Zoals voor elke verwerking van bijzondere persoonsgegevens door zorgverzekeraars geldt ook voor het verwerken van bijzondere persoonsgegevens ten behoeve van het machtigingsvereiste dat er een uitzondering op het verbod op het verwerken van persoonsgegevens betreffende de gezondheid van artikel 16 van de Wbp moet zijn en dat er een grondslag voor de verwerking van persoonsgegevens in artikel 8 van de Wbp moet zijn.
Het machtigingsvereiste is niet in de Zorgverzekeringswet (Zvw) of de Wet marktordening gezondheidszorg (Wmg)3De Wmg ziet mede op de aanvullende ziektekostenverzekering. gedefinieerd. Ook is niet uitgewerkt hoe de procedure rondom het machtigingsvereiste moet zijn vormgegeven4De NZa heeft in 2012 wel kaders gesteld voor het borgen van medische deskundigheid bij de afhandeling van machtigingsverzoeken, het informeren van verzekerden bij (met name de afwijzing van) machtigingsverzoeken en de doorlooptijden van machtigingsprocedures, NZa Thematisch onderzoek Zorgplicht – verkrijgen en vergoeden van zorg 2012. Dit rapport ging niet in op het juridisch kader dat geldt voor de vraag of en zo ja welke persoonsgegevens mogen worden verwerkt ten behoeve van een machtiging. en of en zo ja welke persoonsgegevens daarvoor mogen worden verwerkt. Er is alleen voorzien in artikel 14, vijfde lid, Zvw waarin is geregeld dat een zorgverzekeraar niet nogmaals een machtigingsvereiste kan stellen als de verzekerde reeds een machtiging van zijn vorige verzekeraar heeft gekregen (en de periode waarover de machtiging is verleend nog loopt).
In de memorie van toelichting op de Zvw staat dat ‘Het aan de zorgverzekeraar is om in zijn modelovereenkomsten op te nemen (en derhalve ook in de zorgverzekering overeen te komen en vervolgens in de zorgpolis op te nemen) voor welke vormen van zorg hij een vorm van toetsing wenst. Zo kan hij (...) regelen dat de verzekerde voor bepaalde vormen van zorg zijn voorafgaande toestemming behoeft (het verzoek tot toestemming dient dan te worden bezien door een bij de verzekeraar werkende verzekeringsarts). Eist een zorgverzekeraar in de ogen van zijn verzekerden te vaak voorafgaande toestemming, dan zullen zijn verzekerden bij hem weg gaan’.5Kamerstukken II, 2003–04, 29 763, nr. 3, p. 110.
Dit is naar aanleiding van vragen tijdens de parlementaire behandeling bevestigd: ‘Wie de zorg verleent en waar die wordt verleend, is een verantwoordelijkheid van de zorgverzekeraar om daarover afspraken te maken met de verzekerde in de zorgovereenkomst. Dit geldt ook voor de procedurele voorwaarden, zoals toestemmingsvereisten, verwijzingen en voorschrijfvereiste,6Kamerstukken II, 2003–04, 29 763, nr. 26, p. 11. En ook in de nota naar aanleiding van het verslag komt het aan de orde: ‘Op basis van artikel 11 wordt geregeld waar de verzekerde recht op kan hebben, indien het verzekerde risico zich voordoet. De verdere invulling van deze rechten vindt plaats in de modelovereenkomst, de zorgverzekeringsovereenkomst en daarmee in de zorgpolis.7Kamerstukken II, 2003–04, 29 763, nr. 7, p. 42 en p. 56. Ook in de nota van toelichting op het Besluit Zorgverzekering staat dat: ‘Uitgangspunt is dat in de zorgpolis staat vermeld welke zorg door wie wordt verleend, waar deze wordt verleend en welke voorwaarden gelden, wil op deze zorg aanspraak bestaan, dan wel willen de kosten worden vergoed.’8Nota van toelichting op het Besluit zorgverzekering, Stb. 2005, 389, p. 18–19. En ‘De voorwaarden waar zorgverzekeraar en verzekerde wel afspraken over kunnen maken, zijn voorwaarden zoals het vragen van een verwijsbriefje, een voorschrift, een melding van aanvang zorg en het vragen van toestemming.9Nota van toelichting op het Besluit zorgverzekering, Stb. 2005, 389, p. 35.
Uit de parlementaire geschiedenis van de Zvw blijkt dus dat het hanteren van het machtigingsvereiste deel uitmaakt van de zorgovereenkomst die de zorgverzekeraar en verzekerde overeenkomen.
Artikel 21, eerste lid, onderdeel b, onder 2°, van de Wbp voorziet in een uitzondering voor zorgverzekeraars op het verbod op het verwerken van persoonsgegevens betreffende de gezondheid indien dat noodzakelijk is voor de uitvoering van de verzekeringsovereenkomst. Daarnaast bepaalt artikel 23, eerste lid, onderdeel f, van de Wbp, dat een uitzondering op het verbod op het verwerken van persoonsgegevens betreffende de gezondheid bij wet kan worden geregeld. De Zvw en de Wmg zijn dergelijke wetten.
De grondslag voor de verwerking van persoonsgegevens ten behoeve van het machtigingsvereiste door zorgverzekeraars is artikel 8, onderdeel b, van de Wbp (‘uitvoering van een overeenkomst waarbij betrokkene partij is’).
Artikel 2
Mogen zorgverzekeraars bijzondere persoonsgegevens verwerken ten behoeve van het machtigingsvereiste?
Onderdeel van Beleidsregels machtigingsvereiste· Privacy
Deze tekst geldt sinds 17 december 2016