Klacht Op grond van de door verzoekster verstrekte gegevens is de klacht als volgt geformuleerd:

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN Uitvoering werknemersverzekeringen DATUM 4 maart 2003 CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP bevindingen en conclusie inzake klacht Naar aanleiding van de klacht heeft het College bescherming persoonsgegevens (CBP) een onderzoek ingesteld. Hieronder volgen de bevindingen en de conclusie van het onderzoek Klacht Op grond van de door verzoekster verstrekte gegevens is de klacht als volgt geformuleerd: 1. UWV heeft zonder medeweten en zonder toestemming van verzoekster haar dossier, met daarin zowel medische als sociale gegevens, verstrekt aan een private organisatie (dienstverlenend bedrijf dat verzekeringsartsen en arbeidsdeskundigen uitleent hierna te noemen Bedrijf X ). Verzoekster is van mening dat UWV zich hierbij onterecht beroept op de Organisatiewet sociale verzekeringen 1997 (OSV 1997), de wet Structuur Uitvoeringsorganisatie Werk en Inkomen (Wet SUWI) en de Wet bescherming persoonsgegevens (WBP). 2. Zowel UWV als Bedrijf X zijn niet zorgvuldig omgegaan met het dossier van verzoekster. Het dossier is meerdere malen kwijt geweest. 3. UWV heeft geen afschrift van het contract, dat UWV met Bedrijf X heeft afgesloten, aan verzoekster ter beschikking gesteld omdat dit niet zou worden verstrekt aan een derde. Verzoekster is van mening dat uitkeringsgerechtigden in deze niet zomaar aangemerkt kunnen worden als derden. Onderzoek Bij brief van 24 juni 2002 heeft het CBP UWV in de gelegenheid gesteld op de klacht te reageren en daarnaast verzocht een aantal vragen te beantwoorden. Deze reactie werd op 18 juli 2002 ontvangen. Verzoekster heeft per op 7 augustus 2002 een reactie gegeven op de antwoorden van UWV. Het CBP heeft vervolgens bij brief van 7 november 2002 zijn voorlopige bevindingen aan UWV en verzoekster voorgelegd. UWV heeft hierop gereageerd bij brief van 5 december 2002 en 12 december Verzoekster gaf haar reactie in een van 2 december Verzoekster heeft ten slotte per op 27 januari 2003 gereageerd op de correspondentie van UWV van 5 en 12 december BIJLAGEN BLAD 1

2 Bevindingen De bevindingen van het CBP luiden als volgt: Standpunt UWV UWV geeft aan medewerkers van Bedrijf X in te huren om verzekeringsgeneeskundige en arbeidsdeskundige onderzoeken uit te voeren. Door het Landelijke instituut sociale verzekeringen (Lisv) en het ministerie van Sociale Zaken en Werkgelegenheid (ministerie van SZW) werd het inhuren van verzekeringsgeneeskundigen (VG-en) en arbeidsdeskundigen (AD-en) als een geoorloofd middel gezien om achterstanden bij de WAO-claimbeoordeling (Wet op de arbeidsongeschiktheidsverzekering) weg te werken. De afspraken met Bedrijf X zijn neergelegd in een overeenkomst. Deze afspraken betreffen onder andere de geheimhoudingsplicht, het werken volgens de kwaliteitsnormen van het Lisv en het van toepassing zijn van het privacyreglement van UWV. UWV benadrukt dat van Bedrijf X externe expertise wordt ingehuurd. De ingehuurde VG-en en AD-en verrichten onder leiding en onder voorwaarden van UWV werkzaamheden als waren zij medewerkers. Van uitbesteding, zo wordt gesteld, is geen sprake. Naar aanleiding van de voorlopige bevindingen stelt UWV zich bij brief van 5 december 2002 op het standpunt dat de inhuur van VG-en en AD-en aangemerkt dient te worden als intern beheer. De gegevensverwerking vindt plaats binnen de organisatie en onder rechtstreeks gezag van de verantwoordelijke. Het maakt naar het idee van UWV niet uit of de verhouding is ontstaan door een vast dienstverband of door tijdelijke inhuur van personen. In het geval er sprake is van een bewerker of intern beheer is er geen