Tweede Kamer der Staten-Generaal

2

Vergaderjaar 2019–2020

35 515

Bepalingen over gegevensuitwisseling ter
bevordering van samenwerking binnen het
zorgdomein en van doelmatige en rechtmatige
zorg, maatschappelijke ondersteuning en
jeugdhulp (Wet bevorderen samenwerking en
rechtmatige zorg)

Nr. 3

MEMORIE VAN TOELICHTING
1. ALGEMEEN
1.1 Inleiding
Vanuit zowel de politiek, de zorgpraktijk als de maatschappij, wordt fraude
in de zorg gekenschetst als een groot maatschappelijk probleem en een
zeer kwalijk fenomeen. Zorgbehoevenden moeten daadwerkelijk de zorg
krijgen die zij nodig hebben en waar zij recht op hebben. Zij moeten
kunnen vertrouwen op bijvoorbeeld hun zorgaanbieder en mogen niet de
dupe worden, noch wat betreft de toegang tot en kwaliteit van zorg noch
financieel, van zorgaanbieders die frauderen. Daar komt bij dat jaarlijks
veel geld omgaat in de zorgsector, dat wordt opgebracht door de premieen belastingbetaler. Mensen moeten erop kunnen vertrouwen dat
middelen die bestemd zijn voor de zorg ook daadwerkelijk aan zorg
worden besteed. Het is onacceptabel dat misbruik wordt gemaakt van
maatschappelijke voorzieningen voor eigen (financieel) gewin. Fraude tast
dus niet alleen de betaalbaarheid van de zorg aan, maar ondermijnt ook
het vertrouwen in de integriteit van zorgaanbieders en gaat ten koste van
solidariteit en de bereidheid van mensen om bij te dragen aan de kosten
van de gezondheidszorg. Zowel zorgbehoevenden als de maatschappij
moeten dan ook worden beschermd tegen fraude en de fraudeurs moeten
worden aangepakt. Er is sprake van een zwaarwegend algemeen belang
en dit belang is een prioriteit van Ministerie van Volksgezondheid, Welzijn
en Sport (VWS).1 Daarnaast is ook vanuit de Tweede Kamer bij herhaling
aangegeven dat fraude in de zorg onacceptabel is en effectief dient te
worden aangepakt.2
Het zorgdomein bestaat uit diverse domeinen (geografisch, soort zorg,
etc.) en binnen die domeinen worden de zorgwetten uitgevoerd door
verschillende instanties. Hierbij zijn gemeenten en ziektekostenverzekeraars betrokken en daarnaast spelen de IGJ, de NZa, het CIZ en de SVB
een rol. Tot slot is er nog een rol weggelegd voor de Inspectie SZW, de

1
2

kst-35515-3
ISSN 0921 - 7371
’s-Gravenhage 2020

Programmaplan Rechtmatige Zorg 2018–2021 – aanpak van fouten en fraude in de zorg.
Kamerstukken II 2012/13, 28 828, nr. 40 (motie Otwin van Dijk en Bruins Slot).

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

1

rijksbelastingdienst en de FIOD.3 Gezamenlijk wordt dit als «de keten»
aangeduid. Voor de bestrijding van fraude in de zorg is het niet alleen van
belang dat iedere betrokken instantie zijn eigen verantwoordelijkheid
neemt en rol vervult, maar ook dat zij effectief samenwerken met andere
instanties. De instanties beschikken vanuit hun eigen rol en verantwoordelijkheden en binnen hun eigen domein over bepaalde informatie ten
aanzien van (rechts)personen (hierna ook aangeduid als «partij(en)») die
in dat domein actief zijn, maar geen van allen heeft een compleet beeld.
Deze versnippering van informatie kan ertoe leiden dat fraude (langer dan
nodig) onopgemerkt blijft of dat de omvang ervan wordt onderschat en
dat daar niet, al dan niet preventief, adequaat tegen wordt opgetreden.
Door in geval van vermoeden van fraude samen te werken, de krachten te
bundelen en kennis, informatie en ervaring met elkaar te delen, kunnen
instanties over meer en betere informatie beschikken, hebben zij een beter
beeld van wat er speelt en kunnen zij vervolgens gerichter maatregelen
treffen en activiteiten onderling afstemmen. Dat vergroot de effectiviteit
van de aanpak van fraude in de zorg op niveau van de betrokken
instanties en de domeinen waarin zij actief zijn, maar ook op het niveau
van het gehele zorgdomein. Dat maakt samenwerking en het in dat kader
uitwisselen van gegevens dan ook noodzakelijk voor de uitvoering van de
taken van de betrokken instanties en het zwaarwegende algemeen belang
dat in het verlengde daarvan daarmee wordt gediend. De samenleving
verwacht ook dat de overheid in geval van misstanden adequaat optreedt
als een georganiseerd geheel. De ontwikkelingen op het terrein van ICT
bieden instanties immers steeds vaker mogelijkheden om tot een
uitwisseling van informatie te komen en op grond van deze informatieanalyses te maken die tot een integraal en effectief optreden leiden.
In het programmaplan Rechtmatige Zorg 2018–2021 werkt VWS met een
groot aantal instanties samen aan het bestrijden, dat wil zeggen
tegengaan en voorkomen, van fraude in de zorg.4 Ten behoeve van dat
doel werken instanties daar waar mogelijk overigens ook al bilateraal en
multilateraal met elkaar samen en zijn er grondslagen die enkele
mogelijkheden bieden gegevens uit te wisselen. Zo is in 2016 het
samenwerkingsverband Informatieknooppunt zorgfraude (hierna: «het
samenwerkingsverband IKZ») door instanties opgericht.5 De intensivering
en verbreding van de samenwerking tussen diverse instanties bij het
bestrijden van fraude in de zorg, hebben de knelpunten waarop instanties
stuiten bij het samenwerken en uitwisselen van gegevens duidelijk
gemaakt. Wetgeving is noodzakelijk teneinde de knelpunten, die bestaan
uit het ontbreken van voldoende grondslagen voor en verplichting tot
noodzakelijke uitwisseling van persoonsgegevens, onduidelijkheid over
bevoegdheden en de borging van de rol van het samenwerkingsverband
IKZ, weg te nemen. Dit is nodig voor een efficiënte en zorgvuldige op de
praktijkgerichte bestrijding van fraude in de zorg. Ten aanzien van het
samenwerkingsverband IKZ wordt hier in hoofdstuk 4 nader op ingegaan.

