Verplichte vermelding van zorgactiviteiten op nota's voor. juridisch onderzoek voor de Nederlandse Zorgautoriteit

Transcriptie

1 Verplichte vermelding van zorgactiviteiten op nota's voor medisch-specialistische zorg juridisch onderzoek voor de Nederlandse Zorgautoriteit Rolf de Groot, Reimer Veldhuis, Joris Rijken, Marte van Graafeiland 25 oktober 2013 Alle werkzaamheden worden verricht op grond van een overeenkomst van opdracht met de naamloze vennootschap Pels Rijcken & Droogleever Fortuijn N.V. gevestigd te Den Haag en ingeschreven in het Handelsregister onder nr Op de overeenkomst zijn de algemene voorwaarden van toepassing, die zijn gedeponeerd ter griffie rechtbank Den Haag onder nr. 27/2013. Daarin is een aansprakelijkheidsbeperking opgenomen. De algemene voorwaarden worden op verzoek toegezonden of zijn te raadplegen op Kwaliteitsrekening notariaat NL72ABNA Rekening Stichting Beheer Derdengelden Advocatuur Pels Rijcken & Droogleever Fortuijn NL68ABNA

2 2/43 Inhoud Samenvatting 3 1 Inleiding Vraagstelling Onderzoeksopzet Grenzen van het onderzoek Plan van behandeling 6 2 Juridisch kader Inleiding Wet bescherming persoonsgegevens Zorgverzekeringswet Wet marktordening gezondheidszorg Rechtspraak Oordelen toezichthouders 16 3 Huidige toepassing Inleiding Prestatie- en tariefregulering Regels informatieverstrekking Uitvoering 22 4 Voorgenomen toepassing Inleiding en doelstellingen Tariefregulering Regels informatieverstrekking Uitvoering 27 5 Beoordeling Grondslag Evenredigheid Verdere verwerking door zorgverzekeraars? Waarborgen ten aanzien van betrokkenen Waarborgen ten aanzien van het gebruik 41 6 Slot 43

3 3/43 Samenvatting Algemeen a Het vermelden van (een deel van) de zorgactiviteiten op de zorgnota betekent een extra uitwisseling van medische gegevens tussen de zorgaanbieder en de zorgverzekeraar. b Gelet op de Wet Bescherming Persoonsgegevens (Wbp) zal voor deze verwerking van bijzondere persoonsgegevens een juridische grondslag moeten bestaan. c Verder zal de verwerking moeten voldoen aan de eisen van proportionaliteit en subsidiariteit waarbij passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer. Juridische grondslag d Er bestaat een afdoende juridische grondslag voor het vermelden van (een deel van) de zorgactiviteiten op de zorgnota. e De vergroting van het kostenbewustzijn van verzekerden kan niet zozeer als een (in de Regeling zorgverzekering omschreven) op zich zelfstaand doel worden beschouwd, maar veeleer als een gewenst effect van het vergroten van de controlemogelijkheden van de verzekerde. f Voor de andere twee doelen effectievere controle van de nota door de patiënt en de zorgverzekeraar bestaat een afdoende grondslag. Aangezien voor die doelen dezelfde verwerkingen plaatsvinden, zal het verhogen van het kostenbewustzijn wel een nuttig neveneffect kunnen zijn van het vermelden van de zorgactiviteiten op de zorgnota. Evenredigheid g Het vermelden van zorgactiviteiten op de nota levert een wezenlijke bijdrage aan het zwaarwegend algemeen belang de kosten in de zorg te beheersen, onder meer door fraude en oneigenlijk gebruik te bestrijden met als neveneffect dat het kostenbewustzijn van de patiënt wordt verhoogd. h Met de gegevens die nu al op de nota worden vermeld, in het bijzonder de combinatie van het DBC-zorgproduct en de typerende diagnose, wordt de essentie van de gezondheidstoestand van de patiënt in beeld gebracht. Het vermelden van de

