Title: wetten.nl - Regeling - Beleidsregels machtigingsvereiste - BWBR0038875

Source: https://wetten.overheid.nl/BWBR0038875/

Content:
{"title": "wetten.nl - Regeling - Beleidsregels machtigingsvereiste - BWBR0038875", "content": "Beleidsregels machtigingsvereiste\n\nDe Autoriteit Persoonsgegevens heeft in 2016 verschillende signalen ontvangen over\n                                       de (bijzondere) persoonsgegevens die door zorgverzekeraars worden gevraagd in het\n                                       kader van het machtigingsvereiste.\n\nUit deze signalen bleek dat het niet altijd duidelijk is of zorgverzekeraars persoonsgegevens\n                                       mogen verwerken ten behoeve van het machtigingsvereiste en zo ja welke (bijzondere)\n                                       persoonsgegevens voor dat doel mogen worden verwerkt.\n\nDe Autoriteit Persoonsgegevens heeft daarom de onderhavige beleidsregels opgesteld.\n                                       Deze beleidsregels zijn afgestemd met de Nederlandse Zorgautoriteit en in verband\n                                       met de overlegverplichting van artikel 67 van de Wet bescherming persoonsgegevens (Wbp) voorgelegd aan de Minister van Veiligheid en Justitie en de Minister van Binnenlandse\n                                       Zaken en Koninkrijksrelaties.\n\nDe Autoriteit Persoonsgegevens stelt in deze beleidsregels vast dat zorgverzekeraars\n                                       in beginsel (bijzondere) persoonsgegevens mogen verwerken ten behoeve van het machtigingsvereiste.\n                                       Daarbij wordt nader ingegaan op de wijze waarop het noodzakelijkheidsbeginsel als\n                                       bedoeld in de artikelen 8 en 21 van de Wbp bij de verwerking van persoonsgegevens ten behoeve van het machtigingsvereiste moet\n                                       worden ingevuld.\n\nOnder machtigingsvereiste (ook wel voorafgaande toestemming of akkoordverklaring genoemd)\n                                       wordt begrepen dat verzekerde v\u00f3\u00f3raf toestemming van de zorgverzekeraar dient te hebben\n                                       voor de vergoeding van bepaalde behandelingen, geneesmiddelen of hulpmiddelen dan\n                                       wel voor bepaalde (typen van) zorgaanbieders. Het machtigingsvereiste kan worden gesteld\n                                       voor zowel vergoedingen die vallen onder de basisverzekering als vergoedingen op grond\n                                       van een aanvullende ziektekostenverzekering.1 De zorgpolis bepaalt in welke gevallen het machtigingsvereiste geldt. 2\n\nZoals voor elke verwerking van bijzondere persoonsgegevens door zorgverzekeraars geldt\n                                       ook voor het verwerken van bijzondere persoonsgegevens ten behoeve van het machtigingsvereiste\n                                       dat er een uitzondering op het verbod op het verwerken van persoonsgegevens betreffende\n                                       de gezondheid van artikel 16 van de Wbp moet zijn en dat er een grondslag voor de verwerking van persoonsgegevens in artikel 8 van de Wbp moet zijn.\n\nHet machtigingsvereiste is niet in de Zorgverzekeringswet (Zvw) of de Wet marktordening gezondheidszorg (Wmg)3 gedefinieerd. Ook is niet uitgewerkt hoe de procedure rondom het machtigingsvereiste\n                                       moet zijn vormgegeven4 en of en zo ja welke persoonsgegevens daarvoor mogen worden verwerkt. Er is alleen\n                                       voorzien in artikel 14, vijfde lid, Zvw waarin is geregeld dat een zorgverzekeraar niet nogmaals een machtigingsvereiste\n                                       kan stellen als de verzekerde reeds een machtiging van zijn vorige verzekeraar heeft\n                                       gekregen (en de periode waarover de machtiging is verleend nog loopt).\n\nIn de memorie van toelichting op de Zvw staat dat \u2018Het aan de zorgverzekeraar is om in zijn modelovereenkomsten op te nemen (en derhalve\n                                          ook in de zorgverzekering overeen te komen en vervolgens in de zorgpolis op te nemen)\n                                          voor welke vormen van zorg hij een vorm van toetsing wenst. Zo kan hij (...) regelen\n                                          dat de verzekerde voor bepaalde vormen van zorg zijn voorafgaande toestemming behoeft\n                                          (het verzoek tot toestemming dient dan te worden bezien door een bij de verzekeraar\n                                          werkende verzekeringsarts). Eist een zorgverzekeraar in de ogen van zijn verzekerden\n                                          te vaak voorafgaande toestemming, dan zullen zijn verzekerden bij hem weg gaan\u2019.5\n\nDit is naar aanleiding van vragen tijdens de parlementaire behandeling bevestigd:\n                                       \u2018Wie de zorg verleent en waar die wordt verleend, is een verantwoordelijkheid van de\n                                          zorgverzekeraar om daarover afspraken te maken met de verzekerde in de zorgovereenkomst.