3

Het gaat om de colleges van burgemeester en wethouders (in de toelichting wordt gesproken
over gemeenten), de ziektekostenverzekeraars (waaronder begrepen zorgverzekeraar,
zorgkantoor of particuliere ziektekostenverzekeraar), de Inspectie gezondheidszorg en Jeugd
(IGJ), de Nederlandse Zorgautoriteit (NZa), het Centrum Indicatiestelling zorg (CIZ), de Sociale
Verzekeringsbank (SVB), de Inspectie SZW, de rijksbelastingdienst, waaronder de Fiscale
inlichtingen- en opsporingsdienst (FIOD).
4
Kamerstukken II 2017/18, 28 828, nr. 108.
5
Kamerstukken II 2016/17, 28 828, nr. 98; Stcrt. 2016, nr. 59229.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

2

Hoewel veel gegevens rechtspersonen betreffen en uitwisseling van die
gegevens kan plaatsvinden, worden knelpunten ervaren als het gaat om
de uitwisseling van persoonsgegevens.6 Het voornaamste knelpunt vloeit
onder andere voort uit een ander aspect waar de samenleving een zorgvuldig en terughoudend optreden van de overheid en het bedrijfsleven
verlangt, te weten de privacy van burgers. Het kader hiervoor wordt met
name gevormd door het Europees Verdrag tot bescherming van de
Rechten van de Mens en de fundamentele vrijheden (EVRM), de Algemene verordening gegevensbescherming (AVG) en het Handvest van de
grondrechten van de Europese Unie (EU-Handvest). De regering hecht
grote waarde aan dit fundamentele recht op privacy. Bij de behartiging
van beide belangen, de bestrijding van fraude in de zorg en borging van
privacy van betrokkenen, moet een evenwicht worden gevonden.
In de praktijk ziet het genoemde knelpunt er als volgt uit. Bij de bestrijding
van fraude in de zorg kunnen en worden al veel gegevens uitgewisseld
tussen de samenwerkende instanties. Het gaat dan bijvoorbeeld om
informatie over grote(re) zorgaanbieders, die opereren in de vorm van een
B.V. of N.V., waarbij geen persoonsgegevens worden uitgewisseld en
derhalve de privacy van personen niet in het geding is. Er zijn echter ook
gevallen waarin wel persoonsgegevens (moeten) worden verwerkt en
waarop het privacy kader van toepassing is.7 Dit kan bijvoorbeeld het
geval zijn als het gaat om gegevens van een partij die geen rechtspersoon
is, maar die actief is als een eenmanszaak of maatschap. In de meer
uitzonderlijke gevallen worden persoonsgegevens over een zorgbehoevende uitgewisseld. Bijvoorbeeld als sprake is van samenspanning van
een zorgbehoevende met een zorgaanbieder. Gebleken is dat de huidige
(sectorale) wet- en regelgeving daar waar het de verwerking van
persoonsgegevens betreft, onvoldoende is toegerust om binnen de kaders
van privacyregelgeving een efficiënte en zorgvuldige samenwerking
tussen instanties in het kader van bestrijding van fraude in de zorg
mogelijk te maken. Er ontbreken noodzakelijke grondslagen voor integrale
samenwerking en het uitwisselen van persoonsgegevens en de huidige
situatie leidt ook tot onduidelijkheid over het antwoord op de vraag op
welke (mogelijke) grondslag, welke persoonsgegevens door wie en aan
wie kunnen worden verstrekt. Het ontbreken van een grondslag of
onduidelijkheid over (het bestaan van) een grondslag voor een
verwerking, zoals het uitwisselen van persoonsgegevens, staat aan een
onderlinge verstrekking van persoonsgegevens in de weg of leidt tot
gebreken in die verwerking.
Bij de uitwisseling van gegevens, niet zijnde persoonsgegevens, wordt
daarnaast in zijn algemeenheid als knelpunt ervaren dat binnen de
huidige wettelijke kaders niet altijd duidelijk is wat van elke instantie in de
keten wordt dan wel kan worden verwacht. In de huidige situatie is er
onduidelijkheid over de vraag welke instantie in een bepaald geval
gegevens kan of moet verstrekken aan een andere instantie, dan wel is
niet geregeld dat of tot welke gegevensuitwisseling instanties gehouden
zijn. Als gevolg daarvan houden instanties gegevens onnodig (lang) voor

6

Het gaat om persoonsgegevens als bedoeld in artikel 4, onderdeel 1, van de Algemene
verordening gegevensbescherming. Onder persoonsgegevens worden ook gegevens over de
gezondheid en persoonsgegevens van strafrechtelijk aard verstaan. Slechts indien het maken
van onderscheid hierin noodzakelijk is, zal dit onderscheid in deze MvT kenbaar gemaakt
worden.
7
Het gaat om verwerking als bedoeld in artikel 4, onderdeel 2, van de Algemene verordening
gegevensbescherming. In deze MvT worden waar nodig ter verduidelijking specifieke vormen
van verwerking genoemd, zoals verstrekken, verrijken en uitwisselen van persoonsgegevens.
Waar het politiegegevens betreft, moeten voornoemde begrippen overeenkomstig de invulling
daarvan in de Wet politiegegevens worden uitgelegd.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