toestemming van verzoekster vereist voor de verwerking van gegevens in het kader van de uitvoering van taken. Met betrekking tot de informatieplicht stelt UWV, in reactie op de voorlopige bevindingen, dat in het geval van intern beheer de informatieplicht niet aan de orde is. De werkzaamheden worden binnen de organisatie en onder gezag van de verantwoordelijke verricht. UWV is van mening dat het voor verzoekster dan ook niet van belang is dat het dossier door ingehuurde artsen is behandeld in plaats van artsen die een dienstverband hebben bij UWV. Standpunt verzoekster Verzoekster is van mening dat er wel degelijk sprake is van uitbesteding. UWV heeft een aparte vestiging voor Bedrijf X in een gemeente opgezet waar de dossiers naar toe zijn overgedragen. Zij heeft zelf een (groot) aantal malen moeten bellen om er achter te komen waar haar dossier was gebleven. UWV-medewerkers van haar vaste kantoor wisten niet waar het dossier van verzoekster zich bevond. Tevens is zij van oordeel dat UWV haar in ieder geval had moeten informeren (of zelfs toestemming had moeten vragen) over het feit dat het dossier aan een andere arts was overgedragen. Verzoekster stelt in reactie op de voorlopige bevindingen dat er geen sprake kan zijn van intern beheer of bewerkerschap omdat naar haar indruk de medewerkers van Bedrijf X niet in een hiërarchische relatie staan ten opzichte van UWV. Ze noemt daarbij als voorbeeld dat de medewerkers van UWV de personen die werkzaam waren bij Bedrijf X helemaal niet kenden. BLAD 2

3 Ook was bij de UWV-medewerkers niet bekend op welke locatie de medewerkers van Bedrijf X werkten. Verzoekster bestrijdt met betrekking tot de voorlopige bevindingen dat er sprake zou zijn van opvolging omdat: -Bedrijf X slechts op grond van haar dossier beoordeeld heeft of een herkeuring noodzakelijk was, de herkeuring zelf is niet door een Argonout-arts uitgevoerd; - De keuringsarts en arbeidsdeskundige van UWV bleven haar eerste aanspreekpunt. Verzoekster geeft aan dat zij graag zou zien dat het medisch dossier en de geheimhouding daarvan gebonden worden aan de verzekeringsarts zelf en niet aan de instelling (idem voor wat betreft de arbeidsdeskundige). Tevens is ze van oordeel dat indien er sprake is van een noodzakelijke verandering van arts of arbeidsdeskundige, de cliënt hiervan op de hoogte gesteld moet worden, en deze zelfs voor de overdracht van zijn dossier toestemming moet geven. Norm / wettelijk kader Op grond van artikel 1, onder d, WBP wordt als verantwoordelijke aangemerkt de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of te zamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Artikel 1, onder e, WBP spreekt over bewerker als degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen. Ingevolge artikel 6 WBP worden persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. In artikel 33, derde lid, WBP is neergelegd dat de verantwoordelijke nadere informatie verstrekt voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen. Beoordeling De beoordeling van deze zaak valt uiteen in de drie onderdelen waaruit de klacht bestaat. 1. UWV heeft zonder medeweten en zonder toestemming van verzoekster haar dossier, met daarin zowel medische als sociale gegevens, verstrekt aan een private organisatie (Bedrijf X ). Toestemming Beoordeeld is of UWV aan verzoekster toestemming had moeten vragen voor de verstrekking van het dossier aan de arts van Bedrijf X. Om deze beoordeling te maken is eerst onderzocht of Bedrijf X aan te merken is als verantwoordelijke of als bewerker in de zin van de WBP of dat er sprake is van intern beheer. Indien er sprake is van intern beheer of bewerkerschap moet UWV als verantwoordelijke worden aangemerkt voor de betreffende gegevensverwerking en is toestemming van de betrokkene in zoverre niet vereist. BLAD 3

