Bevindingen De bevindingen van het CBP luiden als volgt:

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN Zorgverzekeraar DATUM 27 februari 2003 CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Apotheek/Zorgverzekeraar Naar aanleiding van de klacht van mevrouw A van Apotheek B (hierna te noemen: verzoekster) bij brief van 20 augustus 2002 met bijlagen, heeft het College bescherming persoonsgegevens (CBP) besloten een onderzoek in te stellen. Hieronder volgen de bevindingen in deze zaak. Klacht Op grond van de door verzoekster verstrekte gegevens is de klacht als volgt geformuleerd: De klacht van verzoekster heeft betrekking op de door Zorgverzekeraar in artikel 10 van het Addendum modelovereenkomst leverancier van hulpmiddelen (hierna te noemen Addendum ) opgenomen verplichting Zorgverzekeraar van een geautomatiseerde rapportage met gegevens omtrent het individuele verbruik per verzekerde van diabetes-testmateriaal, te voorzien. De gewraakte bepaling luidt als volgt: De leverancier voorziet [Zorgverzekeraar], naast de declaratie, kwartaalsgewijs van een geautomatiseerde rapportage. [Zorgverzekeraar] voorziet de leverancier van het elektronische format waarin de rapportage plaats dient te vinden. De rapportage bevat gegevens omtrent het individuele gebruik per verzekerde.. Verzoekster is van oordeel dat de gevraagde gegevens omtrent het individuele gebruik per verzekerde door haar niet verstrekt mogen worden aan Zorgverzekeraar. Verstrekking van deze gegevens aan Zorgverzekeraar levert volgens verzoekster schending van de Wet bescherming persoonsgegevens (WBP) op. Onderzoek Bij brief van 1 oktober 2002 heeft het CBP u in de gelegenheid gesteld op de klacht te reageren en daarnaast verzocht een aantal vragen te beantwoorden. Deze reactie werd op 31 oktober 2002 ontvangen. Aansluitend heeft het CBP u op 20 december 2002 zijn voorlopige bevinden toegezonden met het verzoek daarop te reageren. Dat heeft Zorgverzekeraar op 16 januari 2003 gedaan. In de reactie heeft Zorgverzekeraar enkele opmerkingen gemaakt die leiden tot een aanvulling van de gronden waarop het oordeel van het CBP is gebaseerd. Bevindingen De bevindingen van het CBP luiden als volgt: - Standpunt verzoekster Verzoekster stelt zich op het standpunt dat zij niet is gehouden Zorgverzekeraar van de in artikel 10 Addendum gevraagde informatie te voorzien, daar dit in strijd zou zijn met de verplichtingen die de WBP haar oplegt. Met name de verplichting omschreven in artikel 11 WBP, dat bepaalt dat BIJLAGEN BLAD 1

2 de persoonsgegevens slechts mogen worden verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of verder worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn, is volgens verzoekster geschonden. - Standpunt Zorgverzekeraar Zorgverzekeraar stelt zich op het standpunt dat zij op grond van artikel 2a Verstrekkingenbesluit Ziekenfondswet mag onderzoeken of de verstrekking van hulpmiddelen doelmatig geschiedt. Artikel 2a Verstrekkingenbesluit luidt (voorover relevant) als volgt: de aanspraak op een verstrekking kan slechts tot gelding worden gebracht voor zover de verzekerde, gelet op zijn behoefte en uit een oogpunt van doelmatige zorgverlening, redelijkerwijs daarop naar aard, inhoud en omvang is aangewezen. In artikel 7 van de modelovereenkomst ziekenfondsleverancier van hulpmiddelen 2000 is een verplichting voor de leverancier opgenomen om het ziekenfonds inzicht te verschaffen in de verstrekking van hulpmiddelen aan de verzekerde. De uitwerking van deze verplichting ten aanzien van diabetestestmateriaal is opgenomen in artikel 10 van het Addendum. Tevens geeft Zorgverzekeraar aan dat zij reeds over de gevraagde gegevens kan beschikken, deze kunnen uit de declaratie worden gehaald. Omdat dit arbeidsintensief is, vraagt Zorgverzekeraar de leverancier van hulpmiddelen dit te doen. In het addendum bij de overeenkomst voor het jaar 2003 heeft Zorgverzekeraar voor een nietdwingende formulering van de rapportageverplichting gekozen. In de brief van 16 januari 2003 voegt Zorgverzekeraar daaraan toe dat de rapportageverplichting is opgenomen met het oog op de uitvoering van artikel 44 Ziekenfondswet jo artikel 1, onder c van het Besluit controletaak ziekenfondsen. Artikel 44 Ziekenfondswet ziet op de verplichting van de ziekenfondsen overeenkomsten te sluiten met personen en instellingen die verstrekkingen kunnen verlenen waarop verzekerden aanspraak kunnen maken. Artikel 1, onder c Besluit controle-taak ziekenfondsen geeft de ziekenfondsen het recht controle uit te oefenen op een zowel naar prestatie als naar kosten verantwoorde uitvoering van de overeenkomsten als bedoeld in artikel 44 Ziekenfondswet. Artikel 2 van dit besluit bepaalt over de wijze van toezicht dat de ziekenfondsen zich dienen te voorzien van de gegevens welke voor een doeltreffende controle nodig zijn, rekening houdend met de bescherming van de persoonlijke levenssfeer en met het medisch beroepsgeheim. In de brief van 16 januari 2003 erkent Zorgverzekeraar dat het op voorhand verzamelen van individuele verbruiksgegevens in het kader van het uitoefenen van de controletaak niet nodig is. Zorgverzekeraar geeft aan dat kan worden volstaan met een geanonimiseerde kwartaalrapportage. Norm / wettelijk kader Ingevolge artikel 16 WBP is het niet toegestaan bijzondere persoonsgegevens (waaronder gezondheidsgegevens) te verwerken. Het verbod is niet van toepassing voor zover aan de in artikel 21 of 23 WBP genoemde voorwaarden is voldaan. Voor de verzekeraar geldt de uitzondering van artikel 21, eerste lid, onder b, WBP, mits aan de daar genoemde voorwaarden is voldaan. Dit betekent in concreto dat de persoonsgegevens mogen worden verwerkt die noodzakelijk zijn voor de uitvoering van de verzekeringsovereenkomst. Daarnaast gelden BLAD 2

