ECLI:NL:RBMNE:2017:3421

Transcriptie

1 ECLI:NL:RBMNE:2017:3421 Instantie Datum uitspraak Datum publicatie Rechtbank Midden-Nederland Zaaknummer AWB - 16 _ 3326 Rechtsgebieden Bijzondere kenmerken Inhoudsindicatie Bestuursrecht Eerste aanleg - meervoudig Tussenbeschikking Verzoek om handhaving gericht op de verwerking van medische gegevens door de zorgverzekeraars in Nederland. Wet bescherming persoonsgegevens, handhaving, gedragscode, medische gegevens, 8 EVRM Samenvatting: Bestuurlijke lus. Het verzoek om handhaving van eiseres bestaat uit twee onderdelen: eiseres stelt dat verweerster de zorgverzekeraars moet opdragen om volgens een goedgekeurde gedragscode te gaan werken en eiseres verzoekt verweerster op te treden tegen de wijze waarop de zorgverzekeraars op dit moment feitelijk medische persoonsgegevens verwerken en verzamelen, omdat deze werkwijze volgens haar in strijd is met de Wbp, het Handvest en artikel 8 van het EVRM. De rechtbank volgt verweerster in het standpunt dat er geen wettelijke verplichting is aan te wijzen op grond waarvan de zorgverzekeraars gehouden zouden zijn om een gedragscode op te stellen en deze voor te leggen aan verweerster. Eiseres heeft verwezen naar een uitspraak van de rechtbank Amsterdam. Daarin was de situatie aan de orde dat de zorgverzekeraars een gedragscode ter goedkeuring aan verweerster hadden voorgelegd en verweerster een verklaring van goedkeuring had afgegeven. De rechtbank Amsterdam heeft in die procedure het beroep van een derde gegrond verklaard, omdat de voorgelegde gedragscode niet aan de daaraan te stellen vereisten voldeed. Verweerster heeft in reactie op die uitspraak goedkeuring aan die gedragscode alsnog onthouden en de zorgverzekeraars hebben geen gedragscode meer ter goedkeuring aan verweerster voorgelegd. Deze uitspraak van de rechtbank Amsterdam leidt er niet toe dat de zorgverzekeraars alsnog verplicht zouden zijn een gedragscode voor te leggen te goedkeuring. Wel ziet de rechtbank aanleiding om deze uitspraak te betrekken bij het tweede gedeelte van het handhavingsverzoek. Verweerster heeft niet weersproken dat de zorgverzekeraars de afgekeurde gedragscode nog steeds op hun websites hebben staan en kennelijk feitelijk volgens deze gedragscode werken. Verweerster had hierin aanleiding moeten zien om de kritiekpunten van de rechtbank Amsterdam na te gaan en te beoordelen of de manier waarop de zorgverzekeraars nu gegevens verzamelen en verwerken wel conform de Wbp en artikel 8 van het EVRM is. Verweerster had meer onderzoek moeten doen. Zij had zich niet zonder meer op het standpunt kunnen stellen dat zij geen indicatie had dat

2 de werkwijze van de zorgverzekeraars niet in orde zou zijn. Die indicatie is er namelijk wel: het gegeven dat de zorgverzekeraars nog steeds volgens een gedragscode zouden werken die de rechtbank Amsterdam als onvoldoende heeft beoordeeld. Verweerster wordt in de gelegenheid gesteld het gebrek te herstellen. Vindplaatsen Rechtspraak.nl Uitspraak RECHTBANK MIDDEN-NEDERLAND Zittingsplaats Utrecht Bestuursrecht zaaknummer: UTR 16/3326 T tussenuitspraak van de meervoudige kamer van 7 juli 2017 in de zaak tussen [eiseres], te [vestigingsplaats], eiseres (gemachtigde: J.M.T. Wijnberg), en de Autoriteit Persoonsgegevens, verweerster (gemachtigden: mr. H.A.H.D. de Vries en mr. F.E. van Beek). Procesverloop Bij besluit van 26 november 2015 (het primaire besluit) heeft het College Bescherming Persoonsgegevens (de rechtsvoorganger van verweerster) het verzoek van eiseres om handhavend op te treden tegen het zonder goedgekeurde gedragscode verzamelen en verwerken van medische persoonsgegevens door de Nederlandse zorgverzekeringsbedrijven afgewezen. Bij besluit van 1 juni 2016 (het bestreden besluit) heeft verweerster het bezwaar van eiseres ongegrond verklaard. Eiseres heeft tegen het bestreden besluit beroep ingesteld.