4 UWV stelt zich in reactie op de voorlopige bevindingen op het standpunt dat bij de inhuur van VG-en AD-en sprake is van intern beheer. Verzoekster is echter van mening dat niet gesproken kan worden over intern beheer of bewerkerschap omdat de medewerkers van Bedrijf X niet in een hiërarchische relatie staan tot UWV. In de voorlopige bevindingen is nader ingegaan op de begrippen verantwoordelijke, bewerker en intern beheer (zie brief 5 december 2002). Hieruit kwam naar voren dat de volgende vragen van belang zijn om vast te kunnen stellen of sprake is van een verantwoordelijke, van intern beheer, of van een bewerker: 1. Wie heeft zeggenschap over het doel en de middelen van de verwerking? 2. Is er sprake van een gezagsrelatie (hiërarchie)? 3. Betreft de dienstverlening de verwerking van gegevens of gaan de werkzaamheden verder dan dat? 4. Worden de gegevens voor zichzelf verwerkt of voor een ander? 5. Welke afspraken zijn omtrent de verwerking in een eventuele bewerkersovereenkomst vastgelegd? Uit de parlementaire stukken rond de invoering van de wet SUWI komt duidelijk naar voren dat UWV kerntaken niet mag uitbesteden aan private uitvoerders. Voor UWV wordt de beoordeling en vaststelling van het recht op een uitkering als kerntaak aangemerkt. Hieruit volgt dat UWV doel en middelen voor de verwerking vaststelt. De gegevens worden immers verwerkt met als doel de claimbeoordeling te kunnen uitvoeren, een taak die de wetgever heeft opgedragen aan UWV. UWV benadrukt in de brief dat er geen sprake is van uitbesteding maar van inhuur van externe expertise. De VG-en en AD-en verrichten onder leiding en onder voorwaarden van UWV werkzaamheden als ware zij medewerkers. Er is dus sprake van een gezagsverhouding. Tot slot blijkt dat UWV een (bewerkers)overeenkomst heeft gesloten met Bedrijf X waarin afspraken zijn gemaakt over het gegevensbeheer. Op grond van het bovenstaande acht het CBP het mogelijk dat er in casu gesproken kan worden van intern beheer. Het feit dat UWV met Bedrijf X een overeenkomst heeft gesloten met betrekking tot het gegevensbeheer, wijst er echter op dat ook bewerkerschap niet kan worden uitgesloten. Het CBP zal hier verder geen uitspraak over doen. Voor de beoordeling van de klacht is immers met name van belang of Bedrijf X werkt onder de verantwoordelijkheid van UWV of zelfstandig als verantwoordelijke optreedt. De keuze voor de positionering in deze ligt primair bij de verantwoordelijke zelf, te weten UWV. Vervolgens heeft het CBP beoordeeld of verzoekster toestemming had moeten geven ten aanzien van de overdracht van de ene naar de andere (verzekerings)arts. De Lisv-standaard beheer gegevens vallend onder het medisch beroepsgeheim van de verzekeringsarts stelt dat de verzekeringsarts alleen medische dossiers van andere verzekeringsartsen kan gebruiken voor zover hij hen opvolgt, voor hen waarneemt, een beoordeling gelijktijdig plaatsvindt of gevraagd is BLAD 4

5 een bezwaarschrift te behandelen. In de voorlopige bevindingen heeft het CBP zich op het standpunt gesteld dat het aannemelijk is om te spreken over opvolging. Toestemming is dan dus niet vereist. Verzoekster bestrijdt dat er sprake is van opvolging. Het CBP heeft de argumenten van verzoekster overwogen en komt tot de volgende conclusie. In casu kan misschien niet direct gesproken worden van opvolging, maar wel van waarneming. Als argument hiervoor kan worden aangevoerd dat verzekeringsartsen bij UWV met dermate grote achterstanden te kampen hebben (gehad) dat het onmogelijk is gebleken de schriftelijke beoordeling van het dossier zelf uit te voeren. Het feit dat verzoeksters oude keuringsarts als