3 uiteraard onverminderd de overige bepalingen uit de WBP. De WBP bevat onder meer normen die zien op de rechtmatigheid van de verwerking: de verwerking moet behoorlijk en zorgvuldig zijn, voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, verwerking mag slechts geschieden indien er een verwerkingsgrond aanwezig is, verdere verwerking moet met de doeleinden verenigbaar zijn en persoonsgegevens moeten afdoende beveiligd worden. In dit kader is met name artikel 11, eerste lid, WBP van belang. Dat artikel bepaalt dat persoonsgegevens slechts mogen worden verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn. Daarnaast geldt dat de verwerking van persoonsgegevens achterwege blijft voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift daaraan in de weg staat (artikel 9 lid 4 WBP). De apotheker heeft op grond van artikel 88 Wet op de beroepen in de individuele gezondheidszorg (Wet BIG) een geheimhoudingsplicht. Dat artikel luidt als volgt: Een ieder is verplicht geheimhouding in acht te nemen ten opzichte van al datgene wat hem bij het uitoefenen van zijn beroep op het gebied van de individuele gezondheidszorg als geheim is toevertrouwd, of wat daarbij als geheim te zijner kennis is gekomen of wat daarbij te zijner kennis is gekomen en waarvan hij het vertrouwelijke karakter moest begrijpen. Het beroepsgeheim is niet absoluut. Doorbreking van het geheim kan plaatsvinden op grond van een wettelijk voorschrift of toestemming van de betrokkene. Ook kan doorbreking van het geheim geschieden op basis van een conflict van plichten zoals is bedoeld in artikel 40 Wetboek van Strafrecht (overmacht). Artikel 1 onder c Besluit controle-taak ziekenfondsen geeft de ziekenfondsen het recht controle uit te oefenen op een zowel naar prestatie als naar kosten verantwoorde uitvoering van de overeenkomsten als bedoeld in artikel 44 Ziekenfondswet. Artikel 44 Ziekenfondswet ziet op de verplichting van de ziekenfondsen overeenkomsten te sluiten met personen en instellingen die verstrekkingen kunnen verlenen waarop verzekerden aanspraak kunnen maken. Het artikel omschrijft welke bepalingen in een dergelijke overeenkomst moeten worden opgenomen. Artikel 44, derde lid jo. artikel 45, eerste lid onder e Ziekenfondswet behelst de verplichting in de overeenkomst op te nemen dat er controle plaats vindt op de naleving van de overeenkomst, waaronder begrepen de controle op de te verrichten dan wel verrichte prestaties en de juistheid van de daarvoor in rekening gebrachte bedragen, alsmede de verplichting tot verstrekking van gegevens ten behoeve van deze controle. Artikel 2 van het besluit controle-taak ziekenfondsen bepaalt over de wijze van toezicht dat de ziekenfondsen zich dienen te voorzien van de gegevens welke voor een doeltreffende controle nodig zijn, rekening houdend met de bescherming van de persoonlijke levenssfeer en met het medisch beroepsgeheim. Tot slot is in het Besluit uitoefening artsenijbereidkunst in artikel 31 opgenomen dat de apotheker een recept aan niemand ter inzage mag geven, noch afschrift daarvan mag verstrekken, noch op andere wijze de inhoud bekend mag maken, dan aan de categorieën personen in het artikel genoemd. Een uitzondering wordt gemaakt in artikel 31, zevende lid, Besluit, de apotheker mag aan met controle belaste artsen, apothekers en apothekers-assistenten van naamloze BLAD 3

