Patiëntgegevens

Herleidbaarheid van individuele personen


Wanneer is er sprake van herleidbaarheid van individuele personen?

Herleidbaarheid van individuele personen

Begin augustus heeft de rechtbank Midden-Nederland in een kort geding procedure een uitspraak gedaan waarin de verwerking van persoonsgegevens (patiëntgegevens in het bijzonder) centraal stond. Twee GGZ-belangenorganisaties en twee cliënten spanden het kort geding aan tegen de Stichting Benchmark GGZ (SBG) met onder meer de eis de verwerking van patiëntgegevens te staken totdat in rechte is komen vast te staan dat de verwerking van de patiëntgegevens rechtmatig is. De eisende partijen zijn, kort gezegd, van oordeel dat SBG met de verwerking van de persoonsgegevens niet voldoet aan de Wet bescherming persoonsgegevens.

Het doel van Stichting Benchmark GGZ is de kwaliteit van de zorg in de GGZ te verbeteren door als onafhankelijke partij transparantie te bieden over de behandelresultaten. Hieraan geven zij invulling door het effect van de behandeling bij groepen patiënten met betrouwbare en valide meetinstrumenten te meten en uitkomsten te vergelijken. Hiertoe verzamelt en verwerkt SBG gegevens die betrekking hebben op de kwaliteit van de geestelijke gezondheidszorg. Zij doet dit aan de hand van gegevens die door de verschillende zorgaanbieders aan de stichting ZorgTTP worden aangeleverd en na bewerking door ZorgTTP aan SBG worden verstrekt. ZorgTTP ondersteunt bij het uitwisselen van databestanden met mogelijk privacygevoelige informatie en is gespecialiseerd in onomkeerbare eenwegpseudonimisatie van persoonsgegevens. GGZ-organisaties evalueren het resultaat van hun handelen, koppelen deze resultaten terug aan de cliënt, en stellen op basis daarvan het behandelplan van de individuele cliënt bij. Hiertoe wordt Routine Outcome Monitoring (ROM) toegepast: het routinematig meten, evalueren en terugkoppelen van uitkomsten gefaciliteerd door onder andere digitale toepassingen.

Het geding

Waar ging het in dit kort geding om? De eiseressen in dit kort geding stellen dat de wijze waarop SBG haar ROM-activiteiten ontplooit in strijd is met onder meer het recht op bescherming van het privéleven in de zin van art. 8 EVRM. De eiseressen stellen voorts dat de aan SBG aangeleverde en door haar verwerkte gegevens, persoonsgegeven zijn in de zin van de Wbp. Hiermee dient het handelen van SBG te voldoen aan de desbetreffende wettelijke voorschriften hetgeen niet het geval is, zo stellen de eiseressen: SBG zou de beginselen van proportionaliteit en subsidiariteit niet in acht nemen omdat de verwerking van de gegevens niet bijdraagt aan de doelstellingen van de verwerking ervan en evenmin wordt voldaan aan het voorschrift dat SBG de betrokken patiënten goed en volledig informeert over de verwerking van hun gegevens.

SBG voert inhoudelijk verweer hetgeen door de eiseressen wordt weersproken. De voorzieningenrechter laat de juistheid van de verweren in het midden en gaat over tot de beoordeling van de meer inhoudelijke stellingen van de partijen. De reden hiervoor is, zo stelt de voorzieningenrechter, dat wanneer deze verweren slagen dit tot afwijzing van de vorderingen moeten leiden en de voorzieningenrechter hoe dan ook tot die afwijzing komt op grond van de beoordeling van de meer inhoudelijke stellingen van de partijen.

Het oordeel

De rechter komt tot het oordeel dat er in deze zaak, op grond van de richtlijn 95/46/EG en de Wbp, geen sprake is van geïdentificeerde of identificeerbare natuurlijke personem. De rechter onderzoekt vervolgens of de gegevens kunnen worden herleid tot de identiteit van de betrokken persoon. Deze herleidbaarheid, zo stelt de rechter, kan zijn gelegen in het ongedaan maken van de versleuteling of in het op indirecte wijze kunnen identificeren van de betrokken persoon door de gegevens met andere gegevens te combineren. Rondom het eerste punt, het ongedaan maken van de versleuteling, bestaat tussen partijen geen discussie. Het geschil concentreert zich op het tweede punt: eiseressen stellen dat er van een dergelijke herleidbaarheid sprake is. De rechter stelt dat dit niet is uitgesloten maar dat dit bij de huidige stand van zaken onvoldoende aannemelijk is om daarop in kort geding vooruit te lopen. Het antwoord op deze vraag vergt een gedetailleerde beoordeling, zo stelt de voorzieningenrechter.

Tijdens de zitting komen de eiseressen nog met een derde stelling, namelijk dat ook zonder dat er sprake is van directe of indirecte herleidbaarheid aan de definitie van persoonsgegevens in de zin van de Wbp kan zijn voldaan wanneer de gegevens herleidbaar zijn tot één bepaalbaar individu. Het zogenaamde singling out”. Bij de beoordeling hiervan toetst de voorzieningenrechter aan de geldende richtlijn, de Wbp alsook aan de AVG. De situatie waarin komt vast te staan dat bepaalde gegevens bij één bepaalde persoon behoren zonder dat die persoon kan worden aangewezen geldt niet als een persoonsgegeven in wettelijke zin. De eiseressen hebben niet voldoende gemotiveerd waarom de singling-outsituatie desondanks wel onder de het begrip “persoonsgegevens” valt, zo oordeelt de rechter.

Eiseressen in het ongelijk gesteld

De eiseressen worden in het ongelijk gesteld. De voorzieningenrechter komt tot het oordeel dat niet voldoende aannemelijk is geworden dat er sprake is van persoonsgegevens in de zin van de richtlijn en de Wbp: de gegevens die SBG ontvangt van GGZ-aanbieders en verwerkt zijn geen persoonsgegevens. Hierdoor is het onvoldoende aannemelijk geworden dat de ROM-praktijk van SBG onderworpen is aan de desbetreffende wettelijke regels (richtlijn 95/46/EG, Wbp, AVG). De voorzieningenrechter wijst er in zijn uitspraak een aantal keren op dat een bodemprocedure de geëigende weg is om inhoudelijk verder op de complexe materie in te gaan. Wellicht dat er dus nog een bodemprocedure gaat volgen.