3

zichzelf, hetgeen in de weg staat aan een effectieve samenwerking en
aanpak van fraude in de zorg.
1.2 Doelen wet
Met deze wet worden ten aanzien van de genoemde knelpunten de
mogelijkheden tot samenwerking en de daarvoor benodigde gegevensuitwisseling ten behoeve van bestrijding van fraude in de zorg verbeterd.
Binnen de kaders van privacyregelgeving, met oog voor de gevoeligheid
van de gegevens en met zorg voor de privacy van betrokkenen, draagt
deze wet bij aan een efficiënte doch zorgvuldige samenwerking tussen
instanties. De wet bestaat uit drie onderdelen die hieronder worden
geïntroduceerd en in hoofdstuk 3 respectievelijk hoofdstuk 4 nader
worden toegelicht. Met deze wet is niet beoogd te veranderen wat op
basis van geldende wet- en regelgeving reeds mogelijk is om samen te
werken en fraude te voorkomen of anderszins te bestrijden. De wet brengt
dan ook geen verandering met zich mee ten aanzien van de reeds
bestaande grondslagen voor en mogelijkheden tot het bilateraal dan wel
multilateraal uitwisselen van gegevens. Handhavend en toezichthoudend
optreden is per rechtsgebied gebonden aan eigen kaders en daarover
wordt in de onderhavige wet niets geregeld.
1.3 Onderdelen van de wet
Het eerste onderdeel van de wet biedt een wettelijke grondslag voor de in
artikel 2.1 genoemde instanties, te weten gemeenten en ziektekostenverzekeraars, onderling (persoons)gegevens te verstrekken over partijen ten
aanzien van wie de gerechtvaardigde overtuiging bestaat dat zij fraude in
de zorg hebben gepleegd. De voorwaarde daarvoor is dat deze gegevens
noodzakelijk zijn voor de bestrijding van die fraude. De gerechtvaardigde
overtuiging komt tot stand op basis van voorwaarden die worden
opgenomen in een protocol. Daarmee zijn tevens de mogelijkheid en
kaders gecreëerd voor een gezamenlijk systeem voor onderlinge
uitwisseling van gegevens. De vorm van dat systeem wordt niet voorgeschreven en is aan de betrokken instanties, genoemd in artikel 2.1 van
deze wet, maar gedacht wordt aan een centraal registratiesysteem. Er is
beoogd de uitwisseling van gegevens zo techniek-onafhankelijk mogelijk
te regelen, daargelaten de passende waarborgen bij de verwerking van
persoonsgegevens. Dit registratiesysteem wordt door betrokken instanties
momenteel aangeduid als het Waarschuwingsregister zorgfraude (hierna:
«het Waarschuwingsregister») en wordt in deze toelichting als
uitgangspunt genomen. Het Waarschuwingsregister is bedoeld om zowel
natuurlijke personen als rechtspersonen te registreren waarvan de
gerechtvaardigde overtuiging bestaat dat zij fraude hebben gepleegd,
teneinde andere instanties voor deze partijen te waarschuwen. In een
bestaande relatie dan wel bij het aangaan van een nieuwe relatie met een
dergelijke partij, kunnen dan risico beperkende maatregelen worden
getroffen.
Het tweede onderdeel van de wet betreft de wettelijke grondslag voor de
in 2.3, eerste lid, genoemde instanties voor het verstrekken van (persoons)gegevens in het geval die voor de bestrijding van fraude in de zorg
noodzakelijk zijn voor een of meerdere van de in dit lid genoemde
instanties.8 De hiervoor genoemde betrokken instanties verstrekken de
gegevens aan het Informatieknooppunt zorgfraude (hierna: «het IKZ»). Er
8

In hoofdstuk 5 wordt nader toegelicht hoe noodzakelijkheid in dit kader moet worden gezien en
wordt aan de hand van voorbeelden geïllustreerd welke afweging door instanties moet worden
gemaakt voorafgaand aan de verstrekking van gegevens, waarvan persoonsgegevens
onderdeel uitmaken, aan het IKZ.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

4

is niet langer een samenwerkingsverband, maar het IKZ wordt een
instelling als zodanig aangewezen door Onze Minister. Het krijgt in artikel
2.3, derde lid, een wettelijke taak en moet op grond daarvan de hiervoor
bedoelde gegevens verrijken. Dat betekent dat de gegevens worden
aangevuld met andere noodzakelijke gegevens van betrokken instanties
en gegevens uit de daartoe in artikel 2.3, tweede lid, aangewezen
bronnen. Het resultaat hiervan moet het IKZ vervolgens aan de daartoe
geëigende instantie(s) te verstrekken. Het gaat dan om een of meer in
artikel 2.3 van deze wet genoemde instanties, die gelet op hun wettelijke
taak en rol zijn aangewezen de betreffende fraude in de zorg aan te
pakken en voor wie deze gegevens noodzakelijk zijn in het kader van
bestrijding van die fraude. Het stelt deze instanties in de gelegenheid
efficiënter en, mede met het oog op privacy, zorgvuldig te beoordelen of
sprake is van fraude in de zorg.
Het verstrekken van gegevens tussen betrokken instanties en het IKZ
maakt onderdeel uit van hetgeen in de praktijk het uitwisselen van
signalen van fraude in de zorg (hierna ook: «signalen») wordt genoemd.
Het gaat om signalen, waar ook (persoons)gegevens onderdeel van
uitmaken, die aanleiding geven tot een vermoeden van fraude in de zorg.
In deze memorie van toelichting wordt bij de terminologie uit de praktijk
aangesloten. Daarom wordt bijvoorbeeld het verstrekken van gegevens
door betrokken instanties aan het IKZ en andersom aangeduid als «het
uitwisselen van signalen», gaat het om «het verrijken van signalen door
het IKZ» en wordt het resultaat van de verwerking van gegevens door het
IKZ «het verrijkte signaal» genoemd.
In artikel 2.4 van deze wet krijgt het IKZ ook de taak ten behoeve van Onze
Minister en de betrokken instanties trends en ontwikkelingen met
betrekking tot fraude in de zorg te signaleren en daarover beleidsinformatie en statistische gegevens te ontwikkelen. Zoals in paragraaf 4.3
nader is toegelicht, is de mogelijkheid in dit kader persoonsgegevens te
verwerken beperkt.
Het in een centraal registratiesysteem zoals het Waarschuwingsregister
onderling uitwisselen van (persoons)gegevens enerzijds en de uitwisseling van (persoons)gegevens met tussenkomst van het IKZ anderzijds,
zijn twee verschillende en apart van elkaar functionerende instrumenten.
Zij hebben elk eigen kenmerken en functies en dienen elk een eigen doel.
De mogelijkheden tot het gebruik van de instrumenten en de daarin
opgenomen gegevens zijn, mede gelet op de te onderscheiden doelen,
afzonderlijk van elkaar geregeld en voorzien van eigen voorwaarden en
waarborgen. Er is geen directe relatie tussen (het gebruik van) de twee
instrumenten.
Het derde onderdeel van deze wet betreft de wettelijke grondslag en
verplichting voor het Inlichtingenbureau (IB). Het IB wordt verwerkingsverantwoordelijke en krijgt een rol in de gegevensuitwisseling tussen
gemeenten en het IKZ. Een en ander wordt nader toegelicht in paragraaf
4.8.
1.4 Geen doorbreking medisch beroepsgeheim
Vooraf wordt voorts opgemerkt dat in het wetsvoorstel aanvankelijk de
mogelijkheid was opengelaten om het medisch beroepsgeheim wettelijk
te doorbreken. Dit heeft veel reacties opgeroepen en zowel vanuit het
zorgdomein als vanuit de samenleving zijn hierover zorgen geuit. De
regering deelt deze zorgen en mede gelet op de voornoemde reacties, is
het in deze wet uitgesloten om gegevens uit te wisselen waarop het