\n                                          Dit geldt ook voor de procedurele voorwaarden, zoals toestemmingsvereisten, verwijzingen\n                                          en voorschrijfvereiste,6 En ook in de nota naar aanleiding van het verslag komt het aan de orde: \u2018Op basis van artikel 11 wordt geregeld waar de verzekerde recht op kan hebben, indien\n                                          het verzekerde risico zich voordoet. De verdere invulling van deze rechten vindt plaats\n                                          in de modelovereenkomst, de zorgverzekeringsovereenkomst en daarmee in de zorgpolis.7 Ook in de nota van toelichting op het Besluit Zorgverzekering staat dat: \u2018Uitgangspunt is dat in de zorgpolis staat vermeld welke zorg door wie wordt verleend,\n                                          waar deze wordt verleend en welke voorwaarden gelden, wil op deze zorg aanspraak bestaan,\n                                          dan wel willen de kosten worden vergoed.\u20198 En \u2018De voorwaarden waar zorgverzekeraar en verzekerde wel afspraken over kunnen maken,\n                                          zijn voorwaarden zoals het vragen van een verwijsbriefje, een voorschrift, een melding\n                                          van aanvang zorg en het vragen van toestemming.9\n\nUit de parlementaire geschiedenis van de Zvw blijkt dus dat het hanteren van het machtigingsvereiste deel uitmaakt van de zorgovereenkomst\n                                       die de zorgverzekeraar en verzekerde overeenkomen.\n\nArtikel 21, eerste lid, onderdeel b, onder 2\u00b0, van de Wbp voorziet in een uitzondering voor zorgverzekeraars op het verbod op het verwerken\n                                       van persoonsgegevens betreffende de gezondheid indien dat noodzakelijk is voor de\n                                       uitvoering van de verzekeringsovereenkomst. Daarnaast bepaalt artikel 23, eerste lid, onderdeel f, van de Wbp, dat een uitzondering op het verbod op het verwerken van persoonsgegevens betreffende\n                                       de gezondheid bij wet kan worden geregeld. De Zvw en de Wmg zijn dergelijke wetten.\n\nDe grondslag voor de verwerking van persoonsgegevens ten behoeve van het machtigingsvereiste\n                                       door zorgverzekeraars is artikel 8, onderdeel b, van de Wbp (\u2018uitvoering van een overeenkomst waarbij betrokkene partij is\u2019).\n\nZorgverzekeraars mogen dus bijzondere persoonsgegevens verwerken ten behoeve van het\n                                       machtigingsvereiste.\n\nNoodzakelijkheidsvereiste\n\nDaarbij is van belang dat de Wbp voor elke gegevensverwerking vereist dat er naast een grondslag uit artikel 8 Wbp en een uitzondering op het verbod uit artikel 16 Wbp, moet zijn voldaan aan het noodzakelijkheidsvereiste. Artikel 21 eerste lid, onderdeel b, onder 2\u00b0, biedt bijvoorbeeld een uitzondering voor de persoonsgegevens betreffende de gezondheid\n                                       die noodzakelijk zijn voor de uitvoering van de overeenkomst van verzekering. En artikel 8, onder\n                                       b, betreft de gegevens die noodzakelijk zijn voor de uitvoering van een overeenkomst waarbij betrokkene partij is.\n\nDit noodzakelijkheidsvereiste brengt een belangrijke beperking aan voor wat betreft\n                                       de aard en omvang van de persoonsgegevens die voor een machtiging mogen worden verwerkt.\n\nZorgverzekeraars zullen moeten kunnen onderbouwen of de gevraagde persoonsgegevens\n                                       noodzakelijk zijn voor het verlenen van een machtiging. Bij de toepassing van het\n                                       noodzakelijkheidsvereiste toetst degene die de persoonsgegevens verwerkt steeds of\n                                       de betreffende verwerking voldoet aan de beginselen van proportionaliteit en subsidiariteit.\n                                       Dat betekent ten eerste dat het doel, de aard en omvang van de persoonsgegevens die\n                                       voor de machtiging worden verwerkt met elkaar in verhouding zijn en ten tweede dat\n                                       er geen minder ingrijpende verwerking van persoonsgegevens voor dat doel mogelijk\n                                       is. Kan bijvoorbeeld worden volstaan met het doen van een meer formele toets zoals\n                                       de aanwezigheid van een verwijsbrief of het verstrekken van (kwaliteits)informatie\n                                       over de zorgverlener dan is het opvragen van (andere) persoonsgegevens betreffende\n                                       de gezondheid over de verzekerde niet toegestaan.