De Rechtbank Rotterdam heeft op 22 juni 2016 geoordeeld dat de Inspectie voor de Volksgezondheid het dossier over een klacht moet verwijderen, omdat de klaagster er niet over was geïnformeerd dat de bij klacht ingediende gegevens 10 jaar zouden worden bewaard.
Klacht bij IGZ, LMZ bouwt dossier op
Een vrouw heeft op 29 december 2014 een klacht ingediend bij de Inspectie voor Volksgezondheid (IGZ) over een fysiotherapeut. De IGZ heeft de klacht doorgestuurd aan het Landelijk Meldpunt Zorg (LMZ). Het LMZ heeft vervolgens allerlei nadere informatie bij de vrouw opgevraagd.
Verzoek om dossier te vernietigen na niet vervolgen klacht
Op 5 februari 2015 informeert het LMZ de vrouw dat haar klacht niet in behandeling wordt genomen. Daarop verzoek de vrouw op 18 februari 2015 om haar dossier te vernietigen.
IGZ/LMZ weigeren verzoek met beroep op Archiefwet
IGZ/LMZ weigeren het dossier van de vrouw te vernietigen. Zij stellen dat het dossier op grond van de Archiefwet 10 jaar moet worden bewaard. De gedachte is dat zo bij eventuele latere meldingen over dezelfde zorginstelling kan worden teruggekeken naar oudere klachten. IGZ/LMZ menen dan ook dat zij de informatie mogen bewaren.
Vrouw verweert zich door gang naar rechter
De vrouw verweert zich hier tegen. Zij stelt dat het helemaal niet noodzakelijk is om het volledige dossier van een klacht te bewaren om een beeld te krijgen over het aantal meldingen over een bepaalde zorginstelling. Zij stelt bovendien dat er geen rekening is gehouden met haar specifieke belangen. Ze stelt dan ook beroep in bij de rechtbank.
Rechtbank: privacywetgeving staat voorop
De rechtbank geeft de vrouw gelijk. De rechtbank overweegt in dat kader allereerst dat de privacywetgeving voor gaat op de archiefwetgeving.
7. De rechtbank stelt voorop dat verweerder is gehouden om persoonsgegevens te verwerken in overeenstemming met de vereisten van de Wbp, ongeacht de bepalingen in de Archiefwet en het beleid in het BSD. De verplichtingen op grond van de Archiefwet en het beleid op grond van het BSD zijn derhalve niet van toepassing voor zover die toepassing zou leiden tot strijd met de Wbp. Verweerder heeft dit ter zitting erkend. Het aanhalen van deze regelgeving in het bestreden besluit kan derhalve niet dienen als onderbouwing van verweerders standpunt dat de verwerking van persoonsgegevens in overeenstemming is met de Wbp.
Deze overweging lijkt me iets te grofmazig. Het lijkt me zuiverder om te stellen dat er een belangenafweging moet plaatsvinden tussen het privacybelang enerzijds en het archiefbelang anderzijds. Dat doet aan het eindresultaat denk ik verder niet zo veel af.
Rechtbank: voor tien jaar op twee locaties bewaren niet noodzakelijk
Vervolgens oordeelt de rechtbank dat het nergens voor nodig is om het dossier voor de duur van tien jaar op twee locaties te bewaren. Wat hierbij vermoedelijk meespeelt is dat namens de IGZ als het LMZ kennelijk ter zitting ook geen goede verklaring voor de noodzaak hiervoor kon worden gegeven:
8. Vast staat dat verweerder een dossier over een melding standaard gedurende tien jaar na afsluiting van een melding bewaart op twee locaties, te weten zowel bij de IGZ als bij het LMZ. Ter zitting heeft verweerder desgevraagd geen verklaring kunnen geven waarom het nodig is om de dossiers op beide locaties bewaren. De rechtbank is van oordeel dat ook overigens niet aannemelijk is geworden dat het noodzakelijk is om de dossiers standaard op twee locaties te bewaren. Bovendien is door verweerder ter zitting erkend dat het gelet op het doel om jaarlijks een klachtbeeld te publiceren niet nodig is dat de persoonsgegevens door het LMZ standaard gedurende tien jaar worden bewaard. Gelet op voorgaande is het gedurende tien jaar bewaren van de persoonsgegevens op beide locaties in strijd met het bepaalde in artikel 11, eerste lid, van de Wbp.
Rechtbank: correctierecht is bedoeld om onrechtmatige verwerkingen te staken
Vervolgens komt aan de orde dat de vrouw niet vooraf wist dat haar gegevens voor 10 jaar zouden worden bewaard. De rechtbank overweegt (1) dat de vrouw daarover wel had moeten worden geinformeerd, (2) dat nu dit niet is gebeurd, de verwerking onrechtmatig is en (3) de vrouw dus op grond van het wettelijke correctierecht haar gegevens kan laten verwijderen.
9. De rechtbank overweegt voorts dat eiseres haar gegevens aan verweerder heeft verstrekt met als doel dat haar klacht zou worden onderzocht en behandeld door de IGZ. Door eiseres is onweersproken gesteld dat zij er bij het verstrekken van haar gegevens niet van op de hoogte was dat verweerder alle gegevens gedurende tien jaar zou bewaren. Ter zitting is namens verweerder erkend dat eiseres conform de informatieplicht van artikel 33 van de Wbp geïnformeerd had dienen te worden over het verwerken van haar gegevens. Verweerder verbindt hieraan echter niet de conclusie dat sprake is van verwerken van gegevens in strijd met een wettelijk voorschrift, op grond waarvan kan worden verzocht om de gegevens te verwijderen, zoals bedoeld in artikel 36, eerste lid, van de Wbp.