3 Verweerster heeft een verweerschrift ingediend. Het onderzoek ter zitting heeft plaatsgevonden op 10 maart Voor eiseres is verschenen haar gemachtigde en mr. [A]. Verweerster heeft zich laten vertegenwoordigen door haar gemachtigden. Overwegingen 1. Eiseres heeft verweerster verzocht om handhavend op te treden tegen het verwerken van medische persoonsgegevens door de Nederlandse zorgverzekeringsbedrijven. De Nederlandse zorgverzekeringsbedrijven zijn via Zorgverzekeraars Nederland (ZN), de branchevereniging, gevraagd of zij als derde-partij willen deelnemen aan deze procedure. ZN heeft de rechtbank bericht dat zij niet als derde-partij aan dit beroep zal deelnemen en ook de individuele zorgverzekeraars, die alle zijn aangesloten bij ZN, hebben zich niet als derde-partij gesteld. 2. Eiseres heeft zich in haar handhavingsverzoek op het standpunt gesteld dat de zorgverzekeraars al ruim tien jaar medische persoonsgegevens van de hele Nederlandse bevolking verzamelen en verwerken zonder dat daaraan een door verweerster goedgekeurde gedragscode ten grondslag ligt. Volgens eiseres zijn de zorgverzekeraars wettelijk verplicht om in overeenstemming met een door verweerster goedgekeurde gedragscode te werken. Verweerster moet er volgens eiseres op toezien dat de werkzaamheden van de zorgverzekeraars voldoen aan de eisen van de nationale en internationale wetgeving. Eiseres heeft in het bijzonder gewezen op de Wet bescherming persoonsgegevens (Wbp), het Handvest van de grondrechten van de Europese Unie (het Handvest) en artikel 8 van het (Europees) Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM). 3. Verweerster heeft het verzoek om handhaving afgewezen, omdat de zorgverzekeraars weliswaar als sector een verzoek om goedkeuring van een gedragscode bij verweerster kunnen indienen, zoals bedoeld in artikel 25 van de Wbp, maar zij daartoe - anders dan eiseres meent - niet wettelijk verplicht zijn. Verweerster kan dus niet aan het verzoek om handhaving van eiseres tegemoetkomen door de zorgverzekeraars te dwingen een gedragscode op te stellen en ter goedkeuring voor te leggen aan verweerster, omdat hiervoor een wettelijke grondslag ontbreekt. Verweerster heeft verder geen aanleiding om te veronderstellen dat de feitelijke werkwijze van de zorgverzekeraars bij het verzamelen en verwerken van medische persoonsgegevens op dit moment in strijd is met de Wbp of internationale of Unierechtelijke bepalingen. Eiseres heeft ook niet concreet gemaakt op welke wijze de zorgverzekeraars de wet zouden overtreden. Er bestaat geen aanleiding om op dit moment tot handhaving over te gaan in de richting van de zorgverzekeraars. 4. De rechtbank stelt vast dat het verzoek om handhaving van eiseres uit twee onderdelen bestaat. Eiseres stelt ten eerste dat verweerster de zorgverzekeraars moet opdragen om volgens een goedgekeurde gedragscode te gaan werken. Ten tweede verzoekt eiseres verweerster op te treden tegen de wijze waarop de zorgverzekeraars op dit moment feitelijk medische persoonsgegevens verwerken en verzamelen, omdat deze werkwijze volgens haar in strijd is met de Wbp, het Handvest en artikel 8 van het EVRM. Verweerster heeft, zo blijkt uit het bestreden besluit en de toelichting op zitting, het verzoek ook in die zin opgevat en beide onderdelen van het verzoek om handhaving beoordeeld. Ook de rechtbank gaat uit van deze uitleg van het verzoek om handhaving en beoordeelt in het navolgende de beide onderdelen van dat verzoek. 5. Ter onderbouwing van haar standpunt dat de zorgverzekeraars moeten werken aan de hand van een goedgekeurde gedragscode heeft eiseres verwezen naar de wetsgeschiedenis van de Zorgverzekeringswet (Zvw), in het bijzonder naar de motie Heemskerk (Kamerstukken II 2005/06, 29