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

5

medisch beroepsgeheim rust. Dit wordt nader toegelicht in hoofdstuk 5 en
in de artikelsgewijze toelichting.
1.5 Leeswijzer
Deze memorie van toelichting is als volgt opgebouwd. In hoofdstuk 2
wordt ingegaan op het begrip fraude in de zorg. Ook wordt aandacht
besteed aan de noodzaak van wetgeving gelet op de problematiek die
deze fraude met zich brengt en de knelpunten in de aanpak van deze vorm
van fraude. Tot slot wordt inzicht gegeven in de wijze waarom deze wet
bijdraagt aan de oplossing van de problematiek. Hoofdstuk 3 gaat over
gegevensverstrekking bij gerechtvaardigde overtuiging van fraude in de
zorg en het in dat kader op te stellen protocol. Hoofdstuk 4 gaat over het
IKZ en het IB. Aansluitend wordt ingegaan op privacyaspecten, het EVRM,
de AVG, het EU-Handvest en het medisch beroepsgeheim (hoofdstuk 5),
de gegevensbeschermingseffectbeoordeling (hoofdstuk 6), de regeldruk
(hoofdstuk 7), consultatie en advies (hoofdstuk 8) en de financiële
gevolgen van dit wetsvoorstel (hoofdstuk 9).
2. Achtergrond
2.1 Fraude in de zorg
In onderhavige wettekst en deze toelichting wordt de terminologie
«fraude in de zorg» gehanteerd. Voor een goed begrip behoeven de twee
elementen, zorg en fraude, een nadere duiding.
Zorg is geen eenduidig begrip. Zo zijn er meerdere VWS-wetten die elk
een andere reikwijdte hebben gegeven aan dit begrip. Voor de ene
toezichthouder of opsporingsdienst zal het begrip zorg een ruimere
betekenis hebben dan voor de ander. Gezien het overkoepelende karakter
van dit wetsvoorstel moet het begrip zorg worden gelezen in de context
van de domeinen waarop dit wetsvoorstel betrekking heeft en waarbinnen
de toezichthouders en opsporingsdiensten in het kader van de diverse
zorgwetten opereren. Onder zorg wordt in deze wet ook maatschappelijke
ondersteuning en jeugdhulp verstaan, maar in deze toelichting zal
kortweg het begrip zorg worden gebruikt. In het verlengde van het begrip
zorg, ligt het begrip zorgaanbieder. Dat begrip heeft eveneens een
gevarieerde reikwijdte in diverse wetten. In deze toelichting wordt met de
term zorgaanbieder ook de verlener van maatschappelijke ondersteuning
en jeugdhulp bedoeld. Voorts wordt in deze toelichting daar waar
mogelijk gesproken over zorgbehoevende(n), aangezien door de brede
reikwijdte van dit wetsvoorstel sprake kan zijn van verzekerden, cliënten
en patiënten. Alleen in specifieke gevallen of beschrijving van casuïstiek
zullen laatstgenoemde termen worden gebruikt.
Onder fraude wordt in de Van Dale verstaan bedrog, gepleegd door
vervalsing van administratie. Bedrog betekent hierbij het opzettelijk
wekken van onjuiste voorstellingen en met vervalsing is het opzettelijk
veranderen met boze bedoelingen bedoeld. In andere (taalkundige)
begripsomschrijvingen komen ook misleiden en het schenden van
vertrouwen naar voren als aspecten van het begrip fraude. Als
uitgangspunt wordt aanvaard dat de gedraging, om te kunnen spreken
van fraude, moet zijn gericht op het opzettelijk behalen van (financieel)
voordeel. In het algemeen spraakgebruik roept het begrip fraude geen
vragen op.
In een meer juridische benadering moet worden vastgesteld dat het bij
fraude niet om één, maar om meerdere strafbare gedragingen gaat. Dat
bemoeilijkt een juridische afbakening van het begrip fraude. Er is geen

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

6

specifieke, definiërende bepaling betreffende fraude in het Wetboek van
Strafrecht of in een andere wet. Het moet als verzamelbegrip worden
opgevat. Het begrip bestrijkt verschillende verschijningsvormen van
gedragingen waarbij met het oog op financieel gewin opzettelijk misleidend wordt gehandeld en waardoor burgers, bedrijven, organisaties en
overheden financieel worden benadeeld. Het kan gaan om (meer)
algemene of (meer) specifieke vormen van fraude. In het strafrecht zijn er
kapstokbepalingen zoals valsheid in geschrifte, bedrog en witwassen.
Gelet op wat er in het spraakgebruik en diverse wettelijke bepalingen
(impliciet) onder fraude wordt verstaan, wordt in deze wet uitgegaan van
een algemene benadering van het begrip fraude. Onder het begrip fraude
in de zorg wordt in deze wet verstaan het opzettelijk misleidend handelen
binnen het zorgdomein, met het oog op eigen of andermans gewin, voor
zover het in de wet strafbaar gestelde feiten betreft. Zo is het ook
opgenomen in de begripsomschrijving van artikel 1.1. Zoals hiervoor in
paragraaf 1.2 reeds aan de orde kwam, moet per geval worden beoordeeld wat op basis van geldende wet- en regelgeving mogelijk is om
fraude te voorkomen of anderszins te bestrijden. Daarbij moet gedacht
worden aan opsporing en vervolging, terugvorderingen en herziening van
beschikkingen. Handhavend optreden is per rechtsgebied gebonden aan
eigen normatieve kaders. Met deze wet is niet beoogd daartussen te
komen, verandering in aan te brengen of nieuwe kaders dan wel
grondslagen voor te vormen. De volgende voorbeelden geven een
illustratie van wat in de praktijk onder fraude in de zorg wordt verstaan.
Het gaat bijvoorbeeld om spookzorg, waarbij zorg wordt gedeclareerd
terwijl deze niet is geleverd, of pakketfraude, waarbij onverzekerde zorg
als verzekerde zorg wordt gedeclareerd. Met declaraties worden diverse
vormen van fraude geconstateerd, zoals het in aparte delen declareren
van een bundel zorgactiviteiten, het declareren van duurdere behandelingen dan die zijn geleverd en onterechte bijbetalingen voor zorg die bij
de geleverde prestatie hoort. Daarnaast wordt er gefraudeerd met
persoonsgebonden budget (pgb), waarbij het budget aan iets anders dan
zorg wordt besteed, de hoogte van de declaratie niet overeenkomt met de
ingekochte of geleverde zorg en het onnodig of te hoog indiceren van een
zorgbehoevende.
2.2 Noodzaak wetgeving
In de inleiding van de memorie van toelichting is reeds de problematiek
geschetst die aanleiding geeft tot deze wet. In deze paragraaf zal mede
aan de hand van enkele voorbeelden de noodzaak tot deze wet nader
worden toegelicht. Daarbij wordt ingegaan op enerzijds de persoonlijke,
financiële en maatschappelijke gevolgen die het zwaarwegende algemeen
belang bij bestrijding van fraude in de zorg vormen en anderzijds komen
de praktische elementen aan bod, zoals de knelpunten in het bestaande
instrumentarium die aan aanpak van fraude in de zorg in de weg staan.
Persoonlijke, financiële en maatschappelijke gevolgen: noodzaak tot
bestrijden fraude in de zorg
De persoonlijke, financiële en maatschappelijke gevolgen van fraude in de
zorg hangen nauw met elkaar samen.
Neem bijvoorbeeld een casus uit de Wet maatschappelijke ondersteuning
2015 (Wmo 2015). Een jonge vrouw die haar ouders is verloren en geen
sociaal vangnet heeft, ontvangt een pgb uit de Wmo 2015. Een zorgaanbieder biedt haar zogenaamd «bescherming». Ze krijgt een indicatie voor
beschermd wonen, maar alle zorg die geleverd wordt is beperkt tot een

