Vrouw wenst overzicht personen die inzage in medisch dossier hebben gehad
De uitspraak heeft betrekking op een geschil tussen een vrouw en het Universitair Medisch Centrum Groningen (UMCG). De vrouw heeft het UMCG bij brief van 6 juli 2009 verzocht haar een overzicht te geven van de zorgverleners die toegang hebben gehad tot haar medisch patientendossier. Bij besluit van 11 augustus 2009 heeft het UMCG dat verzoek afgewezen. Het UMCG motiveerde die afwijzing (kort samengevat) met de stelling dat alleen daartoe bevoegde personen toegang hebben gehad tot het dossier van de vrouw.
Rechtbank wijst verzoek toe
De vrouw nam daarmee geen genoegen en ging in beroep bij de rechtbank. De rechtbank wees het verzoek van de vrouw toe. De motivering hiervoor laat zich als volgt samenvatten. In lid 2 van artikel 35 Wbp staat dat in het overzicht dat naar aanleiding van een inzageverzoek moet worden verstrekt onder meer "de ontvangers of categorieën van ontvangers" moet worden vermeld. Volgens de rechtbank zijn de personen die het dossier raadplegen aan te merken als een dergelijke "ontvanger". In de ogen van de rechtbank bevestigde de tekst van de wet dus dat naar aanleiding van een inzageverzoek een overzicht moet worden verstrekt van de personen die toegang hebben gehad tot een dossier.
Raad van State corrigeert motivering...
Het UMCG ging in hoger beroep bij de Raad van State. De Raad van State overweegt allereerst dat degene die een dossier raadplegen, niet zijn te beschouwen als een "ontvanger" in de zin van de Wbp:
Anders dan de rechtbank is de Afdeling dan ook van oordeel dat degenen die het medisch dossier van [wederpartij] in het Poliplus-systeem hebben geraadpleegd, geen ontvangers zijn in de zin van artikel 1, aanhef en onder h, van de Wbp.
... maar wijst het verzoek evengoed toe
Deze correctie op het oordeel van de rechtbank leidt echter niet tot een materieel ander oordeel. De Raad van State concludeert namelijk, net als de rechtbank, dat het inzagerecht ook betrekking heeft op het krijgen van een overzicht van personen die het dossier hebben geraadpleegd:
2.4.3. Gelet op hetgeen onder 2.4.2 is overwogen, mocht het UMCG ingevolge het bepaalde in artikel 35, tweede lid, van de Wbp niet volstaan met het mededelen van categorieën van ontvangers. Het betoog van het UMCG dienaangaande faalt dan ook.
De rechtbank heeft met juistheid geoordeeld dat artikel 35, tweede lid, van de Wbp, aan [wederpartij] in beginsel het recht toekent op een overzicht van namen van degenen die haar medisch dossier in het Poliplus-systeem hebben geraadpleegd.
Reden van inzageverzoek niet relevant
Bovendien overweegt de Raad van State uitdrukkelijk dat het doel dat degene die het inzageverzoek doet met dat verzoek heeft, in het geheel niet relevant is. De wet geeft een ieder simpelweg het recht te weten welke persoonsgegevens van hem door een verantwoordelijke worden verwerkt en aan dat recht moet, behoudens misbruik en andere uitzonderingen, door de verantwoordelijke gehoor worden gegeven:
Dat [wederpartij] de informatie zou hebben verzocht teneinde na te gaan of het UMCG het beroepsgeheim in acht neemt, kon derhalve geen grond zijn de door haar verzochte informatie niet mede te delen. Het recht op mededeling of persoonsgegevens worden verwerkt, als neergelegd in artikel 35 van de Wbp, kan weliswaar ten dienste staan van aanwending van de mogelijkheid door een betrokkene om de verantwoordelijke te verzoeken deze persoonsgegevens te verbeteren of aan te vullen, voorzien in artikel 36 van de Wbp, maar dat betekent niet dat de mededeling slechts behoeft te worden gedaan in zoverre dat doel kan worden gediend. Uit de tekst van artikel 35, tweede lid, van de Wbp volgt immers dat de verantwoordelijke een volledig overzicht van de verwerkte persoonsgegevens dient te verstrekken, los van het doel dat betrokkene met het verzoek voor ogen heeft. Zoals de rechtbank voorts met juistheid heeft overwogen, geeft de Wbp aan een ieder het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt en wordt het belang bij een zodanig verzoek door de Wbp verondersteld.