4 4/43 zorgactiviteiten op de nota, hoewel zeker privacygevoelig, zal in de regel geen wezenlijk aanvullende informatie geven over de gezondheidstoestand van de patiënt. i Bezien tegen deze achtergrond voldoet de privacyinbreuk die gemoeid is met het vermelden van de zorgactiviteiten op de nota in het algemeen aan de eisen van proportionaliteit en subsidiariteit. j Deze conclusies over evenredigheid zijn geformuleerd voor het geheel van de medischspecialistische zorg. Het is niet uit te sluiten dat voor onderdelen van deze zorg de vermelding van de beoogde zorgactiviteiten op de nota (i) wel wezenlijk aanvullende informatie geven over de gezondheidstoestand van de patiënt of (ii) geen bijdrage kan leveren aan de beheersing van de kosten van zorg. k Dit juridische onderzoek is niet geschikt om dergelijke uitzonderingen op te sporen. De opsporing daarvan is wel noodzakelijk. Voordat de definitieve lijst van te vermelden zorgactiviteiten wordt vastgesteld, adviseren wij de NZa daarom nader onderzoek te (laten) doen. l In bijzondere gevallen kan de vermelding van zorgactiviteiten op de nota een onevenredige inbreuk maken op de privacy van de patiënt. Wij adviseren voor dergelijke gevallen in een individuele afwijkingsmogelijkheid te voorzien. Waarborgen m Voor wat betreft de overige waarborgen kan worden aangesloten bij de waarborgen die ook thans al van toepassing zijn op de verwerkingen van de gegevens op de zorgnota. Deze waarborgen moeten zich mede uitstrekken tot de verwerkingen van de op de zorgnota vermelde zorgactiviteiten.

5 5/43 1 Inleiding 1.1 Vraagstelling De Nederlandse Zorgautoriteit (hierna: NZa) heeft besluiten genomen tot het wijzigen van de Regeling medisch-specialistische zorg. Als gevolg van deze besluiten zullen aanbieders van medisch-specialistische zorg met ingang van 1 januari 2014 bepaalde geregistreerde zorgactiviteiten op nota s voor DBC-zorgproducten moeten vermelden. 1 De NZa heeft verzocht een juridisch advies uit te brengen over de privacyaspecten van deze besluiten. Meer in het bijzonder heeft de NZa gevraagd: - de extra uitwisseling van gegevens als gevolg van de besluiten te toetsen aan de Wet bescherming persoonsgegevens en relevante jurisprudentie, - te beschrijven welke maatregelen zorgverzekeraars zouden moeten nemen om de ontvangen gegevens te beschermen en - eventueel aanbevelingen te doen aan de NZa. 1.2 Onderzoeksopzet De opzet van het onderzoek is op 30 augustus 2013 gepresenteerd aan en besproken met de NZa. Het onderzoek heeft bestaan uit twee delen: bureauonderzoek en een expert meeting. In het bureauonderzoek hebben wij de wet- en regelgeving bestudeerd die relevant is voor de onderzoeksvraag. Ook hebben wij onderzoek gedaan naar rechtspraak en oordelen van privacytoezichthouders. De expert meeting heeft plaatsgevonden op 16 september Bij deze bijeenkomst waren vertegenwoordigers aanwezig van NZa, VWS, NVZ, NFU, ZKN, OMS, Fenac, RN en DBC-Onderhoud. 2 Actiz reageerde schriftelijk op de vragen die ter voorbereiding op de expertmeeting aan de genodigden zijn verzonden. 3 Voor de expert meeting waren ook vertegenwoordigers van de NPCF uitgenodigd; zij waren niet aanwezig. 4 Op 23 september 2013 hebben wij het conceptrapport aan de NZa gezonden; dit concept is op 30 september 2013 besproken. Vervolgens heeft de NZa het conceptrapport aan de adviescommissie Cure voorgelegd. De NPCF en ZN hebben een 1 Circulaire 12 april 2013 (CI/13/17c); circulaire 23 juli 2013 (CI/13/28c). 2 NVZ: Nederlandse Vereniging van Ziekenhuizen, NFU: Nederlandse Federatie van Universitaire medische centra, ZKN: Zelfstandige Klinieken Nederland, OMS: Orde van Medisch Specialisten, Fenac: Nederlandse Federatie van Audologische Centra, RN: Revalidatie Nederland. 3 Actiz: brancheorganisatie van aanbieders van onder meer geriatrische revalidatiezorg. 4 NPCF: Nederlandse Patiënten en Consumenten Federatie.