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

7

uurtje per week koffie drinken met een begeleider. Haar volledige pgb van
€ 3.300,– per maand gaat naar haar zorgaanbieder, die dit doorsluist naar
het buitenland en er daar dure auto’s van aanschaft. De vrouw heeft
bovendien een kopie van haar zorgpas en haar DigiD inloggegevens aan
de zorgaanbieder verstrekt. En deze vrouw is niet het enige slachtoffer van
deze aanbieder. De aanbieder is in meerdere gemeenten actief en maakt
misbruik van meerdere kwetsbare zorgbehoevenden.
Het voorbeeld maakt duidelijk dat fraude in de zorg veelal direct (een
negatieve) invloed heeft op de persoonlijke situatie van zorgbehoevenden.
Zo krijgen zij niet de zorg die nodig is en waar zij recht op hebben. Ook
worden zorgbehoevenden in hun vertrouwen geschaad. Daarbij is het van
belang te benadrukken dat in veel gevallen een afhankelijkheidsrelatie
bestaat tussen zorgverlener en zorgbehoevende, zoals in het hiervoor
genoemde voorbeeld, waardoor de zorgbehoevende (nog) minder
weerbaar is tegen misbruik. In het geval van een persoonsgebonden
budget, is de zorgbehoevende tot slot ook nog eens financieel verantwoordelijk. De gevolgen van fraude voor een zorgbehoevende zijn groot.
Een medische situatie kan verslechteren of er kunnen zich financiële
problemen voordoen, met alle gevolgen van dien voor de zorgbehoevende en zijn of haar omgeving.
Maar niet alleen voor de zorgbehoevende zijn er nadelige (financiële)
gevolgen. Fraude in de zorg heeft bijvoorbeeld ook grote financiële
gevolgen. Uit cijfers van zorgverzekeraars blijkt dat in 2016 voor € 18,9
miljoen aan fraude in de zorg is vastgesteld. Dit is een stijging van € 7,8
miljoen ten opzichte van 2015.9 In 2017 is er een verdere stijging. In dat
jaar is er voor € 27 miljoen aan fraude vastgesteld door zorgverzekeraars.10 In 2018 is er ruim € 20 miljoen aan fraude vastgesteld.11
Het goed in beeld krijgen en hebben van de totale omvang van fraude in
de zorg wordt bemoeilijkt door een instrumentarium dat tekort schiet en
een gebrek aan informatie. Zoals hiervoor aan de orde kwam, komt er in
de politiek en in de keten echter steeds meer aandacht voor fraude in de
zorg. Door de intensivering en verbreding van de samenwerking in de
keten kan steeds meer fraude worden gesignaleerd en komt er beter zicht
op. Gelet op de ervaring die is opgedaan bij de nauwere samenwerking in
de keten en gelet op de ervaringscijfers van onder meer verzekeringsfraude, is de verwachting dat de fraude die nu in beeld is nog maar het
topje van de ijsberg is. Een voorzichtige schatting op basis van ervaringscijfers uit het veld is dat de schade van fraude in de zorg jaarlijks 1% tot
5% van de zorguitgaven, in 2019 ongeveer € 85 miljard, bedraagt. Dat zou
betekenen dat de schade in 2019 tussen de € 800 miljoen en € 4.3 miljard
zal bedragen. Dit ligt in de lijn van de cijfers van de Algemene Rekenkamer, die stelde in 2013 dat de totale zorgfraude een omvang heeft van
€ 2 tot € 3 miljard.12 PricewaterhouseCoopers schatte de totale zorgfraude in Nederland op een bedrag van € 2,8 miljard.13 Uit het Rapport
Signalen zorgfraude 2018 van het samenwerkingsverband IKZ blijkt dat in
2016 447 signalen over fraude in de zorg zijn binnengekomen bij het
samenwerkingsverband. In 2017 zijn mede door incidentele factoren ruim
50% meer signalen ontvangen, namelijk 675. In 2018 ontving het
samenwerkingsverband IKZ 558 signalen over fraude in de zorg. Dit
betreft enkel de signalen die aan het samenwerkingsverband zijn
verstrekt. De signalen van fraude in de zorg die door instanties zelf al
9

Persbericht Controle en Fraudebeheersing 2016 van Zorgverzekeraars Nederland 13-07-2017.
Persbericht Controle en Fraudebeheersing 2017 van Zorgverzekeraars Nederland 20-06-2018.
Rapportage resultaten fraudebeheersing 2018 van Zorgverzekeraars Nederland 08-07-2019.
12
Staat van de rijksverantwoording 2013, Algemene Rekenkamer p. 26.
13
PricewaterhouseCoopers: Naar een fraudebeeld Nederland, 19 december 2013.
10
11

