Verzoek handhaving AVG bij AP afgewezen

Rechtbank Midden-Nederland 10 januari 2020, IT 3041, LS&R 1787; ECLI:NL:RBMNE:2020:74 (eiseres tegen Autoriteit Persoonsgegevens) Eiseres is een natuurlijk persoon die zich in het geding inzet voor bescherming van bijzondere persoonsgegevens en verweerder is de Autoriteit Persoonsgegevens. Eiseres heeft verweerder verzocht om handhavend op te treden tegen apothekers vanwege onterechte aanmelding van patiënten in het landelijk schakelpunt (“lsp”). In een nadere procedure (UTR 19/608) richt zij zich tot VZVZ als beheerder van het lsp. In het lsp worden persoonsgegevens (namelijk het bsn van een persoon) verwerkt. Dit kan alleen als daarvoor uitdrukkelijk toestemming door die persoon is gegeven op basis van juiste informatie. Eiseres heeft een aantal folders en toestemmingsformulieren overgelegd waaruit volgens haar blijkt dat apothekers patiënten niet goed voorlichten, waarmee hun toestemming niet rechtsgeldig zou zijn.

Er wordt in lijn met verweerder vastgesteld dat in één geval inderdaad sprake is van een overtreding. Een apotheker meldde patiënten bij het lsp aan zonder de vereiste toestemming. Daarom heeft verweerder een last opgelegd. In de andere gevallen is echter geen overtreding geconstateerd. De folders die deze apothekers gebruiken zijn, anders dan eiseres betoogt, in orde. De apothekers mogen ook de oudere folders van VZVZ – die taalkundig iets anders zijn opgesteld – gebruiken, omdat ook die folders deugen. Uit de folders blijkt duidelijk dat de apothekers alleen gebruik mogen maken van de medische gegevens als de patiënt daarvoor toestemming heeft gegeven en dan ook nog alleen in een behandelsituatie. Het lsp is naar het oordeel van de rechtbank een aanvaardbaar systeem en VZVZ voert voldoende controle uit op dat systeem. Het beroep is ongegrond.  

11. De rechtbank volgt verweerder in dit standpunt. Uit de folder die bij de gedingstukken is opgenomen, blijkt overduidelijk dat de patiënt toestemming moet verlenen voor het gebruik van gegevens. De titel van de folder “Jouw medische gegevens beschikbaar via het Landelijk Schakelpunt (LSP)” wordt immers direct gevolgd door de zin: “Alleen als jij dat goed vindt.” Op de derde pagina staat: “Een andere arts of apotheek kan die medische gegevens via het Landelijk Schakelpunt bekijken met een beveiligde pas en een wachtwoord. Maar alleen als jij dat goed vindt. En als het nodig is voor jouw behandeling.”
Het door eiseres genoemde verschil in het werkwoord “mogen” en “kunnen” is in dit geval niet relevant. Het gaat erom dat in normaal spraakgebruik staat vermeld dat er toestemming moet worden gegeven voor het gebruik van de medische gegevens via het LSP. Bovendien wordt welke gegevens de zorgverlener wel en niet mag delen ook beheerst door artikel 457 van Boek 7 van het Burgerlijk wetboek (de wet op de geneeskundige behandelovereenkomst). Zoals VZVZ terecht ter zitting heeft opgemerkt hoeft de folder die juridische informatie niet te bevatten. Uit de folder moet voldoende duidelijk blijken dat het gaat om de uitwisseling van gegevens in een behandelrelatie en dat daarvoor uitdrukkelijke toestemming nodig is. Dat is het geval. De twee in de folder beschreven voorbeelden waarin een uitwisseling van medische gegevens in de behandelrelatie nuttig, wellicht levensreddend, zijn geweest, zijn slechts een illustratie waar het LSP voor is bedoeld. De rechtbank ziet hierin, anders dan eiseres, geen ongeoorloofde druk om toestemming van patiënten te verkrijgen.
Dat apothekers in 2018 oudere folders hebben gebruikt, vindt de rechtbank geen probleem, omdat – zoals gezegd – deze folders geen onjuiste, onduidelijke of ongeoorloofde informatie bevatten. De apothekers mochten de oudere folders dus ook opmaken.
Dit betoog slaag niet.

13. De rechtbank volgt eiseres niet in haar standpunt dat VZVZ onvoldoende toezicht zou houden op de feitelijke gang van zaken rond de aanmelding. In het systeem van de apothekers staat vermeld op welke wijze toestemming is verkregen en of een folder is meegegeven en zo ja, welke folder. VZVZ heeft de werkwijze van controle door middel van bijvoorbeeld steekproeven voldoende toegelicht. Dat apothekers structureel patiënten zouden opnemen in het LSP zonder informatiemateriaal mee te geven, is niet gebleken en eiseres heeft dit ook niet onderbouwd. VZVZ heeft erkend dat het systeem, waarbij een mondelinge toestemming ook mag, niet waterdicht is en er fouten gemaakt kunnen worden. Het kan immers voorkomen dat iemand aan de balie bij een apotheek de reikwijdte van de toestemming niet overziet of dat een medewerker ten onrechte uitgaat van toestemming, terwijl die niet is gegeven, of dat voor een ieder duidelijk is dat er geen toestemming is gegeven maar dit verkeerd wordt vermeld in het systeem van de apotheek en het BSN dan toch wordt aangemeld. Dit is inherent aan een systeem waarin toestemming ook mondeling mag worden verleend en aanmelding mensenwerk is.
Anders dan eiseres betoogt, is het feit dat er ook fouten gemaakt kunnen worden, echter niet voldoende om nadere maatregelen dus noodzakelijk te vinden. De AVG vereist dat ook niet. In de overwegingen van de AVG staat onder 32 het volgende vermeld:
“Toestemming dient te worden gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt. […]”
De toestemming mag dus ook mondeling worden gegeven en uit de aard van die toestemming volgt dat dit achteraf minder goed te controleren valt. Met de beschreven werkwijze van steekproefsgewijze controle en voorlichting aan apothekers heeft VZVZ voorzien in een afdoende procedure van controle en er zijn geen aanwijzingen dat VZVZ hierop niet voldoende acteert. De rechtbank ziet in wat eiseres naar voren heeft gebracht geen aanleiding voor de conclusie dat de werkwijze van VZVZ niet adequaat is en verweerder had moeten optreden tegen de apothekers. Van een overtreding van de AVG is, behalve bij [derde-partij 1] , niet gebleken en een bevoegdheid tot handhaving ontbreekt dan ook. Het betoog slaagt niet.

15. Samenvattend oordeelt de rechtbank dat verweerder de handhaving heeft mogen beperken tot [derde-partij 1] , omdat deze derde-partij de AVG heeft overtreden. Voor handhaving in de richting van de andere apothekers bestaat geen bevoegdheid. Er is –anders dan eiseres betoogt – niet op grote schaal sprake van onjuiste, niet verifieerbare en niet verantwoorde registratieprocedures met
betrekking tot toestemmingsverlening voor openstelling van uitwisseling van medische persoonsgegevens via het LSP.
Het beroep van eiseres slaagt niet.