Medische gegevens op de factuur; een inbreuk op de privacy van patiënten?

Op 10 januari 2023 heeft de afdeling civiel recht en belastingrecht van het gerechtshof Amsterdam een uitspraak gedaan in een zaak tussen appellante en factoringmaatschappij Infomedics Finance B.V. (hierna Infomedics) waarin twee rechtsvragen werden beantwoord, namelijk: heeft een factoringmaatschappij voldoende grond voor het verwerken van gegevens over de gezondheid en mogen gegevens over de gezondheid ingebracht worden ter onderbouwing van een rechtsvordering?

De casus

Appellante heeft in 2018 een medische behandeling ondergaan bij Stichting Medisch Centrum X. Zij heeft daarvoor een factuur ontvangen van € 320,-. Betaling bleef uit, waarna appellante op 28 december 2018 een betalingsherinnering heeft ontvangen waarop de volgende prestatieomschrijving stond vermeld: ‘099899060 1 of 2 polikliniekbezoeken/consultaties op afstand bij hartfalen of andere hartaandoening’. Ondanks deze betalingsherinnering heeft appelante de factuur wederom niet voldaan. Stichting Medisch Centrum X heeft daarop besloten de vordering over te dragen aan Infomedics zodat zij het incassotraject kon starten. Infomedics heeft vervolgens in rechte betaling van de factuur gevorderd en de betalingsherinnering ter onderbouwing ingebracht.

Grieven

Appellante stelt dat in het incassotraject gebruik maken van de betalingsherinnering met daarop een specificatie van de door haar ondergane medische behandeling een inbreuk is op haar privacy en in strijd met de Algemene verordening gegevensbescherming (AVG). Ze betwist de rechtmatigheid van het inbrengen van de betalingsherinnering ter onderbouwing van de rechtsvordering. Daarnaast had Infomedics volgens appellante geen kennis mogen nemen van haar medisch dossier omdat zij daartoe onvoldoende (gerechtvaardigd) belang heeft. Zij eist daarom een schadevergoeding voor de geleden schade en vernietiging van het medische dossier door Infomedics.

AVG van toepassing?

Om te bezien of appellante terecht een beroep doet op de AVG, dient te worden vastgesteld dat er sprake is van het verwerken van persoonsgegevens. Op grond van artikel 4 onder 1 AVG is een persoonsgegeven ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.’ Omdat Infomedics de gegevens raadpleegt, opslaat en gebruikt is er sprake van een verwerking als bedoeld in artikel 4 onder 2 AVG. De AVG is derhalve van toepassing op de verwerking van de gegevens over de medische behandeling van appellante. Artikel 9 lid 1 AVG voegt daaraan toe dat bijzondere categorieën van persoonsgegevens, waaronder gegevens over de gezondheid, niet verwerkt mogen worden tenzij een uitzondering van toepassing is. Uit de prestatieomschrijving blijken gegevens over de gezondheid van appellante.

Beoordeling

Volgens het hof verwerkt Infomedics de medische gegevens (dat wil zeggen de prestatieomschrijving op de betalingsherinnering), ter uitvoering van haar wettelijke verplichting. Infomedics is op grond van artikel 1, lid 1, sub c, onder 2, Wet marktordening gezondheidszorg (Wmg) aan te merken als zorgaanbieder omdat zij als rechtspersoon tarieven in rekening brengt ten behoeve van of in verband met het verlenen van zorg door een zorgaanbieder. Nu Infomedics als zorgaanbieder gekwalificeerd wordt, vloeit daaruit voort dat zij zich moet houden aan de wettelijke verplichtingen uit de Wmg. Zorgaanbieders dienen op grond van artikel 38, lid 2, Wmg de van toepassing zijnde prestatieomschrijvingen te vermelden bij het in rekening brengen van tarieven. Deze prestatieomschrijvingen worden vastgesteld door de Nederlandse Zorgautoriteit (artikel 38, lid 2 en 3, Wmg) en zijn vastgelegd in de Regeling medisch-specialistische zorg – NR/REG-2306a.