aanspreekpunt bleef functioneren, doet daar niet aan af. Voor wat betreft verzoeksters opmerking dat het medisch dossier en de geheimhouding daarvan gebonden dienen te worden aan de verzekeringsarts, merkt het CBP op dat dit nu ingevolge de Wet Geneeskundige behandelingsovereenkomst (WGBO) al het geval is. Het volgt tevens uit de Lisv-standaard Beheer gegevens vallend onder het medisch beroepsgeheim van de verzekeringsarts. Concluderend komt het CBP tot het oordeel dat, omdat er in casu ofwel sprake was van intern beheer ofwel bewerkerschap en omdat gesteld kan worden dat de betreffende ingehuurde arts optrad als waarnemer, de toestemming van verzoekster niet was vereist. Vooruitlopend op het punt van de informatieplicht is het wel van belang om te constateren dat indien verzoekster was geïnformeerd over de inschakeling van ingehuurde verzekeringsartsen, zij de mogelijkheid had gehad om hiertegen bezwaar te maken. Dit laatste zou dan ook in lijn zijn met de WGBO. Informatieplicht Voorts is beoordeeld of verzoekster door UWV geïnformeerd had moeten worden over het feit dat in het kader van het heronderzoek haar dossier aan een verzekeringsarts, zijnde niet in dienst bij UWV, is overgedragen. UWV stelt zich, in reactie op de voorlopige bevindingen, op het standpunt dat wanneer er sprake is van intern beheer, de informatieplicht niet aan de orde is. Verzoekster is van mening dat zij wel geïnformeerd had moeten worden. In artikel 33, derde lid, WBP is neergelegd dat de verantwoordelijke nadere informatie verstrekt voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen. De afhankelijke positie van de betrokkene ten opzichte van de verantwoordelijke kan bijvoorbeeld aanleiding zijn deze uitgebreider te informeren (MvT, Kamerstukken II, , , nr. 3, blz. 154). Indien UWV er voor kiest de herbeoordeling te laten uitvoeren door ingehuurde artsen en arbeidsdeskundigen zal het voldoende waarborgen moeten treffen om er voor te zorgen dat de verwerking van persoonsgegevens op een behoorlijke en zorgvuldige manier geschiedt. Het informeren van betrokkene is een van die waarborgen. BLAD 5

6 Het CBP is van oordeel dat verzoekster door UWV geïnformeerd had moeten worden over het inschakelen van bedrijfsartsen van Bedrijf X omdat in casu wordt afgeweken van wat betrokkene in deze situatie redelijkerwijs had kunnen verwachten, namelijk dat de herbeoordeling zou worden uitgevoerd door een arts die in dienst is bij de door de bij wet aangewezen instantie. Daarbij betreft het hier bijzondere gegevens in de zin van de WBP (medische gegevens) die in het kader van de WAO-claimbeoordeling worden verwerkt en die betrokkene wel moet verstrekken om voor een uitkering in aanmerking te kunnen komen. Gesteld kan worden dat verzoekster zich op dit punt in een afhankelijke positie bevond. Door te informeren had voorkomen kunnen worden dat bij verzoekster de indruk ontstond dat haar medische gegevens aan medewerkers van een privaat bedrijf waren verstrekt. Ook was het dan voor verzoekster mogelijk geweest om bezwaar te maken tegen het feit dat haar dossier door een andere ( ingehuurde ) arts zou worden beoordeeld. Gezien de reikwijdte van artikel 33 WBP volgt deze informatieplicht in casu uit artikel 6 WBP. Zie hieromtrent de onderstaande passages uit de wetgeschiedenis. De omstandigheid dat de onderhavige regeling een uitwerking vormt van het beginsel dat in artikel 6 is neergelegd heeft tot gevolg, dat overtredingen van de informatieplicht zullen leiden tot onrechtmatige verwerkingen. Daarnaast kan het zijn, dat onder omstandigheden verdergaande informatie geboden is om «een eerlijke verwerking» te waarborgen. De richtlijn brengt dit tot uitdrukking door de woorden «ten minste» in de aanhef van beide