Privacy is in de Wet Bescherming persoonsgegevens (WBP) geregeld. Een advocaat privacyrecht komt op voor de belangen van degene wiens privacy is aangetast. Artikel 35, eerste lid, WBP geeft je het recht je vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt.
Art. 35 lid 2 WBP geeft aan hoe en wat geantwoord moet worden:
- volledig overzicht daarvan in begrijpelijke vorm;
- een omschrijving van het doel of de doeleinden van de verwerking;
- de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers;
- de beschikbare informatie over de herkomst van de gegevens.
Privacy medisch dossier
Bij besluit van 11 augustus 2009 heeft het UMCG (Universitair Medisch Centrum Groningen) het verzoek van patiënt om op grond van de Wet bescherming persoonsgegevens (Wbp) kennis te nemen van de namen van de zorgverleners die inzage in haar medisch patiëntendossier hebben genomen, afgewezen. Bij besluit van 9 november 2009 heeft het UMCG het door patiënt daartegen gemaakte bezwaar ongegrond verklaard.
Bij uitspraak van 3 november 2010, verzonden op dezelfde dag, heeft de rechtbank het door de patiënt daartegen ingestelde beroep gegrond verklaard en bepaald dat het UMCG een nieuw besluit dient te nemen op het bezwaar van de patiënt met inachtneming van hetgeen in de uitspraak is overwogen. Deze uitspraak is aangehecht.
Wie mogen de patiënt gegevens inzien?
Ingevolge artikel 16, vierde lid, van het Vrijstellingsbesluit Wbp worden de persoonsgegevens slechts verstrekt aan:
a. degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandeling van de patiënt alsmede degenen die optreden als vervanger van de voor de verwerking verantwoordelijke, voor zover de verstrekking noodzakelijk is voor de door hen in dat kader te verrichten werkzaamheden;
b. onderzoekers, als bedoeld in artikel 7:458 van het Burgerlijk Wetboek;
c. zorgverzekeraars voor zover noodzakelijk met het oog op de verplichtingen uit de verzekeringsovereenkomst;
d. derden die zijn belast met het innen van vorderingen, voor zover de verstrekking daarvoor noodzakelijk is en geen medische gegevens betreft;
e. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d.
Er is geen wettelijke omschrijving van wie er verder rechtstreeks betrokken zijn bij de uitvoering, maar het gaat, naast de behandelaars, ook om degenen die ingeroepen zijn als consulent, beheerders van dossiers en bij de financiële afwikkeling betrokken personen. Geen anderen dan zorgverleners en medewerkers van de zorgadministratie hebben inzage gehad in het in het Poliplus-systeem opgenomen medisch dossier van de patiënt aldus het UMCG.
Wat vindt de Raad van State van het standpunt van het ziekenhuis?
“De rechtbank heeft met juistheid geoordeeld dat artikel 35, tweede lid, van de Wbp, aan de patiënt in beginsel het recht toekent op een overzicht van namen van degenen die haar medisch dossier in het digitaal systeem hebben geraadpleegd. Gelet op hetgeen onder 2.4.2 is overwogen, mocht het UMCG ingevolge het bepaalde in artikel 35, tweede lid, van de Wbp niet volstaan met het mededelen van categorieën van ontvangers. Het betoog van het UMCG dienaangaande faalt dan ook.
Artikel 35, tweede lid, van de Wbp, kent aan [wederpartij] het recht toe op een volledig overzicht van namen van degenen die haar medisch dossier in het gegevens-systeem van het ziekenhuis hebben geraadpleegd.
Het UMCG heeft echter niet deugdelijk gemotiveerd waarom het buiten toepassing laten van artikel 35, tweede lid, van de Wbp in dit geval noodzakelijk is in het belang van de bescherming van de rechten en vrijheden van anderen. Zoals onder 2.4.3 is overwogen, geeft de Wbp aan een ieder het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt in de zin van artikel 1, aanhef en onder b, van de Wbp. Het belang bij een zodanig verzoek wordt door de Wbp verondersteld. Daarom en omdat het in dit geval verwerking van persoonsgegevens in het kader van een digitaal medisch dossier betreft, staat het belang van de patiënt om haar rechten op grond van artikel 35 en 36 van de Wbp uit te kunnen oefenen, zoals zij terecht betoogt, voorop. Met de enkele overweging in het besluit van 9 december 2010 dat ook een inbreuk op de privacy van medewerkers van het UMCG moet zijn voorzien bij de wet en moet voldoen aan de eisen van proportionaliteit en subsidiariteit, heeft het UMCG niet een weging verricht die hieraan recht doet. Het betoog van de patiënt slaagt. Uitspraak woensdag 30 november 2011 nr. 201011851/1/H3.”
Dit is ook van toepassing op andere instellingen die privégegevens verwerken.