De rechtbank overweegt dat, door het niet of onvolledig informeren zoals vereist in artikel 33 van de Wbp, eiseres niet in de gelegenheid is gesteld om af te wegen of zij haar gegevens wilde verstrekken indien die standaard gedurende tien jaar zouden worden bewaard. Zoals volgt uit de tekst op pagina 149 van de Memorie van Toelichting bij de Wbp (Tweede Kamer, vergaderjaar 1997-1998, 25 892, nr. 3; hierna: MvT) vormt de informatieplicht van de artikelen 33 en 34 van de Wbp een uitwerking van het in artikel 6 neergelegde beginsel van “fair processing”: Behoudens uitzonderingen is de gegevensverwerking slechts “behoorlijk” in de zin van artikel 6, indien de betrokkene daarvan overeenkomstig de regels van de artikelen 33 en 34 op de hoogte wordt gebracht. Dit heeft volgens de MvT tot gevolg, dat overtredingen van de informatieplicht zullen leiden tot onrechtmatige verwerkingen. Anders dan verweerder is de rechtbank derhalve van oordeel dat het feit dat verweerder eiseres niet heeft geïnformeerd dat haar gegevens gedurende tien jaar zullen worden bewaard in verband met eventuele toekomstige meldingen, tot gevolg heeft dat het bewaren van deze gegevens een verwerking is in strijd met de artikelen 6 en 33 van de Wbp.
De rechtbank had hier overigens bij de overweging dat het correctierecht ook bedoeld is ter verwijdering ook naar de Google Spain uitspraak kunnen verwijzen.
Rechtbank: bewaren gezondheidsgegevens voor archiefdoeleinden bovendien niet toegestaan
De rechtbank wijst er verder op dat het bewaren van gezondheidsgegevens door bestuursorganen voor archiefdoeleinden überhaupt niet is toegestaan:
10. Bovendien is niet in geschil dat het hier gaat om de verwerking van persoonsgegevens betreffende iemands gezondheid, die vallen onder de bijzondere persoonsgegevens in de zin van paragraaf 2 van hoofdstuk 2 van de Wbp. Op grond van artikel 16 van de Wbp is de verwerking van bijzondere persoonsgegevens verboden behoudens het bepaalde in deze paragraaf. Verweerder stelt zich op het standpunt dat dit verbod niet van toepassing is gelet op het bepaalde in artikel 21, eerste lid, aanhef en onder f, onder 1°, van de Wbp. Zoals ter zitting is toegelicht, heeft verweerder verondersteld dat op grond van deze bepaling de verwerking van gezondheidsgegevens zou zijn toegestaan indien deze geschiedt door bestuursorganen, voor zover dat noodzakelijk is voor een goede uitvoering van wettelijke voorschriften. Deze veronderstelling van verweerder berust naar het oordeel van de rechtbank echter op een te beperkte en onjuiste lezing van de tekst van het artikellid. Uit de tekst volgt dat het moet gaan om de uitvoering van wettelijke voorschriften die voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene. Mede gelet op de toelichting in de MvT (pagina’s 113-114) ziet deze bepaling op de verwerking van gegevens omtrent gezondheid in de sfeer van de sociale zekerheid, zoals aanspraken op uitkeringen, verstrekkingen of voorzieningen in verband met de gezondheidstoestand van de betrokkene. Daarvan is in onderhavig geval geen sprake. Naar het oordeel van de rechtbank is deze bepaling derhalve niet van toepassing op de verwerking door verweerder van de persoonsgegevens van eiseres. Verweerder had de persoonsgegevens eventueel alsnog mogen verwerken indien eiseres hiertoe uitdrukkelijk toestemming had gegeven, zoals bedoeld in artikel 23, eerste lid, aanhef en onder a, van de Wbp. Gelet op hetgeen onder 9 is overwogen stelt de rechtbank vast dat eiseres die toestemming in ieder geval niet heeft verleend ten aanzien van het bewaren van de gegevens na afsluiting van de melding. Niet is gesteld of gebleken dat een andere uitzonderingssituatie van deze paragraaf zich voordoet op grond waarvan het verbod van artikel 16 niet van toepassing is. Verweerder heeft de persoonsgegevens van eiseres derhalve verwerkt in strijd met het verbod van artikel 16 van de Wbp.
Deze overweging raakt de bedrijfsvoering van IGZ en LMZ zeer hard. Het zou me dan ook niet verbazen als hier hoger beroep volgt, bijvoorbeeld vanwege het bepaalde in artikel 2a Archiefwet.
Rechtbank: gegevens verwijderen en kosten betalen
De rechtbank komt dan ook tot de conclusie dat de gegevens van de vrouw onrechtmatig zijn verwerkt. De gegevens moeten alsnog worden verwijderd. Ook krijgt de vrouw het door haar betaalde griffierecht vergoed.
Slotopmerking
De kwestie laat zien dat het voor instellingen van belang is transparant te zijn over het eigen privacybeleid. De vrouw wint de kwestie immers o.m. omdat zij er niet over geinformeerd was hoe lang haar gegevens bewaard zouden worden. Verder lijken IGZ en LMZ een meer principieel probleem te hebben rondom het bewaren van medische gegevens in hun archieven, als de overweging van de rechtbank op dit punt ook in een eventueel hoger beroep stand zou houden. Dit wordt dus ongetwijfeld vervolgd.