Doordat uit voornoemde blijkt dat het vermelden van de prestatieomschrijving een wettelijke verplichting is, heeft Infomedics daarvoor een grondslag op grond van artikel 6, lid 1, onder c, AVG. Het verwerken van persoonsgegevens is namelijk noodzakelijk om te voldoen aan een wettelijke verplichting. Daarnaast valt het verwerken van deze gegevens onder de uitzonderingsgrond voor het verwerken van gegevens over de gezondheid als bedoeld in artikel 9, lid 2, sub h, AVG. Gegevens over gezondheid mogen volgens voornoemde bepaling namelijk verwerkt worden in het kader van medische diagnoses en het verstrekken van gezondheidszorg. De stelling van appellante dat Infomedics geen kennis had mogen nemen van haar medisch dossier omdat zij daartoe onvoldoende (gerechtvaardigd) belang heeft, houdt hier dan ook geen stand. Een gerechtvaardigd belang kan namelijk in geen enkel geval kwalificeren als uitzonderingsgrond als bedoeld in artikel 9, lid 2 AVG.

Infomedics heeft enkel de prestatieomschrijving op de betalingsherinnering ontvangen en betwist daarbij dat zij beschikt over het medisch dossier van appellante. Appellante heeft op haar beurt onvoldoende aangetoond dat Infomedics meer gegevens over haar medische gezondheid zou hebben ontvangen.

Het in geding brengen van de betalingsherinnering met daarop gegevens over de gezondheid vereist een aanvullende grond, Infomedics heeft op grond van artikel 9, lid 2, sub f, AVG het recht deze gegevens te verwerken ter instelling, uitoefening of onderbouwing van een rechtsvordering.

Bovenstaande overwegingen bezien, is het verwerkingsverbod uit artikel 9, lid 1, AVG niet op Infomedics van toepassing. Het hof voegt daaraan toe dat de begrijpelijke bezwaren van appellante tegen de openbaarmaking van gegevens over haar medische behandeling, niet zwaarwegend genoeg zijn om af te wijken van de wettelijke kaders.

Conclusie

Het Hof verwerpt de grieven van appellante omdat zij enerzijds de vermeende inbreuk op haar privacy onvoldoende wist te onderbouwen en Infomedics anderzijds voldoende rechtsgronden heeft voor het gebruik van de gegevens over de medische behandeling. Het gebruiken van de betalingsherinnering en de daarop vermelde prestatieomschrijving is niet in strijd met de AVG en geen onrechtmatige inbreuk op de privacy van appellante. Om die reden bestaat er tevens geen recht op schadevergoeding. Het hof wijst tevens vordering tot vernietiging van het medisch dossier af. Er is onvoldoende specifiek bewijs aangeboden waaruit zou blijken dat Infomedics meer heeft ontvangen dan een prestatieomschrijving.

Persoonlijke noot van de auteur

Ondanks de juridische gronden kan ik niet loskomen van de vraag of het vermelden van een dergelijke prestatieomschrijving na overdracht aan een factoringmaatschappij werkelijk noodzakelijk is. De factoringmaatschappij zou mijns inziens moeten kunnen volstaan met het vermelden van het referentienummer van de oorspronkelijke factuur. Patiënten kunnen dan afleiden op welke prestatie de factuur of betalingsherinnering betrekking heeft, zonder dat hun gezondheidsgegevens worden gedeeld met factoringmaatschappijen zoals Infomedics.

Door het toepassen van dataminimalisatie kan hetzelfde doel worden behaald, met een beperktere verwerking van bijzondere persoonsgegevens. Dat is van belang omdat gegevens over iemands medische situatie gevoelig zijn en het verwerken daarvan een hoog risico kan opleveren, het kan een grote inbreuk op iemands privacy betekenen. Bijzondere categorieën van persoonsgegevens willen we daarom zo min mogelijk verwerken. De wetgever heeft om diezelfde reden de verwerking van deze gegevens in beginsel verboden. Artikel 38, lid 2, Wmg, waarin staat dat de zorgaanbieder te allen tijde de prestatieomschrijving moet vermelden, is een goed voorbeeld van een wettelijke bepaling waarop de wetgever privacy by design zou kunnen toepassen. Dat het hier om een wettelijke bepaling gaat, houdt namelijk vanuit moreel-ethisch perspectief en pragmatisch oogpunt niet per definitie in dat de onderhavige gegevensverwerking noodzakelijk is en daarmee een gerechtvaardigde inbreuk op de privacy van betrokkenen.

Bron: Gerechtshof Amsterdam, 10 januari 2023 ECLI:NL:GHAMS:2023:48