6 6/43 schriftelijke reactie gegeven. 5 Het definitieve rapport is op 25 oktober 2013 aan de NZa aangeboden. 1.3 Grenzen van het onderzoek De vraagstelling brengt mee dat het onderzoek zoals elk juridisch onderzoek begrensd is. In de eerste plaats richt het onderzoek zich op de verstrekking van gegevens over zorgactiviteiten door zorgaanbieders aan zorgverzekeraars. De verdere verstrekking van deze gegevens aan verzekerden behoort niet tot de vraagstelling. Omdat deze verdere verstrekking van belang is voor de met de besluiten van de NZa beoogde doelstellingen, zullen wij daaraan wel aandacht besteden. Een volledige analyse van de voorwaarden waaronder deze verstrekking kan plaatsvinden, is in dit rapport niet uitgevoerd. In de tweede plaats ziet de onderzoeksvraag op de extra gegevensverstrekking die zal plaatsvinden als gevolg van de besluiten van de NZa: de vermelding van zorgactiviteiten op nota s voor medisch-specialistische zorg. Deze nota s vermelden nu ook al privacygevoelige informatie, zoals het relevante DBC-zorgproduct en de typerende diagnose. De verstrekking van deze informatie wordt niet aan een juridische beoordeling onderworpen; wij gaan er, met andere woorden, vanuit dat deze verstrekking rechtmatig is. Eventuele aanbevelingen hebben om die reden dan ook uitsluitend betrekking op het vermelden van de zorgactiviteiten. Wij hebben als onderdeel van het bureauonderzoek kennis genomen van een juridisch onderzoeksrapport over dit onderwerp. 6 In de derde plaats behoort de medisch-specialistische zorg voor een groot deel tot de te verzekeren prestaties van de Zorgverzekeringswet. Het juridische kader voor de verstrekking van gegevens over niet-verzekerde zorg is niet helemaal hetzelfde als dat voor verzekerde zorg. Wij zullen in het rapport steeds de verzekerde zorg als uitgangspunt nemen. Op enkele plaatsen zal worden nagegaan of de daarvoor getrokken conclusies ook gelden voor niet-verzekerde zorg. 1.4 Plan van behandeling Dit rapport beschrijft het onderzoek en de uitkomsten daarvan. In hoofdstuk 2 wordt het juridische kader beschreven. Daarin komen de relevante wet- en regelgeving ( ), rechtspraak ( 2.5) en oordelen van toezichthouders ( 2.6) aan de orde. 5 Brief van 10 oktober 2013 van de NPCF aan de NZa resp. van 18 oktober 2013 van ZN aan de NZa. 6 Meijer, Hooghiemstra en Groenewegen, DOT en privacy, Het Expertise Centrum 2010 (rapport uitgebracht aan het ministerie van VWS).

7 7/43 Hoofdstuk 3 beschrijft de huidige toepassing van deze wet- en regelgeving. Aan de orde komen de relevante besluiten van de NZa ( 3.2 en 3.3) en de wijze waarop daaraan in de praktijk uitvoering wordt gegeven ( 3.4). Deze laatste paragraaf is grotendeels gebaseerd op de expert meeting. Hoofdstuk 4 beschrijft de verwachte toepassing van deze wet- en regelgeving, wanneer de besluiten van de NZa in werking zullen zijn getreden. De indeling van dit hoofdstuk is dezelfde als die van hoofdstuk 3. Hoofdstuk 5 bevat onze juridische beoordeling. Deze beoordeling valt uiteen in enkele onderwerpen: de grondslag voor de gegevensverstrekking ( 5.1), evenredigheid ( 5.2) en waarborgen ( ).