4 vennootschappen voor welker rekening aan verzekerden geneesmiddelen worden verstrekt, een gespecificeerde rekening van de voor hun rekening geleverde geneesmiddelen en inzage in of afschrift van de recepten geven. Die gespecificeerde rekeningen en afschriften mogen aan niemand ter inzage worden gegeven en de inhoud mag ook niet op andere wijze aan derden (met uitzondering van enkele in het artikel genoemde categorieën personen) bekend worden gemaakt. Beoordeling Zorgverzekeraar verkrijgt van verzoekster declaratiegegevens teneinde verzoekster te kunnen betalen voor verstrekking van diabetes-testmateriaal aan bij Zorgverzekeraar verzekerde patiënten. Daarnaast wenst Zorgverzekeraar nadere verbruiksgegevens per individuele gebruiker te verkrijgen. Zorgverzekeraar stelt de nadere verbruiksgegevens die zij van de apothekers wenst te verkrijgen, nodig te hebben om te controleren of verstrekking van hulpmiddelen doelmatig geschiedt. Het CBP erkent de controlebevoegdheid van Zorgverzekeraar, doch betwist de rechtmatigheid van de wijze waarop Zorgverzekeraar daar invulling aan geeft. De rechtmatigheid is op twee elkaar versterkende gronden in het geding. Deze komen samen in artikel 2 Besluit controle-taak ziekenfondsen, dat Zorgverzekeraar verplicht om bij het uitoefenen van haar controletaak rekening te houden met de bescherming van de persoonlijke levenssfeer en met het medisch beroepsgeheim. Het structureel verstrekken van het individuele gebruik van diabetestestmateriaal per verzekerde door de apotheker aan de zorgverzekeraar acht het CBP in strijd met artikel 11 WBP en het gestelde in artikel 21, eerste lid, sub b, onder 2 WBP. De door Zorgverzekeraar gewenste controle kan steekproefsgewijs en op geaggregeerd niveau plaatsvinden, daarvoor zijn in beginsel geen individuele patiëntengegevens noodzakelijk. Als er twijfel bestaat over de juistheid van de declaratie en de verstrekking van medicijnen en andere middelen kan het gerechtvaardigd zijn dat de zorgverzekeraar een nader onderzoek instelt. Het op voorhand verzamelen van alle verbruiksgegevens op individueel patiëntenniveau is dan ook niet geoorloofd. Zorgverzekeraar erkent dit standpunt in haar brief van 16 januari Tevens is de verstrekking van gegevens omtrent het individuele gebruik van diabetes-testmateriaal door de apothekers aan Zorgverzekeraar in strijd met de geheimhoudingsplicht die ingevolge artikel 88 Wet BIG op hen rust en komt daarmee ook in strijd met artikel 9, vierde lid, WBP. Overigens is ook niet voldaan aan de vereisten ingevolge artikel 31, zevende lid, Besluit uitoefening artsenijbereidkunst. Conclusie Zorgverzekeraar verplicht de leveranciers van hulpmiddelen door de voorgeschreven werkwijze, waarbij deze verplicht worden tot rapportage van gegevens omtrent het individuele gebruik per verzekerde van diabetes-testmateriaal tot een verwerking van medische gegevens die niet noodzakelijk is voor het uitoefenen van de controle-taak. Tevens is de verplichting in strijd met het op apothekers rustende beroepsgeheim. De klacht van verzoekster is derhalve gegrond. BLAD 4

5 Uit het voorgaande blijkt dat Zorgverzekeraar in de periode dat de overeenkomsten - met het addendum waarin de verplichting tot het doen van gedetailleerde kwartaalrapportages is opgenomen - met de betrokken apothekers van kracht is geweest, ten onrechte gedetailleerde kwartaalrapportages met betrekking tot het gebruik van diabetestest-materiaal per individuele verzekerde heeft verzameld en verwerkt. De betrokken apothekers dienen binnen vier weken na dagtekening van deze brief van het standpunt van het CBP op de hoogte te worden gebracht door Zorgverzekeraar. Zorgverzekeraar dient in de berichtgeving aan de apothekers tevens aan te geven op welke wijze zij ervoor zal zorg dragen dat de onterecht verkregen kwartaalrapportages niet (meer) worden gebruikt. CBP adviseert Zorgverzekeraar in de (nieuwe) overeenkomsten met apothekers duidelijk te omschrijven dat volstaan kan worden met het verstrekken van geaggregeerde gegevens per kwartaal. Uitsluitend indien er, na controle middels geaggregeerde gegevens, twijfel bestaat over de juistheid van de declaratie en de verstrekking van medicijnen en andere middelen door verstrekkers (bijvoorbeeld apothekers) en/of verzekerden, kan het gerechtvaardigd zijn dat de zorgverzekeraar een nader onderzoek instelt. Afsluiting Een afschrift van deze brief heeft het CBP gezonden aan verzoekster en aan het College voor Zorgverzekeraars. Gelet op deze brief acht het CBP de zaak hiermee afgedaan. Hoogachtend, mr. U. van de Pol Collegelid BLAD 5