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

8

kunnen worden afgehandeld en die niet aan het samenwerkingsverband
IKZ worden verstrekt, zijn hierbij niet meegenomen.
De vorenstaande persoonlijke en financiële gevolgen hebben gezamenlijk
en ook, in groter geheel bezien, maatschappelijke gevolgen. De gevolgen
van fraude in de zorg zijn nog lang niet volledig in beeld, maar vast staat
dat de persoonlijke gevolgen voor zorgbehoevenden ontoelaatbaar zijn en
dat elke euro die verloren gaat aan fraude in de zorg, er één te veel is. De
toegenomen aandacht voor het probleem en de intensievere samenwerking heeft ertoe geleid, dat de noodzaak tot aanpak van fraude in de
zorg en hetgeen nodig is voor een effectieve bestrijding ervan stap voor
stap beter in beeld zijn en dat de aanpak verbetert. Met onderhavige wet
wordt een grote volgende stap in die verbetering gezet.
Praktische elementen: knelpunten in instrumentarium
Het zorgdomein is groot, zowel wat betreft het aantal betrokken instanties
als de uiteenlopende domeinen (geografisch, soort zorg, etc.) en wet- en
regelgeving. De verschillende betrokken instanties hebben elk eigen
functies, taken, doelen en instrumenten. Zo beschikken de toezichthouders bijvoorbeeld over toezichtinformatie, de rijksbelastingdienst over
belastinggegevens, het CIZ over gegevens betreffende de indicatiestelling
en zorgverzekeraars over informatie over de zorginkoop en declaratiegegevens.
Daar staat tegenover dat partijen die actief zijn in de domeinen, zoals
zorgaanbieders, juist vaak domeinoverschrijdend actief zijn of relatief
eenvoudig van domein waarin zij actief zijn wisselen. Hoewel er goede
redenen zijn voor de taak- en bevoegdheidsverdeling van instanties en
deze verdeling in beginsel toereikend is voor hetgeen daarmee beoogd is,
kunnen instanties mede als gevolg van deze verdeeldheid niet het gehele
zorgdomein tot in alle details overzien. Instanties hebben uiteenlopende
perspectieven en die perspectieven zijn vaak gefragmenteerd. Ze
beschikken daardoor niet (tijdig) over de elders al wel beschikbare
informatie die noodzakelijk is om te beoordelen of sprake is van fraude.
Het gaat dan zowel om signalen van fraude, als over fraude waarvan
andere instanties, al dan niet in andere domeinen, de gerechtvaardigde
overtuiging hebben dat het heeft plaatsgevonden.
Partij A pleegt fraude in domein X. Nadat instantie B daar in dat domein
tegen is opgetreden, start partij A activiteiten in domein Y. De in dat
domein actieve instantie C kent partij A niet en weet niet dat A in domein
X fraude heeft gepleegd. Bij het aangaan van een contract tot het
aanbieden van zorg, wordt de informatie over de gepleegde fraude ten
onrechte en met alle (mogelijke) gevolgen van dien niet meegenomen.
Ten opzichte van fraude plegende partijen, die domein overschrijdend
actief zijn, hebben instanties derhalve steevast een (informatie)achterstand. Bij de uitvoering van hun taak in het kader van bestrijding van
fraude in de zorg is samenwerking en informatie-uitwisseling tussen de
verschillende instanties dan ook noodzakelijk, maar daarbij wordt een
aantal knelpunten ervaren.
Efficiënte en zorgvuldige samenwerking tussen instanties wordt in de
eerste plaats bemoeilijkt doordat de huidige sectorale wetgeving
onvoldoende wettelijke grondslagen biedt om persoonsgegevens uit te
wisselen. Die wettelijke grondslag is vereist op grond van de AVG, die het
kader voor verwerking van persoonsgegevens vormt en een zorgvuldige
omgang met persoonsgegevens moet borgen. (Sectorale) wetgeving
bevat doorgaans echter enkel grondslagen voor verwerking van persoons-

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

9

gegevens door de instantie die in die specifieke wet is aangewezen. Deze
wetten bieden derhalve geen toereikende grondslagen voor het verstrekken van persoonsgegevens aan andere instanties. Ook bieden die wetten
geen grondslagen om de aan hen verstrekte persoonsgegevens verder te
verwerken. De lacunes in wetgeving staan aan onderlinge verstrekking
van deze gegevens in de weg of leiden tot onduidelijkheid over het
antwoord op de vraag op welke grondslag, welke gegevens door wie en
aan wie kunnen worden verstrekt. Ook zijn er gevallen waarin onduidelijkheid bestaat over de vraag welke instantie welke rol en verantwoordelijkheid heeft. Het vorenstaande leidt ertoe dat instanties moeite hebben
effectief samen te werken, terwijl slagvaardigheid en snelheid in het
bijzonder van belang zijn bij de bestrijding van fraude. De uitwisseling van
gegevens die noodzakelijk is om fraude in de zorg te bestrijden, blijft
achter waar het persoonsgegevens betreft. Voor zover wel persoonsgegevens worden verstrekt aan andere instanties, heeft het verstrekken van
die gegevens vaak een gebrekkige grondslag. Daarna blijft dat gebrek
bestaan bij de verdere verwerking van de gegevens en derhalve kleeft het
ook aan de resultaten van die verdere verwerking. De (informatie)achterstand op frauderende partijen blijft zo in stand.
Het vorenstaande geldt eveneens voor de situatie waarin meerdere
instanties in een georganiseerde vorm met elkaar samenwerken en
persoonsgegevens centraal verwerken, zoals in het samenwerkingsverband IKZ voorafgaand aan de inwerkingtreding van deze wet.
In het samenwerkingsverband worden persoonsgegevens uitgewisseld op
grond van bestaande bilaterale en multilaterale wettelijke grondslagen.
Dit maakt de verwerking van persoonsgegevens binnen de samenwerking
complex vanwege de uiteenlopende bevoegdheden van betrokkenen tot
toegang tot de persoonsgegevens. Per signaal dat in het samenwerkingsverband is verrijkt, dient daarnaast aan de hand van een in het Convenant
IKZ opgenomen informatiematrix te worden bekeken of er een wettelijke
grondslag is voor gegevensuitwisseling tussen de instantie waarvan de
persoonsgegevens afkomstig zijn en de instantie die het meest geëigend
is om het verrijkte signaal te ontvangen via het samenwerkingsverband.
Als een signaal bijvoorbeeld is verrijkt met gegevens van de Inspectie
SZW, dient het samenwerkingsverband IKZ te kijken of er in andere
wetgeving een grondslag is om het verrijkte signaal te delen met
bijvoorbeeld de NZa. Ook in het geval van een (groter) samenwerkingsverband, zijn er steeds de vragen over welke gegevens wel of niet mogen
worden gedeeld, op grond waarvan en door wie aan wie. Ook in deze
gevallen kan er een gebrekkige grondslag zijn, die blijft kleven aan de
resultaten van de verwerking.
Vastgesteld moet worden dat dezelfde knelpunten worden ervaren in
bilaterale samenwerking als in multilaterale samenwerking. Als instanties
multilateraal samenwerken teneinde fraude in de zorg te bestrijden en
verstrekking en verwerking van persoonsgegevens nodig is, moet per
instantie en per verwerking worden beoordeeld of er een grondslag is tot
verwerking. Dit kost niet alleen veel werk en tijd, maar hierdoor kunnen
verrijkte signalen ook niet of niet volledig met bepaalde instanties gedeeld
worden en kan fraude onnodig lang(er) doorgaan. Ook maakt het de
uitwisseling van persoonsgegevens foutgevoelig en risicovol. Daarnaast
is voor verwerking van persoonsgegevens door een samenwerkingsverband, zoals het IKZ, een verwerkersovereenkomst met elke betrokken
instantie nodig. Het samenwerkingsverband IKZ heeft in relatie tot de
betrokken instanties immers steeds de rol van verwerker. Dat betekent dat
het persoonsgegevens verwerkt voor verwerkingsverantwoordelijken. Dit
is eens te meer een complicerende factor, omdat er documenten moeten
worden opgesteld, afspraken moeten worden gemaakt en onduidelijkheid