4 689, nr. 23) die door de Tweede Kamer is aangenomen. De regering moest als gevolg daarvan zorg dragen voor een adequate privacyregeling die de goedkeuring van het College Bescherming Persoonsgegevens heeft. De wens van de Tweede Kamer is vervolgens uitgewerkt in artikel 1 van de Zvw, gelezen in samenhang bezien met artikel 7.4, van de Regeling zorgverzekering van 15 december 2005 (Stcrt. 2005, 249). De zorgverzekeraars zijn op grond van die artikelen verplicht om een gedragscode op te stellen en die ter goedkeuring aan verweerster voor te leggen. Zij moeten aan de hand van die gedragscode werken. 6. Van belang voor deze procedure is dat de zorgverzekeraars op 29 december 2010 ook daadwerkelijk hebben verzocht om afgifte van een verklaring als bedoeld in artikel 25 van de Wbp voor de Gedragscode Verwerking persoonsgegevens Zorgverzekeraars (de Gedragscode met bijbehorend Protocol Materiële Controle. Verweerster heeft de verzochte verklaring van goedkeuring afgegeven. Een belanghebbende heeft tegen dit besluit tot goedkeuring beroep ingesteld bij de rechtbank. De rechtbank Amsterdam heeft in haar uitspraak van 13 november 2013 (ECLI:NL:RBAMS:2013:7480) geoordeeld dat verweerster in redelijkheid niet tot goedkeuring van de Gedragscode heeft kunnen overgaan. Het beroep is gegrond verklaard en het bestreden besluit is vernietigd. Verweerster was vervolgens gehouden een nieuw besluit te nemen op het verzoek om goedkeuring van de zorgverzekeraars en heeft dit ook gedaan. Bij besluit van 19 december 2013 heeft zij haar eerdere besluit tot goedkeuring herzien en het verzoek van de zorgverzekeraars tot afgifte van een goedkeurende verklaring voor de Gedragscode alsnog afgewezen. Het besluit is gepubliceerd op de website van verweerster. Tegen dit besluit zijn geen rechtsmiddelen aangewend. Eiseres heeft ter zitting naar voren gebracht dat zij geen intrekking van het verzoek om goedkeuring van de Gedragscode heeft aangetroffen. Dat is juist. Die oorspronkelijke goedkeuringsprocedure is geëindigd met deze weigering van de goedkeuring. 7. Vast staat verder dat de zorgverzekeraars geen nieuw verzoek om goedkeuring van enige gedragscode hebben gedaan bij verweerster. Eveneens staat vast dat de Regeling zorgverzekering, op basis waarvan de zorgverzekeraars verplicht waren om een gedragscode voor te leggen aan verweerster per 8 juli 2010 is gewijzigd (Stcrt. 2010, 10581) en niet langer de verplichting bevat voor de zorgverzekeraars om een gedragscode op te stellen en ter goedkeuring voor te leggen aan verweerster. In de toelichting bij deze wijziging heeft de Minister van Volksgezondheid, Welzijn en Sport, onder punt 5 het volgende gezegd: 5. Naar een andere verhouding tussen Regeling zorgverzekering en gedragscode Ik acht een maatregel thans om drie redenen toch geboden: het ook in de toekomst gedurende langere tijd nog niet kunnen uitvoeren van detailcontroles kan het toezicht schaden op de besteding van zorgverzekeringsgelden en ook de financiële verantwoordingscyclus van zorgverzekeraars