artikelen (MvT, Kamerstukken II, , , nr. 3, blz ). Als aan de informatieplicht overeenkomstig de artikelen 33 of 34 is voldaan, zijn deze artikelen uitgewerkt en zal er ook geen sprake meer kunnen zijn van een onrechtmatige verkrijging wegens niet nakoming van deze plicht. De betrokkene is daardoor in de gelegenheid van zijn kant het initiatief te nemen om navraag te doen naar de gegevensverwerking. Wel is het denkbaar dat specifieke omstandigheden met zich brengen, dat informatie moet worden verstrekt om een «behoorlijke en zorgvuldige verwerking» te waarborgen. Daarbij valt te denken aan latere ontwikkelingen van zodanige aard, dat zij aan de betrokkene bij de verkrijging hadden moeten worden medegedeeld indien zij op dat tijdstip bekend waren geweest (MvT, Kamerstukken II, , , nr. 3, blz ). 2. Zowel UWV als Bedrijf X zijn niet zorgvuldig omgegaan met het dossier van verzoekster. Het dossier is meerdere malen kwijt geweest. Artikel 6 WBP bepaalt dat persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze worden verwerkt. Op de vraag van het CBP of UWV de redenen kan aanwijzen waarom het dossier is zoekgeraakt wordt door UWV geantwoord dat dit helaas niet meer is te achterhalen. Het CBP constateert op dit punt dat UWV in strijd heeft gehandeld met het bepaalde in artikel 6 WBP. 3. UWV heeft geen afschrift van het contract, dat UWV met Bedrijf X heeft afgesloten, aan haar ter beschikking gesteld omdat deze niet zou worden verstrekt aan een derde. Inmiddels heeft UWV een kopie van het contract ter beschikking gesteld aan verzoekster. BLAD 6

7 Conclusie Gelet op het bovenstaande is het CBP van oordeel dat UWV in strijd heeft gehandeld met artikel 6 WBP. Het CBP heeft verzoekster in overweging gegeven zich met haar klacht te wenden tot de burgerlijke rechter. Op grond van artikel 49 WBP kan verzoekster voor zowel materiële als immateriële schade een vordering tot schadevergoeding indienen. Het CBP kan echter niet beoordelen of een dergelijke actie succes zal hebben. Tot slot Het CBP heeft in zijn brief van 7 november 2002 UWV verzocht toe te lichten welke waarborgen UWV in de praktijk heeft getroffen om er voor te zorgen dat de betreffende gegevensverwerkingen zorgvuldig gebeuren. UWV heeft hierop in een aparte brief van 12 december 2002 gereageerd. Hierin is aangegeven dat sommige dossierwerkzaamheden door de ingehuurde externen niet op de eigen vestiging plaatsvinden, maar op een van de centra in Zwolle of Utrecht. Hoe het transport van de dossiers hiernaartoe dient plaats te vinden is vastgelegd in procedures. Ook de systematiek van de kwaliteitsbeoordeling is geregeld. Tevens is op de vestiging van UWV in Arnhem het procesverbeteringstraject onder de loep genomen en zijn een aantal aanpassingen in de voorschriften aangebracht. UWV is van mening dat in de organisatie van en de beoordeling op projectbasis duidelijke verbeteringen zijn aangebracht. De voorschriften op het punt van logistiek en de positie van de ingehuurde medewerkers zijn ook verduidelijkt. Het CBP gaat er vanuit dat UWV met het bovenstaande heeft willen aangeven dat het adequate maatregelen heeft getroffen op organisatorisch en beveiligingsgebied om herhaling in de toekomst te voorkomen Afsluiting Met deze brief beschouwt het CBP de zaak als afgedaan. Het besluit van het CBP om het onderzoek te beëindigen is geen besluit in de zin van de Algemene wet bestuursrecht. U kunt derhalve hiertegen geen bezwaarschrift indienen. U kunt het CBP alleen verzoeken om terug te komen op zijn besluit wanneer u nieuwe feiten en omstandigheden kunt aangeven die kunnen leiden tot een andere beslissing. Het CBP vertrouwt erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, mr. U. van de Pol Collegelid BLAD 7