Op donderdag 13 juli 2017 vond het kort geding plaats tegen Stichting Benchmark GGZ (SBG).
De eis was dat SBG het verwerken van gegevens van patiënten in de geestelijke gezondheidszorg dient te staken. De reden hiertoe is dat SBG de patiëntgegevens in strijd met de wet verwerkt. SBG weigert echter eigenstandig de verwerking te staken.
SBG meende dat de gegevens die zij ontvangt geen persoonsgegevens zijn en dat daarom de Wet bescherming persoonsgegevens niet van toepassing is. Dit zou het geval zijn omdat de gegevens gepseudonimiseerd worden aangeleverd. Sinds 2014 is door een uitspraak van de Europese toezichthouders duidelijk dat gepseudonimiseerde gegevens vanwege het toch herleidbaarheid zijn tot personen beschouwd moeten worden als bijzondere persoonsgegevens. Voor het verzamelen en verwerken van deze gegevens is expliciete toestemming van de patiënt noodzakelijk. Deze toestemming was veelal niet verleend.
Pseudonimiseren betekent dat in de door SBG ontvangen gegevens geen naam, adres of andere direct identificerende gegevens meer aanwezig zouden zijn. Wat SBG hier echter allereerst over het hoofd ziet, is dat er voldoende andere – zogenaamd indirect identificerende – gegevens worden ontvangen door SBG. Met deze gegevens kunnen patiënten ook worden geïdentificeerd. Zo kunnen veel mensen reeds met gegevens als postcodegebied, geboortejaar, geboorteland, geboorteland moeder en geboorteland vader worden geïdentificeerd, dan wel worden teruggebracht tot een klein groepje gegadigden. Daarnaast ontvangt en bewaart SBG ook unieke codes, waarmee zorgaanbieders, zorgverzekeraars of derden, wanneer ze de beschikking zouden krijgen over de gegevens, een patiënt ook direct kunnen identificeren. Hierbij gaat het om cijferreeksen, bijvoorbeeld het zorgtrajectnummer, die uniek zijn voor een patiënt.
SBG probeerde kort voor de zitting de gang naar de rechter te beïnvloeden door wijzigingen in de zogenaamde Minimale DataSet, die per patiënt aangeleverd dienen te worden, aan te brengen. De wijzigingen hielden in dat men sinds heel kort de genoemde cijferreeksen, ook met terugwerkende kracht, pseudonimiseert en in een later stadium anonimiseert. Ook gaf men plotseling uitleg over de wijze waarop de postcode van een patiënt verwerkt wordt. Iets waarover eerder nimmer uitsluitsel was verkregen.
Daardoor ontstond de schijn dat de angel uit het conflict gehaald was, maar niets was minder waar.
Het belangrijkste punt in de dagvaarding vormde de rechtshandhaving bij handelen dat zelfs door de minister van VWS als niet legitiem wordt beschouwd, namelijk het verwerken van de bijzondere persoonsgegevens zonder toestemming van de betrokkene.
Na een enerverende zitting waarbij naast de advocaten ook twee patiënten als direct betrokkenen het woord voerden, gaf de rechter aan over uiterlijk drie weken een uitspraak te doen.
Wim Jongejan