belemmeren; door in de Regeling zorgverzekering de essentialia op te nemen over de uitvoering van materiële controle en fraudeonderzoek door zorgverzekeraars, steunt de voor die uitvoering noodzakelijke verplichting voor zorgaanbieders tot medewerking aan detailcontrole (en doorbreking van het medisch beroepsgeheim) voortaan rechtstreeks op een wettelijke regeling krachtens de Zvw, in plaats van op een gedragscode. Het is uit een oogpunt van wetgevingssystematiek zuiverder om de medewerkingsverplichting van zorgaanbieders direct te doen steunen op een wettelijke regeling, dan op een gedragscode die door zelfregulering tot stand is gekomen en die door verwijzing in een ministeriële regeling een verbindend karakter krijgt; een structurele en toekomstbestendige regeling is ermee gediend dat de uitvoering van detailcontrole, en de plicht van zorgaanbieders om daaraan mee te werken, niet langer materieel afhankelijk is van (het aflopen

5 van) de goedkeuringstermijn en lopende goedkeuringsprocedures. 8. Eiseres heeft zich op het standpunt gesteld dat uit de uitspraak van de rechtbank Amsterdam volgt dat de zorgverzekeraars, ondanks deze wijziging van de Regeling zorgverzekering, een aangepaste gedragscode aan verweerster hadden moeten voorleggen met inachtneming van de kritiekpunten die de rechtbank Amsterdam in haar uitspraak heeft benoemd. De rechtbank volgt eiseres hierin niet. Van belang is dat de uitspraak van de rechtbank Amsterdam gaat over de situatie waarin een verzoek om goedkeuring op grond van artikel 25 van de Wbp aan verweerster is voorgelegd. Artikel 25 van de Wbp bevat als zodanig geen verplichting voor een partij om een gedragscode op te stellen en ter goedkeuring voor te leggen aan verweerster. Dit artikel strekt niet verder dan dat het de mogelijkheid biedt om een gedragscode ter goedkeuring voor te leggen aan verweerster. De gestelde verplichting voor de zorgverzekeraars tot het opstellen van een gedragscode en deze ter goedkeuring voorleggen aan verweerster, zal dus op iets anders gebaseerd moeten zijn. De Regeling zorgverzekering is zoals gezegd per 2010 gewijzigd en bevat geen artikel meer dat de zorgverzekeraars verplicht tot het opstellen van een gedragscode en voorlegging daarvan ter goedkeuring aan verweerster. Dit was overigens ook al de situatie toen de zorgverzekeraars in 2010 de Gedragscode ter goedkeuring aan verweerster voorlegden. Als zo n verzoek echter wordt voorgelegd, moet verweerster op grond van artikel 25 van de Wbp wel beoordelen of een verklaring van goedkeuring kan worden afgegeven en die beoordeling van verweerster kan de rechter vervolgens toetsen, zoals in dit geval dus ook is gebeurd. 9. Wat de rechtbank Amsterdam in die procedure heeft overwogen moet dus worden bezien in het licht van de kwestie die daar voorlag, namelijk de vraag of verweerster in redelijkheid toestemming heeft kunnen geven aan de Gedragscode. Deze situatie is hier niet meer aan de orde. De zorgverzekeraars hebben verweerster namelijk niet opnieuw verzocht om een goedkeuring van een gedragscode en zij zijn hiertoe ook niet (meer) op grond van de Regeling zorgverzekering verplicht. Eiseres heeft geen andere wet- of regeling genoemd die zo n verplichting voor de zorgverzekeraars bevat. Ook de rechtbank ziet zo n bepaling niet in enige regelgeving over dit onderwerp. Eiseres heeft wel gewezen op de wetsgeschiedenis en de oudere versie