Kneppelhout boekt succes in een baanbrekende privacy-uitspraak

Vandaag verscheen een headline artikel in Zorgvisie, hét magazine voor managers en bestuurders in de zorg over kwaliteit, beleid en innovatie. Het artikel gaat over een uitspraak van de voorzieningenrechter over de dataverzameling van SBG. Volgens tegenstanders is die dataverzameling in strijd met de privacy van de patiënt. De voorzieningenrechter oordeelde echter, in een uitvoerig gemotiveerd vonnis, dat niet was komen vast te staan dat SBG persoonsgegevens verwerkt. Olaf van Haperen en Robbert Santifort stonden SBG in dit kort geding met succes bij.

Geen persoonsgegevens

De voorzieningenrechter oordeelde dat de gegevens die SBG ontvangt geen persoonsgegevens zijn. De patiënt kan niet worden geïdentificeerd. Er zit immers een verschil tussen individualiseren en identificeren. Het is de eerste – daarmee baanbrekende – uitspraak van een Nederlandse rechter die het juiste onderscheid maakt tussen de verwerking van enerzijds individualiseerbare en anderzijds identificeerbare informatie. Er heerste tot gisteren onduidelijkheid in Nederland over de omgang met geïndividualiseerde data. Zo was het de vraag of organisaties überhaupt wel informatie over een individu mogen verzamelen. Informatie aan de hand waarvan beleid gericht op kwaliteitsverbetering kan worden ontwikkeld of bepaalde risico-inschattingen van de dienstverlening van organisaties kunnen worden gemaakt.

Van belang voor de zorgsector

De uitspraak is van groot belang voor de hele zorgsector. Er wordt in de zorg zoveel gebenchmarkt, niet alleen door SBG, maar ook door kleinere organisaties in bijvoorbeeld de somatische zorg of de verslavingszorg. Er wordt veel gedaan om kwaliteit en effectiviteit van behandelingen te meten en deze uitspraak toont aan dat organisaties dit mogen doen, mits ze kunnen aantonen dat een persoon ‘redelijkerwijs’ niet kan worden geïdentificeerd.

Maar ook daarbuiten…

Deze uitspraak bevestigt dat organisaties die informatie op persoonsniveau verzamelen, niet noodzakelijk óók persoonsgegevens verwerken. Dat komt op grote schaal en in allerlei sectoren voor. In zulke branches kan het uiterst zinvol zijn om inzicht te krijgen in bepaalde patronen over (groepen) individuen, om vervolgens beleid op af te stemmen voor verschillende verantwoorde doeleinden. Zo zullen bijvoorbeeld gemeenten anonieme geïndividualiseerde data willen vergelijken met andere gemeenten om voorkeursbeleid te ontwikkelen en retaildeskundigen consumentenvoorkeuren willen ontdekken. Deze uitspraak bevestigt dat zij deze data in beginsel vrij mogen blijven gebruiken, mits voldoende anoniem.

Strenge eisen Wbp en AVG niet van toepassing

De Wbp en diens opvolger – de Algemene Verordening Gegevensbescherming (AVG) – stellen strenge eisen aan het verwerken van persoonsgegevens. Die strenge regels zijn in beginsel niet van toepassing wanneer een organisatie slechts informatie op individueel niveau verwerkt. De voorzieningenrechter staat niet toe dat het persoonsgegevensbegrip op deze wijze wordt ‘verruimd’. Met andere woorden: het mogen verzamelen van informatie over een individu betekent dat organisaties dat individu mogen volgen en informatie mogen verrijken met nieuwe informatie, zolang dat individu maar voldoende anoniem blijft.

Houd grip op uw data

Toch zal elke organisatie voor zich moeten vaststellen of zulke geïndividualiseerde data wel voldoende geanonimiseerd is. En als dat niet het geval is, is er nog geen man overboord. Dan moet men alleen wel voldoen aan de Wbp en de AVG. Het heeft bijvoorbeeld gevolgen voor hoe data wordt opgeslagen, de manier waarop die data wordt gebruikt en of er toestemming (of een andere grondslag) voor nodig is om deze data te gebruiken. Voor nu staat echter vast dat verwerking van geïndividualiseerde informatie mogelijk blijft, zolang een persoon niet ‘redelijkerwijs’ kan worden geïdentificeerd.

De privacy-experts van Kneppelhout & Korthals Advocaten doorgronden ook voor uw organisatie in hoeverre strenge privacy-regels op uw dataverzameling van toepassing zijn. Neem vrijblijvend contact op met ons team van privacy-experts voor een zorgvuldige analyse en advies.

Robbert Santifort, advocaat privacyrecht

Op de hoogte blijven?

Schrijf je in en ontvang de laatste nieuwsupdates, artikelen, blogs en evenement notificaties.