\n\nVoor de hierboven genoemde onderbouwing is van belang welk doel het vragen van de\n                                       machtiging in het specifieke geval dient. In het algemeen geldt dat een machtiging\n                                       ten doel heeft te voorkomen dat vergoeding ten onrechte plaatsvindt maar meer specifiek\n                                       kan bijvoorbeeld onderscheid worden gemaakt tussen het voorkomen dat er sprake is\n                                       van onverzekerde zorg, het waarborgen dat er sprake is van doelmatige zorg, het voorkomen\n                                       dat de zorg die wordt verleend niet het meest is aangewezen gezien de individuele\n                                       omstandigheden en/of het ziektebeeld van de betreffende verzekerde en het voorkomen\n                                       dat de zorg die wordt verleend niet het meest is aangewezen omdat de betreffende zorgaanbieder\n                                       niet aan bepaalde (kwaliteits) vereisten voldoet. De onderbouwing van de gevraagde\n                                       persoonsgegevens moet worden gerelateerd aan het specifiek doel. 10\n\nDoel machtiging\n\nHet doel van de machtiging is voorkomen dat de verzekerde zorg ondergaat die achteraf\n                                       niet voor vergoeding in aanmerking blijkt te komen, bijvoorbeeld omdat er geen sprake\n                                       is van verzekerde zorg,11 de zorg niet het meest is aangewezen voor de specifieke verzekerde of de betreffende\n                                       zorgaanbieder niet aan bepaalde kwaliteitseisen voldoet. Met een machtiging krijgt\n                                       de verzekerde vooraf duidelijkheid over de vraag of zorgkosten worden vergoed. Zo\n                                       wordt voorkomen dat de zorgverzekeraar ten onrechte betaalde vergoedingen moet terugvorderen\n                                       en de verzekerde met onverwachte kosten wordt geconfronteerd.\n\nVoor de toets die zorgverzekeraars bij het afgeven van een machtiging hanteren, geldt\n                                       verder dat artikel 14, eerste lid, Zvw bepaalt dat de vraag of een verzekerde behoefte heeft aan een bepaalde vorm van zorg\n                                       of een bepaalde andere dienst, slechts op basis van zorginhoudelijke criteria wordt\n                                       beantwoord.\n\nIn de parlementaire geschiedenis van de Zvw wordt daarover onder meer gezegd dat \u2018de verzekeraar het recht heeft om te controleren of de door de arts ge\u00efndiceerde vorm\n                                          van zorg inderdaad wel voor de desbetreffende pati\u00ebnt is aangewezen en ook niet meer\n                                          omvat (en dus niet duurder is) dan nodig. Artikel 14 zorgt er dan w\u00e9l voor, dat die\n                                          verzekeraar die toestemming slechts om zorginhoudelijke redenen mag weigeren. Het\n                                          artikel zorgt er voorts voor, dat een zorginhoudelijke deskundige (bijvoorbeeld een\n                                          verzekeringsarts)de verzekeraar dient te adviseren over de vraag of dergelijke zorginhoudelijke\n                                          redenen er al dan niet zijn. De zorgverzekeraar dient het advies van de zorginhoudelijk\n                                          deskundige over te nemen\u2019.12\n\n\u2018Bij de vraag of een verzekerde behoefte heeft aan een bepaalde vorm van zorg of een\n                                          andere tot het verzekerde pakket behorende dienst zullen veelal medisch-inhoudelijke\n                                          criteria bepalend zijn. De wet hanteert echter het bredere begrip \u00abzorginhoudelijke\n                                          criteria\u00bb om te bewerkstelligen dat waar nodig ook andere zorggebonden criteria een\n                                          rol kunnen spelen, bijvoorbeeld het oordeel van een verpleegkundige over de thuissituatie\n                                          indien een beslissing moet worden genomen over de vraag of een pati\u00ebnt naar huis kan\n                                          of eerst in een revalidatie-instelling moet worden opgenomen.13\n\nRelatie tot formele en materi\u00eble controle\n\nHet machtigingsvereiste heeft dus ten doel om vooraf  het risico te beperken dat er ten onrechte vergoedingen plaatsvinden. Daarnaast hebben\n                                       zorgverzekeraars de mogelijkheid om achteraf te controleren dat er geen onrechtmatige vergoedingen zijn gedaan.14 15\n\nHet verwerken van persoonsgegevens ten behoeve van formele en materi\u00eble controles\n                                       is geregeld in artikel 87 van de Zvw jo. hoofdstuk 7 van de Regeling zorgverzekering (Rzv).16 Voor de aanvullende ziektekostenverzekering gelden daarvoor artikel 68a van de Wmg en de Regeling persoonsgegevens vrijwillige ziektekostenverzekeringen Wmg.