8 8/43 2 Juridisch kader 2.1 Inleiding In dit hoofdstuk komt de wetgeving aan de orde die van belang is voor het onderzoek: de Wet bescherming persoonsgegevens ( 2.2), de Zorgverzekeringswet ( 2.3) en de Wet marktordening gezondheidszorg ( 2.4). In 2.5 wordt relevante rechtspraak behandeld. In 2.6 komen oordelen van het College bescherming persoonsgegevens en de Article 29-Working Group aan de orde. 2.2 Wet bescherming persoonsgegevens De Wet bescherming persoonsgegevens (hierna: Wbp) geeft regels voor het verrichten van handelingen met betrekking tot persoonsgegevens, zoals het verzamelen, vastleggen, raadplegen, verstrekken en bewaren daarvan. De Wbp spreekt ook wel over verwerking van persoonsgegevens. Nu met de beoogde toevoeging van zorgactiviteiten aan de zorgnota (meer) persoonsgegevens worden verwerkt, is de Wbp daarop van toepassing. Iedere verwerking van persoonsgegevens moet een grondslag hebben. De Wbp bevat een aantal mogelijke grondslagen voor verwerkingen. 7 Eén van deze grondslagen is dat de verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is. 8 Een andere algemene regel voor de verwerking van persoonsgegevens is dat inbreuk die op de belangen van de betrokkene wordt gemaakt niet onevenredig mag zijn in verhouding tot het doel dat met de verwerking van de persoonsgegevens wordt gediend ( proportionaliteit ). Bovendien mag het doel niet op een voor de betrokkene minder bezwarende wijze kunnen worden bereikt. Is dat wel het geval, dan moet voor die minder bezwarende wijze worden gekozen ( subsidiariteit ). 9 Verder is van belang dat persoonsgegevens niet verder mogen worden verwerkt, dat wil zeggen voor een ander doel dan waarvoor zij zijn verkregen, als dat onverenigbaar is met het doel waarmee ze zijn verkregen Artikel 8 Wbp. 8 De verantwoordelijke is kort gezegd degene die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (art. 1 aanhef en onder d Wbp). Het is dus degene met "zeggenschap" over de persoonsgegevens. In dit geval is dat zowel de zorgaanbieder als de zorgverzekeraar. 9 Artikel 11 Wbp. 10 Artikel 9 Wbp.

9 9/43 Ook mogen persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de verwerkelijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt. 11 Daarnaast is van belang dat de verantwoordelijke passende technische en organisatorische maatregelen ten uitvoer dient te leggen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. 12 Degenen die onder het gezag van de verantwoordelijke handelen zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen (tenzij een wettelijk voorschrift tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit). 13 Een laatste relevante algemene regel is dat de betrokkene door de verantwoordelijke moet worden geïnformeerd over de doelen van de gegevensverwerking, tenzij de betrokkene daarvan al op de hoogte is. 14 Voor de verwerking van gegevens over iemands gezondheid geldt een belangrijke aanvullende regel: tenzij een beroep kan worden gedaan op één van de in de Wbp opgenomen uitzonderingen is de verwerking van dergelijke gegevens niet toegestaan. 15 Voor onderhavig geval zijn drie uitzonderingsgronden van belang: 1. Instellingen of voorzieningen voor gezondheidszorg mogen gezondheidsgegevens verwerken voor zover dat noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk. 16 Bij beheer kan het in de eerste plaats gaan om het waarborgen van de kwaliteit van de verleende zorg. Daarnaast kunnen verwerkingen die rechtstreeks verband houden met de betaling van rekeningen voor medische behandeling tot beheer worden gerekend Verzekeraars, waaronder zorgverzekeraars, mogen gezondheidsgegevens verwerken voor zover dat noodzakelijk is voor de uitvoering van de overeenkomst van verzekering Artikel 10 Wbp. Artikel 13 Wbp. Artikel 12 Wbp. Artikel 33 en 34 Wbp. Artikel 16 e.v. Wbp. Artikel 21 lid 1 aanhef en onder a Wbp. Kamerstukken II 1997/98, , nr. 3, p Artikel 21 lid 1 aanhef en onder b Wbp.

