Argos bestudeerde de mailwisseling tussen de NZa en de Autoriteit Persoonsgegevens (AP), legde passages voor aan experts en kwam tot een reconstructie.
Op 17 november 2022 vroeg een aantal mensen verenigd in de actiegroep 'Vertrouwen in de GGZ’ via de Wet open overheid stukken (Woo) op bij de Nederlandse Zorgautoriteit (NZa) die verband houden met de ‘verplichte levering van gegevens’ (de zogenaamde HoNos+lijsten).
Download de documenten
Vind hier de Woo-stukken:
Klik hier
Hoe het begon
De eerste email uit het WOO-verzoek dateert van 1 november 2019. De NZA vraagt hier de Autoriteit Persoonsgegevens om ‘aandachtspunten’ bij de invoering van het zorgprestatiemodel, waar de HoNOS-lijsten deel van uitmaken. Het gaat hier o.a over het ‘behouden van de DSM diagnosehoofdgroep op de factuur in de ggz en fz’. Hier wordt nog geen melding gemaakt van de HoNOS-lijsten.
Op 11 november 2019 reageert de Autoriteit Persoonsgegevens. De AP biedt de Nederlandse Zorgautoriteit de kans om voordat er een formeel verzoek om een wetgevingsadvies wordt ingediend, éénmaal een concept aan hen voor te leggen. Waarbij ze aanbevelingen en suggesties kunnen doen.
Informeel meekijken
Op 6 maart 2020, 4 maanden later, stuurt de NZa een concept regelgeving aan de Autoriteit Persoonsgegevens voor eerste informele aanbevelingen. Nog steeds niet besproken dat het om de uitvraag van gegevens van 800.000 mensen zal gaan. Wel wil de NZA ‘duidelijkheid over de privacyaspecten’ bij de overgang naar het nieuwe bekostigingsmodel ‘het zorgprestatiemodel’.
De senior inspecteur gezondheidszorg van de AP reageert daar bevestigend op. “Wij kunnen wel informeel meekijken voordat jullie een verzoek doen bij de afdeling wetgevingsadvisering. In dat geval kun je het gewoon aan mij mailen. Willen jullie direct een formeel wetgevingsadvies, dan kun je beter een formele, schriftelijke brief (met als bijlage de conceptregeling sturen naar onze Directie Juridische Zaken en Wetgevingsadvisering ( .. )”
In de mails die volgen wordt nog steeds niet gesproken over de grote hoeveelheden data die de NZa wil gaan opvragen. Bij de AP rijzen onstaan twijfels. Kunnen ze hier wel in adviseren?
‘De concepten zijn al redelijk voldragen’ schrijft de AP op 13 maart 2020 ‘en daarbij heeft de afdeling Wetgevingsadvisering momenteel weinig capaciteit’.
Tips?
Wilt u informatie kwijt over dit onderwerp?
Mail ons dan rechtstreeks via n.van.raay@vpro.nl of redactie@argosonderzoekt.nl
Blanco advies
De AP moet dus reageren op een concept waar geen informatie in staat over de Honos-lijsten. Het eerste advies is dan ook ‘blanco’.
‘Dat wil zeggen dat de AP hierover geen opmerkingen heeft. Wat de AP betreft kunnen jullie er dus mee verder,” schrijft AP op 15 april 2020.
Waarom legt de NZA in dat eerste concept niets voor aan de Autoriteit Persoonsgegevens over het opvragen van de gegevens van 800.000 patienten? We legden het voor aan de NZa, die met een schriftelijke reactie kwam: “De AP heeft in 2020 aan de NZa een advies uitgebracht over een voorstel voor wetgeving die dat systeem mogelijk maakte. De AP had geen opmerkingen, de privacy was in orde. In dat stuk wetgeving stond niet dat de NZa die scorelijsten zou verzamelen omdat de focus lag op de informatie die de zorgverzekeraar zou [sic]. Later wijzigde de NZa het voorstel voor die wetgeving. En vroeg de AP opnieuw advies uit te brengen over die wetgeving.”
'Belangrijke wijziging'
De staatssecretaris is inmiddels akkoord met de invoering van het zorprestatiemodel dus de De NZa gaat verder met de ontwikkeling van de plannen. Op woensdag 17 maart 2021 vraagt de AP om een update van de NZA: “[ik ben] benieuwd of er al een versie van de nieuwe regeling is gepubliceerd […]. Verneem graag. Alvast veel dank.” De NZA reageert een dag later op 18 maart 2021 en geeft aan dat er ‘een belangrijke aanpassing is doorgevoerd ten opzichte van de stukken die eerder voorlagen’.