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

10

kan bestaan over bevoegdheden, rollen en verantwoordelijkheden. De
vraag die daarbij speelt is in hoeverre de rol van een verwerker nog
passend is voor dergelijke verwerkingen.
In de huidige situatie is er tot slot ook onduidelijkheid over de vraag welke
instantie in een bepaald geval gegevens, niet zijnde persoonsgegevens,
kan of moet verstrekken aan een andere instantie, dan wel is niet geregeld
dat of tot welke gegevensuitwisseling instanties gehouden zijn. Als gevolg
daarvan houden instanties gegevens onnodig (te lang) voor zichzelf.
2.3 Wetgever aan zet
De wetgever is aan zet de in de vorige paragraaf genoemde knelpunten
weg te nemen. Zonder ingrijpen door middel van wetgeving loopt de
samenwerking tussen instanties op voornoemde aspecten vast, hetgeen
negatieve gevolgen heeft voor de aanpak van fraude in de zorg. Met deze
wet worden binnen de grenzen van de AVG en met zorg en oog voor de
privacy van betrokkenen, de mogelijkheden tot samenwerking, het
uitwisselen van de noodzakelijke gegevens en de verwerking van
persoonsgegevens ten behoeve van bestrijding van fraude in de zorg
vereenvoudigd, verbeterd en uitgebreid.
De wet voorziet in een daarop gerichte wettelijke grondslag voor het
verplicht aan elkaar verstrekken van de bij algemene maatregel van
bestuur (amvb) aangewezen (persoons)gegevens, in het geval een
gemeente of ziektekostenverzekeraar conform een protocol de gerechtvaardigde overtuiging heeft dat sprake is van fraude in de zorg en de
voornoemde gegevens noodzakelijk zijn voor de bestrijding van die
fraude. De betreffende instantie die de overtuiging heeft, registreert de
fraude. Er wordt, zoals in hoofdstuk 1 al is aangegeven, gedacht aan een
centrale registratie die door partijen kan worden geraadpleegd. De
grondslag voor verwerking van (persoons)gegevens biedt hiertoe de
ruimte en is techniekonafhankelijk beschreven, maar stelt conform de
AVG wel vereisten aan deze verwerking van gegevens. Het beoogde
registratiesysteem wordt door partijen geduid als het Waarschuwingsregister zorgfraude.
In het geval er signalen van fraude in de zorg zijn, is een rol weggelegd
voor het IKZ. Betrokken instanties zijn verplicht tot het verstrekken van de
bij amvb aangewezen (persoons)gegevens aan het IKZ, indien die
gegevens noodzakelijk zijn voor bestrijding van fraude in de zorg in het
kader van de aan die instanties opgedragen wettelijke taken. Daarbij geldt
ten aanzien van de verstrekking van politiegegevens, door de FIOD en
Inspectie SZW, een afwijkend regime en die verstrekking geschiedt op
grond van en met inachtneming van de Wet politiegegevens (Wpg).14 Het
IKZ moet vervolgens op grond van de wet de signalen verrijken en het
resultaat daarvan indien en voor zover noodzakelijk aan de daartoe
geëigende instantie(s) verstrekken. Ook zal het IKZ ten behoeve van Onze
Minister en betrokken instanties gegevens, waaronder persoonsgegevens,
verwerken teneinde trends en ontwikkelingen met betrekking tot fraude in
de zorg te signaleren en daarover beleidsinformatie en statistische
informatie te ontwikkelen.

14

Persoonsgegevens die worden verwerkt als onderdeel van opsporing, zijn politiegegevens
en vallen onder de Wpg en niet onder de AVG. Deze persoonsgegevens zijn politiegegevens
zijn zolang ze door FIOD en Inspectie SZW worden verwerkt en na verstrekking aan het IKZ zijn
het persoonsgegevens als bedoeld in de AVG. Welke gegevens het betreft komt nader aan de
orde in paragraaf 4.7 van deze memorie van toelichting.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