10 10/43 3. Gezondheidsgegevens mogen daarnaast worden verwerkt als dat noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald. 19 De zinsnede bij wet bepaald brengt met zich dat de verwerking van gezondheidsgegevens alleen mogelijk is als daar bij formele wet in is voorzien. Wel is het toegestaan om binnen het door de formele wetgever aangegeven kader bij algemene maatregel van bestuur of ministeriële regeling regels te stellen omtrent uitvoeringsaspecten die samenhangen met een dergelijke verwerking. 20 Als de wetgever van oordeel is dat een bepaalde verwerking noodzakelijk is met het oog op een algemeen zwaarwegend algemeen belang en voor die verwerking een uitdrukkelijke wettelijke basis creëert, hoeft bij de toepassing van de regeling niet steeds opnieuw in concreto aan de betreffende norm te worden getoetst Zorgverzekeringswet Verplichte verstrekking van noodzakelijke persoonsgegevens De Zorgverzekeringswet (hierna: Zvw) bevat een aantal bepalingen over de verstrekking van gegevens. 22 Eén van deze bepalingen bevat de verplichting voor zorgaanbieders die verzekerde zorg hebben verleend om de persoonsgegevens van de verzekerde aan de zorgverzekeraar te verstrekken die noodzakelijk zijn voor de uitvoering van de zorgverzekering of van [de Zvw]. Deze verplichting heeft ook betrekking op persoonsgegevens betreffende de gezondheid als bedoeld in de [Wbp]. 23 Als de zorgaanbieder de kosten van de verzekerde zorg op grond van een overeenkomst rechtstreeks aan de zorgverzekeraar in rekening kan brengen, moet hij de gegevens eveneens rechtstreeks aan de zorgverzekeraar ter beschikking stellen. 24 Als de zorgaanbieder de kosten van de zorg aan de patiënt in rekening brengt, moet hij de gegevens aan deze ter beschikking stellen, zodat die ze op zijn beurt aan zijn zorgverzekeraar kan verstrekken Artikel 23 lid 1 aanhef en onder e Wbp. De mogelijkheid dat deze verwerking plaatsvindt op basis van een ontheffing van het Cbp blijft hier buiten beschouwing. 20 Kamerstukken II 1997/98, , nr. 3, p Kamerstukken II 1997/98, , nr. 3, p Vgl. CBb 11 februari 2010, ECLI:NL:CBB:2010:BL Hoofdstuk 7, artikelen 86 t/m 93 Zvw. 23 Artikel 87 lid 1 en 2 Zvw. 24 Artikel 87 lid 1 Zvw. 25 Artikel 87 lid 2 Zvw.

11 11/43 De toelichting op deze verplichting gaat onder meer in op de verhouding met de Wbp. De gegevens die de zorgverzekeraar nodig heeft om na te gaan of en, zo ja, in welke mate hij verleende zorg moet betalen of vergoeden, zijn per definitie persoonsgegevens betreffende de gezondheid. De Wbp voorziet in strikte regels voor de verwerking van deze gegevens. Hoewel deze regels het mogelijk maken de voor de uitvoering van zorgverzekering benodigde gegevens te verwerken, heeft de wetgever ervoor gekozen deze mogelijkheid ook in de Zvw op te nemen. Daarvoor bestaan drie redenen: 1. omdat het om een privacy-gevoelig onderwerp gaat, is het goed om dit expliciet te regelen, het medisch beroepsgeheim kan uitsluitend met een wettelijk voorschrift worden opzij gezet; 27 de bepaling in de Zvw is zo n wettelijk voorschrift en 3. door de verstrekking van gegevens in de Zvw te regelen, kan aan de minister van VWS de bevoegdheid worden gegeven nadere voorwaarden te stellen. 28 Nadere bepalingen in Zvw De verplichting tot het verstrekken van gegevens strekt zich ook uit tot personen die bij de zorgaanbieder werkzaam zijn. 29 Medewerkers van de zorgverzekeraar, op wie niet al op grond van hun beroep (bijvoorbeeld dat van arts) een geheimhoudingsplicht rust, zijn op grond van de Zvw verplicht de van zorgaanbieders ontvangen gegevens geheim te houden. 30 De Zvw bepaalt voor welke doeleinden zorgverzekeraars de ontvangen persoonsgegevens verder mogen verwerken. De verdere verwerking van de verstrekte gegevens moet noodzakelijk zijn voor: - de betaling aan een zorgaanbieder of de vergoeding van zorgkosten aan een verzekerde, - de vaststelling van eigen bijdragen of het openstaande eigen risico, - het uitoefenen van het verhaalsrecht of - het verrichten van controle of fraudeonderzoek In de Nota naar aanleiding van het verslag wordt artikel 87 Zvw aangeduid als 'lex specialis' van artikel 21 Wbp, dat gaat over de verwerking van persoonsgegevens over de gezondheid. Kamerstukken II 2004/05, nr, 7, p Artikel 7:457 BW. 28 MvT Zvw, Kamerstukken II 2003/04, , nr. 3, p Artikel 87 lid 4 Zvw. 30 Artikel 87 lid 5 Zvw. 31 Artikel 87 lid 6 aanhef en onder e Zvw.