van de Regeling zorgverzekering. Zij maakt daaruit op wat de bedoeling van de wetgever was en concludeert daaruit dat er nog steeds een verplichting zou bestaan om een gedragscode ter goedkeuring aan verweerster voor te leggen. De rechtbank volgt dit niet. Als er geen bepaling is aan te wijzen waarin die bedoeling van de wetgever naar geldend recht concreet is vormgegeven, kan er geen verplichting voor de zorgverzekeraars worden aangenomen om toch een gedragscode aan verweerster ter goedkeuring voor te leggen. Verweerster heeft zich terecht op het standpunt gesteld dat zij niet handhavend kan optreden door de zorgverzekeraars te verplichten een gedragscode ter goedkeuring aan haar voor te leggen, omdat hiervoor een wettelijke basis ontbreekt. Verweerster heeft dit onderdeel van het verzoek van eiseres om handhaving terecht afgewezen. De beroepsgrond van eiseres slaagt niet. 10. Het tweede deel van het handhavingsverzoek gaat over de vraag of de zorgverzekeraars op dit moment feitelijk op juiste wijze medische persoonsgegevens verzamelen en verwerken. Eiseres stelt zich op het standpunt dat dit niet het geval is. Zij heeft in dat kader gesteld dat de zorgverzekeraars dezelfde gedragscode die zij in 2010 ter toetsing aan verweerster hebben voorgelegd en die niet correct is bevonden, nu op de website van ZN hebben geplaatst als gedragscode die geldt voor de hele sector. Eiseres heeft verder gesteld dat de individuele zorgverzekeraars op hun eigen websites een gedragscode hebben gepubliceerd die weer gelijkluidend is aan de gedragscode die op de website van ZN staat. De situatie is dus nu dat de zorgverzekeraars feitelijk handelen volgens een gedragscode die door de rechtbank Amsterdam is afgekeurd. Eiseres stelt dat het concreet mis gaat op het doelbindingsbeginsel, waardoor ook niet kan worden getoetst aan de vereisten van proportionaliteit en subsidiariteit. Ook noemt zij in dit verband dat bij de zorgverzekeraars niet goed is geregeld dat alleen personen met een beroepsgeheim medische gegevens kunnen inzien. Tot slot heeft zij in dit kader genoemd dat de medische gegevens door de manier van verwerking voor commerciële doeleinden gebruikt kunnen worden. Verweerster moet deze overtredingen aanpakken, aldus eiseres.

6 11. Verweerster heeft zich op het standpunt gesteld dat de uitspraak van de rechtbank Amsterdam een uitspraak is die is gedaan in het kader van een ander type procedure, namelijk een goedkeuringsprocedure op grond van artikel 25 van de Wbp. De rechtbank heeft volgens verweerster in die uitspraak geoordeeld dat in een gedragscode die ter goedkeuring aan verweerster wordt voorgelegd niet kon worden volstaan met een herhaling van de bepalingen uit de Wbp en uit de Regeling zorgverzekering. Een gedragscode moet meer specificering bevatten om te kunnen worden goedgekeurd. De rechtbank heeft het beroep daarom gegrond verklaard. Verweerster leest in de uitspraak niet dat de Gedragscode zelf in strijd zou zijn met de Wbp en artikel 8 van het EVRM. Dat de zorgverzekeraars nog werken met deze gedragscode is dus op zichzelf genomen, volgens verweerster, geen probleem en vormt geen aanwijzing dat er sprake zou zijn van overtredingen van de Wbp. Verweerster heeft zich verder op het standpunt gesteld dat de gedragscode van de zorgverzekeraars achterhaald is en dat feitelijk niet conform deze gedragscode wordt gewerkt. Bij navraag