVG of andere privacywetgeving. Voor de belanghebbenden betekent het een extra mogelijkheid wanneer sprake is van een mogelijk onrechtmatige verwerking van persoonsgegevens.

Heeft u ook dringende zaken waarvoor u een handhavingsverzoek wilt indienen? Een handhavingsverzoek kan een goedkopere oplossing zijn om de aandacht van de AP te trekken. Misschien kunt u de partij zelf ook aanspreken? Neemt u contact met ons op, onze advocaten privacyrecht kunnen alle opties met u doornemen.