12 12/43 De zorgverzekeraar mag de verstrekte gegevens niet gebruiken voor het beoordelen en accepteren van een aspirant-verzekerde voor een aanvullende ziektekostenverzekering. 32 Nadere bepalingen in Regeling zorgverzekering De minister van VWS kan een aantal aspecten van de gegevensverstrekking nader regelen: - de gegevens die in ieder geval moeten worden verstrekt, - de wijze van gegevensverstrekking, - technische standaarden en beveiligingseisen en - doelen waarvoor de gegevens verder mogen worden verwerkt. 33 De minister van VWS heeft van de bevoegdheid tot nadere regeling van deze onderwerpen gebruik gemaakt in de Regeling zorgverzekering (hierna: Rzv). 34 In de Rzv zijn de in de Zvw geformuleerde doeleinden voor het gebruik van verstrekte gegevens nader uitgewerkt. Deze gegevens mogen worden gebruikt voor het verrichten van formele en materiële controle ten behoeve van: - de betaling aan een zorgaanbieder of de vergoeding van zorgkosten aan een verzekerde, - de vaststelling van eigen bijdragen of het openstaande eigen risico, - het uitoefenen van het verhaalsrecht of - het verrichten van controle of fraudeonderzoek. 35 Onder formele controle wordt verstaan een onderzoek waarbij de zorgverzekeraar nagaat: - of de zorg is verleend aan een persoon die bij de zorgverzekeraar verzekerd is, - of de zorg behoort tot het verzekerde pakket, - of de zorgaanbieder bevoegd is de zorg te verlenen en - of voor de gedeclareerde prestatie het juiste bedrag in rekening is gebracht. 36 Onder materiële controle wordt verstaan een onderzoek waarbij de zorgverzekeraar nagaat of de gedeclareerde prestatie echt geleverd ( rechtmatigheid ) is en of die prestatie gezien de gezondheidstoestand van de verzekerde het meest was aangewezen ( doelmatigheid ) Artikel 87 lid 6 aanhef en onder e Zvw. Artikel 87 lid 6 Zvw. Hoofdstuk 7, artikelen 7.1 t/m 7.10 Rzv. Artikel 7.1 lid 2 en 3 Rzv. Artikel 1 lid 1 aanhef en onder t Rzv. Artikel 1 lid 1 aanhef en onder u Rzv.

13 13/43 De Rzv bevat een lijst van persoonsgegevens waarover de zorgverzekeraar kan beschikken. Het gaat om de volgende gegevens: a. naam, adres, postcode en woonplaats, b. polisnummer, BSN, geslacht en geboortedatum, c. de prestatiebeschrijving van de aan de verzekerde geleverde prestatie, d. wanneer de prestatie is geleverd, e. het voor de geleverde prestatie in rekening gebrachte tarief, f. de gegevens die op grond van een declaratieregeling moeten worden verstrekt, g. de gegevens die noodzakelijk zijn om vast te stellen of de prestatie behoort tot het verzekerde pakket van die verzekerde, h. het bank- of girorekeningnummer en i. overige gegevens die noodzakelijk zijn voor het verrichten van materiële controle dan wel fraudeonderzoek. 38 Onder prestatiebeschrijving (onderdeel c) wordt verstaan de beschrijving van een prestatie zoals die op grond van de Wet marktordening gezondheidszorg is vastgesteld of tussen de verzekerde en de zorgaanbieder is overeengekomen. 39 Onder declaratieregeling (onderdeel f) wordt verstaan een regeling van de NZa over de specificatie van rekeningen voor zorg. 40 Deze regelingen worden hierna, onder 2.4, nader besproken. Gelijksoortige verplichting voor aanvullende ziektekostenverzekeringen De hiervoor beschreven verplichting heeft betrekking op zorg die behoort tot de te verzekeren prestaties van de Zvw. Voor zorg die niet tot deze prestaties behoort, kunnen consumenten een aanvullende ziektekostenverzekeringen sluiten. Om zeker te stellen dat verzekeraars ook over de gegevens kunnen beschikken die nodig zijn om dit soort verzekeringen uit te voeren, is voor aanvullende ziektekostenverzekeringen eenzelfde wettelijke verplichting als in de Zvw tot stand gebracht. 41 Ook deze verplichting is in een ministeriële regeling uitgewerkt Artikel 7.2 Rzv. 39 Artikel 1 lid 1 aanhef en onder r Rzv. 40 Artikel 1 lid 1 aanhef en onder s Rzv verwijst naar artikel 38 lid 3 onder b van de Wet marktordening gezondheidszorg. 41 Artikel 68a Wet marktordening gezondheidszorg. Zie ook Kamerstukken II 2006/07, , nr. 3, p Regeling persoonsgegevens vrijwillige ziektekostenverzekeringen WMG.

