Zorgverzekeraars mogen dus bijzondere persoonsgegevens verwerken ten behoeve van het machtigingsvereiste.

Noodzakelijkheidsvereiste

Daarbij is van belang dat de Wbp voor elke gegevensverwerking vereist dat er naast een grondslag uit artikel 8 Wbp en een uitzondering op het verbod uit artikel 16 Wbp, moet zijn voldaan aan het noodzakelijkheidsvereiste. Artikel 21 eerste lid, onderdeel b, onder 2°, biedt bijvoorbeeld een uitzondering voor de persoonsgegevens betreffende de gezondheid die noodzakelijk zijn voor de uitvoering van de overeenkomst van verzekering. En artikel 8, onder b, betreft de gegevens die noodzakelijk zijn voor de uitvoering van een overeenkomst waarbij betrokkene partij is.

Dit noodzakelijkheidsvereiste brengt een belangrijke beperking aan voor wat betreft de aard en omvang van de persoonsgegevens die voor een machtiging mogen worden verwerkt.

Zorgverzekeraars zullen moeten kunnen onderbouwen of de gevraagde persoonsgegevens noodzakelijk zijn voor het verlenen van een machtiging. Bij de toepassing van het noodzakelijkheidsvereiste toetst degene die de persoonsgegevens verwerkt steeds of de betreffende verwerking voldoet aan de beginselen van proportionaliteit en subsidiariteit. Dat betekent ten eerste dat het doel, de aard en omvang van de persoonsgegevens die voor de machtiging worden verwerkt met elkaar in verhouding zijn en ten tweede dat er geen minder ingrijpende verwerking van persoonsgegevens voor dat doel mogelijk is. Kan bijvoorbeeld worden volstaan met het doen van een meer formele toets zoals de aanwezigheid van een verwijsbrief of het verstrekken van (kwaliteits)informatie over de zorgverlener dan is het opvragen van (andere) persoonsgegevens betreffende de gezondheid over de verzekerde niet toegestaan.

Voor de hierboven genoemde onderbouwing is van belang welk doel het vragen van de machtiging in het specifieke geval dient. In het algemeen geldt dat een machtiging ten doel heeft te voorkomen dat vergoeding ten onrechte plaatsvindt maar meer specifiek kan bijvoorbeeld onderscheid worden gemaakt tussen het voorkomen dat er sprake is van onverzekerde zorg, het waarborgen dat er sprake is van doelmatige zorg, het voorkomen dat de zorg die wordt verleend niet het meest is aangewezen gezien de individuele omstandigheden en/of het ziektebeeld van de betreffende verzekerde en het voorkomen dat de zorg die wordt verleend niet het meest is aangewezen omdat de betreffende zorgaanbieder niet aan bepaalde (kwaliteits) vereisten voldoet. De onderbouwing van de gevraagde persoonsgegevens moet worden gerelateerd aan het specifiek doel.

10 Overigens geldt voor elke gegevensverwerking dat deze noodzakelijk moeten zijn voor het doel waarvoor de gegevens worden verwerkt. Evenzo vergt de Wbp van elke verantwoordelijke dat hij of zij transparant is over (de noodzaak van) de gegevens die over betrokkene(n) worden verwerkt.

Doel machtiging

Het doel van de machtiging is voorkomen dat de verzekerde zorg ondergaat die achteraf niet voor vergoeding in aanmerking blijkt te komen, bijvoorbeeld omdat er geen sprake is van verzekerde zorg,

11 De Zvw geeft aan op welke medisch noodzakelijke zorg iemand recht heeft. Zorgverzekeraars werken de nadere voorwaarden vervolgens uit in hun verzekeringspolis van de basisverzekering. De zorg moet onder meer voldoen aan de stand van de wetenschap en praktijk, doelmatig zijn en de verzekerde moet redelijkerwijs op de zorg aangewezen zijn.

de zorg niet het meest is aangewezen voor de specifieke verzekerde of de betreffende zorgaanbieder niet aan bepaalde kwaliteitseisen voldoet. Met een machtiging krijgt de verzekerde vooraf duidelijkheid over de vraag of zorgkosten worden vergoed. Zo wordt voorkomen dat de zorgverzekeraar ten onrechte betaalde vergoedingen moet terugvorderen en de verzekerde met onverwachte kosten wordt geconfronteerd.