De AP reageert diezelfde dag dat het voor hen niet gebruikelijk is tweemaal iets voorgelegd te krijgen ter advies. Ook wijst ze erop dat er bij hen sprake is van ‘enorme werkdruk’
Op 24 maart 2021 stuurt de NZA stuurt een nieuw verzoek tot advies. Ze spreekt over een ‘nieuw typeringssysteem’ en een ‘voor de ggz zeer wezenlijke stap’ waarover de staatssecretaris heeft besloten. De staatssecretaris heeft de NZA opgedragen om hierover advies te vragen bij de AP en de Tweede Kamer is geïnformeerd. Hoewel de Nza hier spreekt over een ‘wezenlijke stap’ wordt het opvragen van de gegevens van de 800.000 patiënten hier opnieuw niet besproken.
De samenvatting bevat wederom niet de HoNos-lijsten
De AP die last heeft van hoge werkdruk en die meerdere malen heeft gevraagd welke wijzigingen de NZa wil invoeren, besluit om een samenvatting te vragen van de plannen.
Ze schrijven op 26 maart 2021: “De kwestie is voor de Autoriteit wat ‘a-typisch’ […]schrijft ze. ‘Gaat het om wijzigingen die specifiek uit oogpunt van gegevensbescherming aandacht vragen? (d.w.z.: zijn er belangrijke verwerkingen toegevoegd of bepalingen over verwerkingen gewijzigd.)?’
Ondanks herhaaldelijke vragen van de AP verzuimt de NZa expliciet te vermelden dat het om gegevens van 800 duizend GGZ-patienten gaat. De Honos-lijsten worden voor het eerst genoemd op 30 maart 2021, verstopt in een bijlage op pagina 86 – zonder enige uitleg.
De Autoriteit Persoonsgegevens reageert nog dezelfde dag. Ze zien weinig reden om van hun eerdere blanco advies af te wijken. Formeel hoeft er geen nieuw advies te komen en als hun samenvatting klopt zijn er ook geen relevante wijzigingen op privacy gebied. “de nu vastgestelde versie is wel anders dan de versie waarover door de AP is geadviseerd; dat ziet echter niet of niet in relevante mate op verwerking van persoonsgegevens”
‘Geen fundamentele wijzigingen’
In de tussenliggende maanden wordt er nog vaker heen en weer gemaild. De HoNOS-lijsten komen nog steeds niet ter sprake. De foute conclusie van de AP – dat er geen sprake is van relevante verwerking van persoonsgegevens – wordt nergens gecorrigeerd.
Ook de AP bevestigt desgevraagd nogmaals -“ten overvloede” - aan de NZA dat een nieuw advies wat hen betreft niet nodig is.
Op 7 juni 2021 schrijven ze: ‘Desgevraagd bevestigt de AP nogmaals dat hun standpunt dat ze niet nogmaals adviseert. “Het tweede concept van de regelgeving (b-release) bevat geen fundamentele wijzigingen t.o.v. de eerdere versie. Dat geldt ook voor de daarmee verband houdende verwerkingen van persoonsgegevens. Sterker nog, de b-release lijkt op het eerste gezicht privacyvriendelijker dan de a-release’
De AP wordt wakker
De NZa gaat door met de ontwikkeling van het nieuwe model, de plannen beginnen steeds meer vorm te krijgen en externe partijen worden op de hoogte gebracht van de invoering van de lijsten.
Belangenverenigingen in de GGZ beginnen zich zorgen te maken, dat wordt ook opgemerkt bij NZa en AP.
Op 9 augustus 2022 – een jaar na het eerste advies dus - schrijft de NZa aan de AP:
“De laatste tijd worden er vanuit verschillende partijen vragen gesteld over privacy van patiënten in de ggz. Vandaar deze mail. Als NZA zullen we moeten reageren op vragen die er leven.”
AP en NZa gaan op nieuw met elkaar in gesprek, mede gevoed door de onrust die is ontstaan onder professionals in de GGZ.
Het lijkt er op dat de AP langzaam doordrongen wordt van de gevoeligheid van de plannen. Op 11 augustus 2022 schrijft AP “Nu blijkt dat er tóch een wezenlijke privacygevoelige toevoeging is gedaan aan die wetgeving, is een toelichting van de NZA over nut en noodzaak daarvan gewenst”
Die komt op 16 augustus 2022 Als de NZA uitlegt dat zij weten dat de gegevens die opgevraagd worden ‘gevoelig van aard zijn’ maar dat voor hen, tijdens de eerdere gesprekken, de nadruk lag op de gegevens die naar de zorgverzekeraar zouden gaan. Een argumentie die de NZA ook herhaalt naar de redactie van Argos.
Toch een positief advies
Aanvankelijk brengt de AP een negatief advies uit. Maar na een reactie van de NZa waarin de NZa uitgebreid ingaat op de inmiddels ontstane vragen, komt er dan toch een positief advies. Opvallend is dat dit advies voor de duur van 1 jaar is, en niet zoals in eerdere plannen 2 jaar.
De Woo-stukken maken niet duidelijk waarom AP uiteindelijk op 14 december 2022 toch een positief advies heeft gegeven. Formeel – zo blijkt ook uit de stukken – is een advies van de AP over deze maatregel niet bindend. De NZa had het advies dus niet nodig om de Honos-lijsten in te voeren. De AP wil niet reageren op vragen van Argos.