14 14/ Wet marktordening gezondheidszorg Medisch-specialistische zorg is onderworpen aan tariefregulering op grond van de Wet marktordening gezondheidszorg (hierna: Wmg). Besluiten over deze regulering worden genomen door de NZa. Twee centrale begrippen in de Wmg zijn prestatie en tarief. Prestatie wordt in de Wmg gedefinieerd als de levering van zorg door een zorgaanbieder ( ), tarief als de prijs voor een prestatie, een deel van een prestatie of een geheel van prestaties van een zorgaanbieder. 43 Als de NZa voor bepaalde zorg prestatiebeschrijvingen heeft vastgesteld, is het zorgaanbieders verboden tarieven voor andere dan deze prestatiebeschrijvingen te declareren. 44 Als de NZa bij bepaalde prestatiebeschrijvingen tarieven heeft bepaald, is het zorgaanbieders verboden afwijkende tarieven te declareren. 45 De Wmg verleent de NZa voorts de bevoegdheid regels te stellen over een enkele verwante onderwerpen: de administratie van zorgaanbieders en verzekeraars, 46 het declaratieverkeer 47 en informatieverstrekking door zorgaanbieders en verzekeraars. 48 De regels van de NZa over informatieverstrekking door zorgaanbieders kunnen onder meer betrekking hebben op het bekendmaken van tarieven en het specificeren van op verrichte prestaties betrekking hebbende rekeningen. 49 Regelingen van de NZa over dit laatste onderwerp worden, zoals hiervoor onder 2.3 besproken, in de Rzv als declaratieregeling aangeduid. De NZa is bevoegd om de hiervoor besproken regels te handhaven door middel van het geven van aanwijzingen, lasten onder dwangsom en bestuurlijke boetes Rechtspraak Het College van Beroep voor het bedrijfsleven (hierna: CBb) heeft in drie uitspraken oordelen gegeven over de toelaatbaarheid van het vermelden van diagnose-informatie Artikel 1 aanhef en onder j en k Wmg. Artikel 35 lid 1 aanhef en onder c en d Wmg. Artikel 35 lid 1 aanhef en onder a en b Wmg. Artikel 36 lid 3 Wmg. Artikel 37 Wmg. Artikelen 38 lid 3 en 7, 39 lid 2 en artikel 40 lid 4 jo. 38 lid 7 Wmg. Artikel 38 lid 3 Wmg. Artikelen 76 lid 1, 82 en 85 Wmg.