aan de Nederlandse Zorgautoriteit en ZN blijkt dat er feitelijk anders wordt gehandeld dan op de websites staat. Verweerster stelt verder dat er interne protocollen en werkwijzen zijn die de zorgverzekeraars hanteren. Er bestaat voor verweerster geen aanleiding om aan te nemen dat deze feitelijke werkwijze niet conform de nationale wet- en regelgeving of de internationale en Unierechtelijke regels zou zijn. Eiseres heeft niet concreet gemaakt wat er mis is met de werkwijze van de zorgverzekeraars, aldus verweerster. 12. De rechtbank oordeelt dat verweerster de uitspraak van de rechtbank Amsterdam te beperkt heeft opgevat. In die uitspraak heeft de rechtbank Amsterdam op verschillende punten toegelicht waarom de Gedragscode niet voor goedkeuring in aanmerking kwam. Enige van die punten zijn ook in deze handhavingszaak van betekenis, namelijk in die zin dat ook zonder goedgekeurde gedragscode de verwerking wel in orde moet zijn, zodat de tekortkomingen van de Gedragscode die de rechtbank Amsterdam signaleert doorwerken in de vereiste wijze van verwerking. 13. In de overwegingen en van de uitspraak heeft de rechtbank geoordeeld dat de zorgverzekeraars in de Gedragscode geen uitzonderingsregels hebben opgenomen om diagnoseinformatie bij psychische klachten niet elektronisch te verstrekken. Het College van Beroep voor het bedrijfsleven (CBb) heeft in een eerdere uitspraak geoordeeld dat diagnose-informatie bij de behandeling van psychische klachten aan de kern van het privéleven van patiënten raakt en van zwaarwegend belang is voor zowel de patiënten als de zorgverleners. Met het oog daarop had de Gedragscode moeten voorzien in een afwijkende, verbijzonderende regeling voor de vermelding van medische persoonsgegevens op de declaratie. Het belang van beschikbaarheid van diagnoseinformatie wordt in zijn algemeenheid erkend, maar dat betekent niet dat in alle gevallen de noodzaak bestaat dat de diagnose-informatie op de declaratie wordt vermeld en onder ogen komt van personen voor wie geen medisch beroepsgeheim geldt en die niet onder medisch tuchtrecht vallen. De rechtbank Amsterdam wijst ook op de mogelijkheid dat digitale verwerking van persoonsgegevens de mogelijkheid met zich brengt dat derden tot die gegevens toegang krijgen en de gegevens bijvoorbeeld gebruikt worden voor marketingdoeleinden, waarmee de doelbinding onvoldoende is verzekerd. In rechtsoverweging heeft de rechtbank geconcludeerd dat de uitzonderingsbepaling over het doelbindingsbeginsel zoals die is opgenomen in artikel 3.13 van de Gedragscode onvoldoende is gespecificeerd. In dit artikel is onvoldoende duidelijk uitgewerkt door wie het doelbindingsbeginsel opzijgezet kan worden. Ook op dit punt voldoet de Gedragscode niet. In rechtsoverweging heeft de rechtbank geoordeeld dat zij verweerster niet volgt in haar standpunt dat met het koppelen van de verwerking van persoonsgegevens aan specifieke bedrijfsprocessen en bedrijfsonderdelen ongeautoriseerd gebruik van de persoonsgegevens wordt voorkomen. De zogeheten Chinese muren zijn daarvoor onvoldoende. In rechtsoverweging heeft de rechtbank geoordeeld dat in de Gedragscode nader moet worden omschreven wat de verplichtingen van de verwerkers zijn. In rechtsoverweging heeft de rechtbank Amsterdam overwogen dat de Gedragscode niet voldoende waarborgen biedt dat de medische persoonsgegevens niet onder ogen van anderen komen.

