Rb. Midden-Nederland 7 juli 2017, ECLI:NL:RBMNE:2017:3422
Verzoek om handhaving tegen het verstrekken en verwerken van gegevens via DIS Wet bescherming persoonsgegevens, artikel 70 van de Wmg, handhaving, DIS, medische gegevens, verwerking en vestrekking van medische gegevens, 8 EVRM, anonimisering en pseudo-anonimisering. Samenvatting: Bestuurlijke lus. Eiseres heeft verzocht om handhavend op te treden tegen de verzameling, verwerking, en verstrekking aan derden van persoonsgegevens in het Diagnose-behandelcombinatie-informatiesysteem (DIS). NZa is derde partij. Verweerster heeft naar aanleiding van het verzoek een artikel 60-Wbp procedure gestart. Daaruit bleek dat wat eerst niet werd gezien als persoonsgegevens in de zin van de Wbp, toch persoonsgegevens zijn. NZa heeft deze gegevens verstrekt aan derden. De gegevensverstrekking aan de ACM, het CBS en ZiNL, genoemd in artikel 70 van de Wmg, is volgens verweerster rechtmatig geweest. Ten onrechte zijn er echter medische persoonsgegevens verstrekt aan de Minister van VWS en aan het CPB. Daarvoor is geen wettelijke grondslag aan te wijzen. De NZa is daarom gestopt met de verstrekking van de medische persoonsgegevens aan deze twee instanties. Er is dus geen sprake meer van een overtreding, aldus verweerster, en handhaving is niet mogelijk en ook niet opportuun. Uit het artikel-60-onderzoek en het bestreden besluit blijkt echter niet dat verweerster nader heeft onderzocht of de gegevens die de NZa verzamelt en verwerkt noodzakelijk zijn voor de aan de NZa opgedragen taak of taken. Verweerster heeft verder niet onderzocht of de gegevens die de NZa verstrekt aan de derden die zijn genoemd in artikel 70 van de Wmg noodzakelijk zijn voor de uitoefening van de taak of taken van die derden. Verweerster heeft deze toetsing niet nodig gevonden. De rechtbank is van oordeel dat verweerster hiermee heeft miskend dat het haar taak is om op grond van artikel 8 van de Wbp in samenhang bezien met artikel 51, eerste lid, van die wet toezicht te houden op de rechtmatigheid van de verwerking van persoonsgegevens en zo nodig handhavend op te treden tegen een onrechtmatige gegevensverwerking. Over de verstrekking aan de Minister van VWS en het CPB concludeert de rechtbank dat sprake was van een overtreding. Ook al is verweerster pas later tot de conclusie gekomen dat het hier om persoonsgegevens gaat in de zin van de Wbp. NZa had deze gegevens niet aan deze derden mogen verstrekken, omdat een grondslag daarvoor ontbrak. Verweerster heeft niet gemotiveerd waarom hij niet handhavend heeft opgetreden tegen deze overtreding. Ook heeft verweerster niet gemotiveerd waarom hij geen actie in de richting van de Minister van VWS en het CPB heeft ondernomen, die nu zelf verantwoordelijke zijn geworden in de zin van de Wbp en gegevens in hun bezit hebben waarop zijn geen recht hebben. Verweerster wordt in de gelegenheid gesteld de gebreken te herstellen.
De uitspraak op rechtspraak.nl