Voor de toets die zorgverzekeraars bij het afgeven van een machtiging hanteren, geldt verder dat artikel 14, eerste lid, Zvw bepaalt dat de vraag of een verzekerde behoefte heeft aan een bepaalde vorm van zorg of een bepaalde andere dienst, slechts op basis van zorginhoudelijke criteria wordt beantwoord.

In de parlementaire geschiedenis van de Zvw wordt daarover onder meer gezegd dat ‘de verzekeraar het recht heeft om te controleren of de door de arts geïndiceerde vorm van zorg inderdaad wel voor de desbetreffende patiënt is aangewezen en ook niet meer omvat (en dus niet duurder is) dan nodig. Artikel 14 zorgt er dan wél voor, dat die verzekeraar die toestemming slechts om zorginhoudelijke redenen mag weigeren. Het artikel zorgt er voorts voor, dat een zorginhoudelijke deskundige (bijvoorbeeld een verzekeringsarts)de verzekeraar dient te adviseren over de vraag of dergelijke zorginhoudelijke redenen er al dan niet zijn. De zorgverzekeraar dient het advies van de zorginhoudelijk deskundige over te nemen’.

12 Kamerstukken II, 2003/04, 29 763, nr. 4, p. 35. Kamerstukken II, 2003/04, 29 763, nr. 7, p. 100.

‘Bij de vraag of een verzekerde behoefte heeft aan een bepaalde vorm van zorg of een andere tot het verzekerde pakket behorende dienst zullen veelal medisch-inhoudelijke criteria bepalend zijn. De wet hanteert echter het bredere begrip «zorginhoudelijke criteria» om te bewerkstelligen dat waar nodig ook andere zorggebonden criteria een rol kunnen spelen, bijvoorbeeld het oordeel van een verpleegkundige over de thuissituatie indien een beslissing moet worden genomen over de vraag of een patiënt naar huis kan of eerst in een revalidatie-instelling moet worden opgenomen.

13 Kamerstukken II, 2003/04, 29 763, nr. 7, p. 111.

Relatie tot formele en materiële controle

Het machtigingsvereiste heeft dus ten doel om vooraf het risico te beperken dat er ten onrechte vergoedingen plaatsvinden. Daarnaast hebben zorgverzekeraars de mogelijkheid om achteraf te controleren dat er geen onrechtmatige vergoedingen zijn gedaan.

14 Daartoe kunnen zij formele controles (onderzoek waarbij de zorgverzekeraar nagaat of het tarief dat door een zorgaanbieder voor een prestatie in rekening is gebracht (...) een prestatie betreft, welke behoort tot het verzekerde pakket van die persoon) en materiële controles doen (het onderzoek waarbij de zorgverzekeraar nagaat of de door de zorgaanbieder in rekening gebrachte prestatie is geleverd en of die geleverde prestatie het meest was aangewezen gezien de gezondheidstoestand van de verzekerde.

15 Belangrijk verschil is dat als na materiële controle de declaratie niet rechtmatig blijkt te zijn dit voor risico van de zorgaanbieder komt terwijl het bij machtigingen gaat om situaties waarin het risico van niet-betaling voor de verzekerde wordt weggenomen.

Het verwerken van persoonsgegevens ten behoeve van formele en materiële controles is geregeld in artikel 87 van de Zvw jo. hoofdstuk 7 van de Regeling zorgverzekering (Rzv).

16 Deze wettelijke regeling voorziet tevens in het vereiste wettelijk voorschrift tot doorbreking van de geheimhoudingsplicht van de behandelaar. Zie ook paragraaf 4.

Voor de aanvullende ziektekostenverzekering gelden daarvoor artikel 68a van de Wmg en de Regeling persoonsgegevens vrijwillige ziektekostenverzekeringen Wmg.

In deze regelingen wordt uitwerking gegeven aan het noodzakelijkheidscriterium door nader te bepalen welke persoonsgegevens, voor welke doeleinden mogen worden verwerkt.

17 ‘De Rvz geeft tezamen met de prestatiebeschrijvingen invulling aan de uitwerking van het noodzakelijkheidcriterium. Voorts schept de Rvz helderheid over de doelen die met de verstrekking van persoonsgegevens worden gediend (artikel 7.1)’. Toelichting op de Rvz, Stcrt. 2005, 249.

Op grond van artikel 5 van de Regeling persoonsgegevens vrijwillige ziektekostenverzekeringen Wmg zijn de artikelen 7.4 en 7.5 tot en met 7.10 van de Rzv van overeenkomstige toepassing op de uitvoering van formele en materiële controle (…) in het kader van de vrijwillige ziektekostenverzekering.