7 14. Uit de memorie van toelichting bij de Wbp volgt dat een gedragscode een vertaling moet zijn van de wettelijke normen naar de informatiepraktijk van de betrokken sector en dan vooral op die punten waar de behoefte aan meer concrete waarborgen zich het meest voordoet. De algemene en flexibele normen van de wet dienen in een gedragscode een nauwkeurigere vertaling te krijgen in het licht van de sector waar het om gaat. Voor de zorgverzekeringsbranche is, zoals hiervoor is overwogen, een gedragscode niet meer verplicht, maar dat betekent niet dat de door de rechtbank Amsterdam gesignaleerde omissies in de toen voorliggende Gedragscode geen betekenis meer zouden hebben. Uit de uitspraak van de rechtbank Amsterdam volgt dat de werkwijze van de zorgverzekeraars die werkten met een gedragscode op dat moment de toets aan artikel 8 van het EVRM en de Wbp niet konden doorstaan. Verweerster had daarom onder andere naar aanleiding van het verzoek om handhaving van eiseres onderzoek moeten doen naar de vraag of daarin verandering is gekomen. Verweerster stelt dat zij in het handhavingsverzoek van eiseres geen aanknopingspunten heeft gevonden om aan te nemen dat dit niet het geval is, maar de rechtbank ziet in de uitspraak van de rechtbank Amsterdam voldoende aanleiding dat er toentertijd iets mis was met de wijze waarop de zorgverzekeraars hadden voorzien in de manier van gegevensverzameling en gegevensverwerking. Dat de zorgverzekeraars op hun websites laten weten nog steeds volgens de afgekeurde Gedragscode te werken, is eens te meer een aanwijzing dat deze werkwijze (nog) niet is gewijzigd en dat maakt dat de aanname van verweerster dat de zorgverzekeraars nu wel op een juiste wijze de medische persoonsgegevens verzamelen en verwerken niet goed te volgen. Verweerster heeft verder ter zitting verklaard dat de werkwijze van de zorgverzekeraars inmiddels anders zou zijn, dat zij interne protocollen hebben en dat zij conform de wet- en regelgeving en in afwijking van de gepubliceerde gedragscode handelen. Dit heeft verweerster echter onvoldoende concreet gemaakt en dat is onvoldoende transparant en controleerbaar voor de rechtbank en anderen, zoals eiseres. Hoe de zorgverzekeraars nu feitelijk omgaan met de punten die door de rechtbank Amsterdam zijn genoemd als knelpunt, heeft verweerster dus niet toegelicht. Verwacht had mogen worden dat verweerster zou specificeren hoe de zorgverzekeraars hun werkwijze hebben aangepast. Verweerster had hier mede naar aanleiding van het verzoek om handhaving van eiseres nader onderzoek naar moeten doen en in haar besluitvorming moeten toelichten waarom zij er niet aan twijfelt dat de zorgverzekeraars nu op juiste wijze omgaan met de medische persoonsgegevens. Verweerster heeft te gemakkelijk aangenomen dat de werkwijze van de zorgverzekeraars wel in orde is, zonder transparant te maken naar eiseres en de rechtbank waarop zij dit baseert. Het bestreden besluit is daarom in strijd met artikel 3:2 en artikel 7:12, eerste lid, van de Algemene wet bestuursrecht (Awb). De beroepsgrond van eiseres slaagt. 