\n\nIn deze regelingen wordt uitwerking gegeven aan het noodzakelijkheidscriterium door\n                                       nader te bepalen welke persoonsgegevens, voor welke doeleinden mogen worden verwerkt.17 Daarbij is invulling gegeven aan het proportionaliteitsvereiste door de materi\u00eble\n                                       controle door zorgverzekeraars stapsgewijs vorm te geven. Dat betekent dat indringende\n                                       methodes \u2013 met als sluitstuk het doen van detailcontroles \u2013 pas mogen worden toegepast\n                                       indien en voor zover niet kan worden volstaan met minder indringende methodes.18\n\nHet hanteren van een machtigingseis (toets voorafgaand aan de levering van zorg die\n                                       in korte tijd moet plaatsvinden) en het uitvoeren van formele en materi\u00eble controle\n                                       (controle achteraf aan de levering van zorg en niet onder tijdsdruk) zijn verschillende\n                                       instrumenten. De Rzv en de Regeling persoonsgegevens vrijwillige ziektekostenverzekeringen Wmg gelden dan ook niet voor de verwerking van persoonsgegevens ten behoeve van het machtigingsvereiste.\n\nDaarmee is er dus geen nadere uitwerking van het noodzakelijkheidsvereiste (en dus\n                                       de beginselen van proportionaliteit en subsidiariteit) voorzien in wet- of regelgeving\n                                       voor de gegevensverwerking bij de aanvraag en behandeling van het machtigingsvereiste.\n\nUitgangspunten bij gegevensverwerking voor een machtiging\n\nHet is niet mogelijk om in deze beleidsregels een sluitend overzicht te geven van\n                                       de gegevens die noodzakelijk zijn in het kader van het machtigingsvereiste. Het gaat immers om (zeer) verschillende\n                                       vormen van zorg waarbij bovendien zorginhoudelijke criteria in het individuele geval19 een rol spelen.\n\nWel zijn er een aantal algemene uitgangspunten:\n\n\u2013 Er wordt volstaan met die gegevens die (minimaal) noodzakelijk worden geacht voor\n                                             de specifieke machtiging in het voorliggende geval. Dat betekent onder meer dat er\n                                             niet \u2018voor de zekerheid\u2019 alvast ook andere / meer gegevens worden verwerkt.\n\n\u2013 Er wordt pas overgegaan tot het verwerken van (meer gedetailleerde) gezondheidsgegevens\n                                             over verzekerde als andere gegevens niet toereikend zijn om het doel van de machtiging\n                                             te bewerkstelligen.\n\n\u2013 Daarbij worden de volgende afwegingen gemaakt:\n\n\u25cb Kan worden volstaan met het verstrekken van (kwaliteits)informatie over de zorgverlener?\n                                                   (bijvoorbeeld als het doel van de machtiging is te bewerkstelligen dat ongecontracteerde\n                                                   aanbieders aan dezelfde kwaliteitseisen voldoen als gecontracteerde zorgaanbieders).\n\n\u25cb Zijn de vermoedelijke diagnose en een schatting van de kosten voldoende?\n\n\u25cb Is een volledig behandelplan nodig of kan worden volstaan met enkele specifieke gegevens\n                                                   uit het behandelplan?\n\n\u25cb Is een volledig dossier (uit bijvoorbeeld de eerste lijn) nodig of kan worden volstaan\n                                                   met enkele specifieke persoonsgegevens?\n\n\u25cb Zijn persoonsgegevens uit (toekomstige) evaluaties van de behandeling nodig?\n\n\u2013 De zorgverzekeraar onderbouwt waarom de persoonsgegevens die worden gevraagd voor\n                                             een machtiging noodzakelijk zijn voor dat doel.\n\n\u25cb In beginsel kan de onderbouwing waarom de persoonsgegevens die worden gevraagd noodzakelijk\n                                                   zijn voor het doel van de machtiging op hoofdlijnen worden opgesteld per zorgsoort,\n                                                   geneesmiddel en/of hulpmiddel waarvoor het machtigingsvereiste geldt.