15 15/43 op nota s als gevolg van de vaststelling van diagnose-behandelingcombinaties (hierna: DBC s) als prestaties voor geestelijke gezondheidszorg. 51 Het CBb heeft geoordeeld dat de verplichting om diagnose-informatie op nota s te vermelden, zoals die in de geestelijke gezondheid gold, niet toelaatbaar is. De sterk samengevatte overwegingen van het CBb zijn de volgende: - de NZa is, ook gelet op artikel 8 EVRM, gehouden bij haar besluitvorming het subsidiariteitsbeginsel in ogenschouw te nemen; 52 - de NZa heeft de belangen die met deze verplichting worden gediend, te weten de controle van geleverde prestaties en het inkopen van zorg, voldoende aangetoond; 53 - tegenover deze belangen staan echter zwaarwegende privacybelangen; 54 - informatie over psychische diagnoses is in het algemeen privacygevoeliger dan informatie over somatische diagnoses, mede vanwege de stigmatisering van patiënten met een psychische aandoening en de negatieve effecten die het bekend worden van de diagnose op de behandeling van een patiënt met een psychische aandoening kan hebben; 55 - van belang is dat de informatie op nota s van zorgaanbieders bij de zorgverzekeraars onder ogen komen van een, onbepaalde en mogelijk grote, groep medewerkers [ ] voor wie geen medisch beroepsgeheim geldt en die niet onder de werking van het medisch tuchtrecht vallen ; 56 - bij haar besluitvorming moet de NZa voorts in ogenschouw nemen, dat 1. aan de opslag van gegevens gedigitaliseerde informatiesystemen hoe dan ook risico s zijn verbonden, 2. patiënten de omvang van deze risico s verschillend inschatten en 3. wanneer een patiënt dit risico als groot inschat, dit negatieve consequenties voor zijn behandeling kan hebben; 57 - voor patiënten die hun behandeling zelf betalen spelen de belangen bij vermelding van diagnose-informatie geen rol. 58 Het CBb komt daarom tot de slotsom dat een verplichting tot vermelding van diagnose-informatie op nota s in de geestelijke gezondheidszorg, zonder dat daarbij uitzonderingen zijn gemaakt voor patiënten die de behandeling zelf betalen en voor 51 CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056; CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297; CBb 21 maart 2013, ECLI:NL:CBB:2013:BZ CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o CBb 2 augustus 2010, ECLI:NL:CBB:2010:BN3056, r.o

16 16/43 patiënten die tegen deze vermelding bezwaar maken, in strijd is met het evenredigheidsbeginsel. 59 De NZa heeft de verplichting tot het vermelden van diagnose-informatie voor de geestelijke gezondheidszorg vervolgens zo aangepast, dat die niet langer geldt voor: 1. patiënten die aan hun zorgaanbieder te kennen geven dat zij de behandeling zelf zullen betalen en 2. patiënten die samen met de zorgaanbieder een privacyverklaring hebben ondertekend en deze verklaring aan de zorgverzekeraar hebben verstrekt. Het CBb heeft de aldus vormgegeven verplichting geaccepteerd Oordelen toezichthouders Oordelen Cbp Het Cbp heeft in de afgelopen tien jaar een aantal adviezen uitgebracht over onderwerpen die relevant zijn voor dit advies. Deze adviezen worden hierna kort samengevat. Een aantal adviezen van het Cbp heeft betrekking op het hanteren van DBC s als prestatie voor geestelijke gezondheidszorg. 61 Het ministerie van VWS heeft, na eerdere consultatie van het Cbp, het voorstel gedaan om in het kader van de DBCsystematiek bij kortdurende ambulante zorg en klinische zorg geen diagnoseinformatie op declaraties te vermelden en bij langdurige ambulante zorg wel diagnoseinformatie op de declaraties te vermelden. Het Cbp heeft met dit voorstel ingestemd. 62 Over een later voorstel tot wijziging van de DBC-systematiek heeft het Cbp geen advies uitgebracht. 63 Het Cbp heeft twee adviezen uitgebracht over de DBC-systematiek in de somatische medisch-specialistische zorg. 64 Het Cbp heeft in de eerste plaats geadviseerd over een voorgestelde aanvulling van de Ziekenfondswet met een bepaling die sterk lijkt op artikel 87 Zvw. 65 Het Cbp kan zich met de voorgestelde bepaling verenigen, zolang in 59 CBb 8 maart 2012, ECLI:NL:CBB:2012:BV8297, r.o en CBb 21 maart 2013, ECLI:NL:CBB:2013:BZ Advies Cbp 2 november 2005, kenmerk Z ; advies Cbp 18 september 2006, kenmerk Z ; advies Cbp 6 december 2006, kenmerk Z ; advies Cbp 26 april 2007; kenmerk Z Alle adviezen zijn te raadplegen op 62 Advies Cbp 6 december 2006, kenmerk Z Advies Cbp 26 april 2007, kenmerk Z Advies Cbp 10 februari 2004, kenmerk Z ; advies Cbp 12 februari 2007, kenmerk Z Beide adviezen zijn te raadplegen via 65 Het voorgestelde artikel 73a Ziekenfondswet is nooit in werking getreden, naar valt aan te nemen door de inwerkingtreding van de Zvw op 1 januari 2006.