15. Op grond van artikel 8:51a, eerste lid, van de Awb kan de rechtbank het bestuursorgaan in de gelegenheid stellen een gebrek in het bestreden besluit te herstellen of te laten herstellen. Op grond van artikel 8:80a van de Awb doet de rechtbank dan een tussenuitspraak. De rechtbank ziet aanleiding om verweerster in de gelegenheid te stellen het gebrek te herstellen. Dat herstellen kan hetzij met een aanvullende motivering, hetzij, voor zover nodig, met een nieuwe beslissing op bezwaar, na of tegelijkertijd met intrekking van het nu bestreden besluit. Om het gebrek te herstellen, moet verweerster nader onderzoeken hoe de zorgverzekeraars de medische persoonsgegevens verzamelen en verwerken en daarbij de door de rechtbank Amsterdam gesignaleerde knelpunten, die hiervoor zijn aangehaald onder 13, betrekken. Verweerster zal dus moeten onderzoeken of de zorgverzekeraars op die punten een overtreding begaan en moeten motiveren waarom zij al dan niet tot handhaving overgaat. De rechtbank bepaalt de termijn waarbinnen verweerster het gebrek kan herstellen op acht weken na verzending van deze tussenuitspraak. 16. De rechtbank merkt nogmaals op dat de zorgverzekeraars dus niet gehouden zijn om volgens een goedgekeurde gedragscode te handelen, maar verweerster moet wel nader onderzoeken of de zorgverzekeraars hun werkwijze in lijn hebben gebracht met de Wbp, het Handvest en artikel 8 van het EVRM, waarbij moet blijken dat zij de conclusies van de rechtbank Amsterdam bij hun handelwijze hebben betrokken. Dat de afgekeurde Gedragscode nog steeds als leidend beginsel op de site van ZN staat en dat de individuele gedragscodes van de zorgverzekeraars daarvan een kopie zou zijn (wat

8 de rechtbank op zichzelf genomen niet heeft gecontroleerd, maar wat onweersproken is gesteld door eiseres), is een belangrijke contra-indicatie dat de zorgverzekeraars op dit moment op dit punt correct zouden handelen. Dat had voldoende moeten zijn voor verweerster om in actie te komen. 17. Verweerster moet op grond van artikel 8:51b, eerste lid, van de Awb èn om nodeloze vertraging te voorkomen zo spoedig mogelijk, maar uiterlijk binnen twee weken, meedelen aan de rechtbank of zij gebruik maakt van de gelegenheid het gebrek te herstellen. Als verweerster gebruik maakt van die gelegenheid, zal de rechtbank eiseres in de gelegenheid stellen binnen vier weken te reageren op de herstelpoging van verweerster. In beginsel, ook in de situatie dat verweerster de hersteltermijn ongebruikt laat verstrijken, zal de rechtbank zonder tweede zitting uitspraak doen op het beroep. 18. Het geding zoals dat na deze tussenuitspraak wordt gevoerd, blijft in beginsel beperkt tot de beroepsgronden zoals die zijn besproken in deze tussenuitspraak, omdat het inbrengen van nieuwe geschilpunten over het algemeen in strijd met de goede procesorde wordt geacht. De rechtbank verwijst naar de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (ABRvS) van 12 juni 2013 (ECLI:NL:RVS:2013:CA2877). 19. De rechtbank houdt iedere verdere beslissing aan tot de einduitspraak op het beroep. Dat laatste betekent ook dat zij over de proceskosten en het griffierecht nu nog geen beslissing neemt. Beslissing De rechtbank: - draagt verweerster op binnen twee weken aan de rechtbank mee te delen of zij gebruik maakt van de gelegenheid het gebrek te herstellen; - stelt verweerster in de gelegenheid om binnen acht weken na verzending van deze tussenuitspraak het gebrek te herstellen met inachtneming van de overwegingen en aanwijzingen in deze tussenuitspraak; - houdt iedere verdere beslissing aan. Deze uitspraak is gedaan door mr. D.A. Verburg, voorzitter, en mr. G.A. Bouter-Rijksen en mr. H.H.L. Krans, leden, in aanwezigheid van mr. M.E.C. Bakker, griffier. De beslissing is in het openbaar uitgesproken op 7 juli griffier voorzitter Afschrift verzonden aan partijen op: Rechtsmiddel

9 Tegen deze tussenuitspraak staat nog geen hoger beroep open. Tegen deze tussenuitspraak kan hoger beroep worden ingesteld tegelijkertijd met hoger beroep tegen de (eventuele) einduitspraak in deze zaak.