\n\n\u25cb Bij de onderbouwing van de noodzaak wordt in elk geval ingegaan op het specifieke\n                                                   doel van het stellen van een machtigingsvereiste in het betreffende geval (bijvoorbeeld\n                                                   vaststellen dat sprake is van verzekerde zorg, vaststellen dat de zorg het meest is\n                                                   aangewezen voor de specifieke verzekerde of waarborgen dat de betreffende zorgaanbieder\n                                                   aan bepaalde kwaliteitseisen voldoet).\n\n\u25cb De onderbouwing van de noodzaak zal uitgebreider en zorgvuldiger zijn naarmate het\n                                                   gaat om (meer) detailgegevens.\n\n\u25cb Nadere onderbouwing vindt plaats indien er in het individuele geval wordt afgeweken\n                                                   van de hierboven genoemde onderbouwing op hoofdlijnen per zorgsoort, geneesmiddel\n                                                   en/of hulpmiddel waarvoor het machtigingsvereiste geldt.\n\n\u25cb Deze onderbouwing zal waar nodig (nader) zijn toespitst op individuele omstandigheden\n                                                   van het geval indien betrokkene daarom vraagt.\n\n\u2013 Zorgverzekeraars vragen aan een verzekerde met een privacyverklaring GGZ 20ook ten behoeve van een machtiging g\u00e9\u00e9n tot de diagnose herleidbare gegevens.\n\nDit vloeit voort uit een uitspraak van het College van Beroep voor het bedrijfsleven\n                                       (CBb).2122 Het CBb heeft in deze uitspraak het belang van een goede taakvervulling van de zorgverzekeraars\n                                       (zorginkoop en controle van geleverde prestaties) afgewogen tegen het privacybelang\n                                       van individuele GGZ pati\u00ebnten.\n\nDeze uitspraak ziet weliswaar op het verwerken van diagnosegegevens ten behoeve van\n                                       de declaratieafwikkeling en niet ten behoeve van een machtiging, maar de afwegingen\n                                       die het CBb hierin maakt werken wel door in de wijze waarop het noodzakelijkheidsvereiste\n                                       van artikel 8 en artikel 23 van de Wbp moet worden toegepast bij de verwerking van persoonsgegevens voor een machtiging\n                                       bij verzekerden met een privacyverklaring GGZ.23\n\nHet noodzakelijkheidsvereiste van de artikelen 8 en 21 van de Wbp, in samenhang bezien met de uitspraak van het CBb, noopt er daarom toe dat bij aanwezigheid\n                                       van een privacyverklaring GGZ \u00f3\u00f3k in het kader van een machtigingsaanvraag g\u00e9\u00e9n diagnosegegevens\n                                       worden verwerkt.24\n\nIndien een machtigingsverzoek wordt gedaan door de verzekerde kan deze de daarvoor\n                                       noodzakelijke persoonsgegevens opvragen bij zijn zorgaanbieder(s). In dat geval is\n                                       er uiteraard geen sprake van een doorbreking van de geheimhoudingsplicht van de zorgverlener.\n\nIn de praktijk worden er ten behoeve van een machtiging ook zonder tussenkomst van\n                                       de verzekerde door zorgverleners persoonsgegevens over de verzekerde aan zorgverzekeraars\n                                       verstrekt. In dat geval is er een grond voor de doorbreking van de geheimhoudingsplicht\n                                       van de betreffende zorgverlener nodig.\n\nDe Zvw en de Wmg voorzien niet in een nadere uitwerking van de gevallen en de aard en omvang van de\n                                       persoonsgegevens die moeten worden verstrekt voor een machtiging (zoals bijvoorbeeld\n                                       in hoofdstuk 7 van de Rzv is gedaan voor de verwerking van persoonsgegevens in het kader van formele en materi\u00eble\n                                       controle). Er is dan ook geen wettelijk voorschrift dat kan dienen als grond voor\n                                       de doorbreking van de geheimhoudingsplicht ten behoeve van het machtigingsvereiste.25\n\nIn de situatie waarin door de zorgverlener aan de zorgverzekeraar in het kader van\n                                       het machtigingsvereiste persoonsgegevens worden verstrekt, is dan ook toestemming\n                                       van de verzekerde aan de zorgverlener nodig voor de doorbreking van de geheimhoudingsplicht.\n\nDeze beleidsregels worden aangehaald als Beleidsregels machtigingsvereiste.\n\nDeze beleidsregels treden in werking een dag na publicatie in de Staatscourant."}