Uitzondering op inzageverzoek alleen bij deugdelijke en voldoende stevige motivatie
Het UMCG heeft zich nog beroepen op artikel 43 Wbp, waarin staat dat aan een inzageverzoek geen gehoor hoeft te worden gegeven wanneer dat noodzakelijk is in het belang van (onder meer) "de bescherming van de betrokkene of van de rechten en vrijheden van anderen". Met andere woorden: het UMCG heeft gesteld dat het voldoen aan dit verzoek van de betrokkene een inbreuk zou vormen op de privacy van de medewerkers die inzage hebben gehad in het dossier. Dit verweer is volgens de Raad van State echter onvoldoende gemotiveerd:
2.8.1 (...) Het UMCG heeft echter niet deugdelijk gemotiveerd waarom het buiten toepassing laten van artikel 35, tweede lid, van de Wbp in dit geval noodzakelijk is in het belang van de bescherming van de rechten en vrijheden van anderen. Zoals onder 2.4.3 is overwogen, geeft de Wbp aan een ieder het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt in de zin van artikel 1, aanhef en onder b, van de Wbp. Het belang bij een zodanig verzoek wordt door de Wbp verondersteld. Daarom en omdat het in dit geval verwerking van persoonsgegevens in het kader van een digitaal medisch dossier betreft, staat het belang van [wederpartij] om haar rechten op grond van artikel 35 en 36 van de Wbp uit te kunnen oefenen, zoals zij terecht betoogt, voorop. Met de enkele overweging in het besluit van 9 december 2010 dat ook een inbreuk op de privacy van medewerkers van het UMCG moet zijn voorzien bij de wet en moet voldoen aan de eisen van proportionaliteit en subsidiariteit heeft het UMCG niet een weging verricht die hieraan recht doet. Het betoog van [wederpartij] slaagt.
Let wel: dit wil niet zeggen dat een dergelijk verweer nooit zou slagen. De Raad van State stelt hier slechts dat het belang van de betrokkene bij inzage zwaar weegt en dat er (dus) behoorlijk wat tegenover moet worden gesteld om te rechtvaardigen dat het inzagerecht in een bepaalde situatie niet van toepassing is.
Commentaar
De Raad van State legt het inzagerecht ruim uit. Het is met name opvallend om te zien dat het inzagerecht zich volgens de Raad van State niet alleen uitstrekt tot een overzicht van de persoonsgegevens die worden verwerkt, maar ook tot een overzicht van de personen die daar toegang toe hebben gehad. Inzageverzoeken spitsen zich nu toe nu vaak toe op informatie over aan welke (derde)verantwoordelijken bepaalde informatie was verstrekt, niet welke "werknemers van verantwoordelijke" daarbij betrokken zijn. Met een dergelijk overzicht kan wel worden gecontroleerd of de verantwoordelijke zich aan bijvoorbeeld de beveiligingsverplichting (artikel 13) houdt.
Het is niet helemaal duidelijk of dit nu ook betekent dat een dergelijk logboek van toegangsinformatie (dus) moet worden bijgehouden. Dat kwam in deze zaak niet aan de orde, omdat die (log)informatie er in dit geval wel is. Althans, dat moest haast wel, anders kan ik het verweer van UMCG dat het verstrekken van die informatie een inbreuk op de privacy van de betrokken behandelaars zou zijn niet goed plaatsen. Of een dergelijke logboekverplichting nu volgens de Raad van State bestaat, kan volgens mij dan ook niet uit deze uitspraak worden afgeleid. Dat neemt overigens niet weg dat volgens het College Bescherming Persoonsgegevens in het kader van de beveiligingsverplichting (artikel 13 Wbp) dergelijk logboeken wel moeten worden bijgehouden.