11

Het in een centraal registratiesysteem zoals het Waarschuwingsregister
onderling uitwisselen van (persoons)gegevens enerzijds en de uitwisseling van (persoons)gegevens met tussenkomst van het IKZ anderzijds,
zijn twee verschillende en apart van elkaar functionerende instrumenten.
Er is geen directe relatie tussen (het gebruik van) de twee instrumenten.
Zij hebben elk eigen kenmerken en functies, dienen elk een eigen doel en
worden elk op een ander moment in de bestrijding van fraude in de zorg
ingezet. De mogelijkheden tot het gebruik van de instrumenten en de
daarin opgenomen gegevens zijn, mede gelet op de te onderscheiden
doelen, afzonderlijk van elkaar geregeld en voorzien van eigen
voorwaarden en waarborgen.
Mede gelet daarop is er een verschil in instanties die al dan niet van de
instrumenten gebruik kunnen maken. Bij de gegevensuitwisseling met het
IKZ zijn meer instanties betrokken (artikel 2.3, eerste lid) dan bij de
uitwisseling van gegevens in het Waarschuwingsregister, dat enkel door
gemeenten en ziektekostenverzekeraars wordt gebruikt (artikel 2.1, eerste
lid). Andere bij het IKZ betrokken instanties dan gemeenten en ziektekostenverzekeraars, kunnen geen gebruik maken van het Waarschuwingsregister en de daarin opgenomen gegevens.
De in het Waarschuwingsregister opgenomen gegevens zijn, indien
noodzakelijk voor de bestrijding van fraude in de zorg, te raadplegen door
gemeenten en ziektekostenverzekeraars. Zij kunnen de gegevens
bijvoorbeeld raadplegen voorafgaand aan het sluiten van een overeenkomst met een zorgaanbieder. De inhoud van het register maakt inzichtelijk of ten aanzien van die partij de gerechtvaardigde overtuiging bestaat
dat deze fraude in de zorg pleegt en zo wordt de raadplegende instantie
dan voor deze partij gewaarschuwd. In het geval van gegevensuitwisseling met het IKZ, is nog slechts sprake van een aanleiding tot
vermoeden van fraude in de zorg en zijn de gegevens die het IKZ verwerkt
niet te raadplegen door de betrokken instanties. Het IKZ ontvangt de
signalen van fraude van de betrokken instanties. Het IKZ verrijkt deze
gegevens en verstrekt het resultaat daarvan, indien noodzakelijk,
vervolgens enkel aan de geëigende instantie die daar vervolg aan kan
geven door middel van nader onderzoek of handhavend optreden tegen
de fraude.
Hoewel geen directe relatie bestaat tussen de twee instrumenten, kan het
gebruik van het ene instrument indirect een gevolg hebben voor het
gebruik van het andere instrument. Zo kan het voorkomen dat een
gemeente of ziektekostenverzekeraar (mede) op basis van een door het
IKZ verrijkt signaal tot de gerechtvaardigde overtuiging komt dat sprake is
van fraude in de zorg. Indien noodzakelijk, moet die gemeente of
ziektekostenverzekeraar de (persoons)gegevens betreffende die frauderende partij dan door middel van het Waarschuwingsregister aan andere
gemeenten en ziektekostenverzekeraars verstrekken. Dit indirecte gevolg
kan zich nooit voordoen bij een van de andere bij het IKZ betrokken
instanties, omdat die geen gebruik maken van het Waarschuwingsregister.
Beoogd is dat informatie uit het Waarschuwingsregister geen onderdeel
uitmaakt van de gegevensuitwisseling met het IKZ. Dat is gewaarborgd
door de geheimhoudingsplicht, de bij amvb voor elk instrument limitatief
aangewezen gegevens die verstrekt moeten worden en de nadere regels
die bij of krachtens amvb worden gesteld aan de inrichting van en
processen voor het gebruik van beide instrumenten. Dat betekent dat een
gemeente of ziektekostenverzekeraar geen gegevens uit het register als
signaal verstrekt aan het IKZ of aan het IKZ verstrekt in het kader van
verrijking. Bij amvb wordt namelijk aangewezen welke gegevens kunnen
worden verstrekt en het gegeven dat een partij in het Waarschuwingsre-

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

12

gister staat, maakt daarvan geen onderdeel en betreft dan ook geen
gegeven dat aan het IKZ wordt verstrekt.
Het IB tot slot wordt verwerkingsverantwoordelijke en krijgt een rol in de
gegevensuitwisseling tussen gemeenten en het IKZ.
Onder meer de achtergrond, toegevoegde waarde en werking van de drie
hiervoor genoemde onderdelen van de wet, zijn nader toegelicht in
respectievelijk hoofdstuk 3 en 4. Ook komen de waarborgen en rechtsbescherming in die hoofdstukken aan de orde, waarna in hoofdstuk 5 de
waarborgen bij gegevensverwerking nog nader worden toegelicht.
3. Gegevensverstrekking bij gerechtvaardigde overtuiging van
fraude in de zorg
3.1 Inleiding
Gemeenten en ziektekostenverzekeraars zijn verantwoordelijk voor de
uitvoering van respectievelijk de Zorgverzekeringswet (Zvw), de Wet
langdurige zorg (Wlz), Wmo 2015 en de Jeugdwet (Jw). Zo kopen zij zorg
in en zien zij toe op de naleving van hetgeen in de genoemde wetten is
bepaald. In de huidige situatie hebben deze instanties geen grondslag en
effectief middel om (persoons)gegevens, betreffende natuurlijke personen
of rechtspersonen waarvan de gerechtvaardigde overtuiging bestaat dat
zij frauderen, met elkaar te delen. Als gevolg daarvan komt het voor dat
hoewel binnen een bepaald domein en bij de daarin actieve instantie(s)
bekend is dat een zorgaanbieder, verzekerde of cliënt fraudeert, dit
onbekend is in een ander domein en/of bij de daarin actieve instantie(s).
Dit maakt het voor frauderende partijen eenvoudiger fraude te plegen in
meerdere domeinen tegelijk of in een voor hen nieuw domein, nadat zij
eerder in een ander domein hebben gefraudeerd, met alle persoonlijke,
financiële en maatschappelijke gevolgen van dien.
De knelpunten die betrokken instanties bij hun rol in de inkoop van zorg
en taken in de uitvoering van diverse wetten in de zorg ondervinden, zien
op de uitwisseling van de voor de uitvoering van die taken noodzakelijke
(persoons)gegevens betreffende natuurlijke personen of rechtspersonen
ten aanzien waarvan de gerechtvaardigde overtuiging bestaat dat zij
frauderen in de zorg. Zoals uit de hiervoor genoemde gevolgen van deze
knelpunten eens te meer blijkt, is samenwerking en uitwisseling van
gegevens noodzakelijk voor de uitvoering van genoemde taken van
instanties en, in het verlengde daarvan, voor het zwaarwegend algemeen
belang van bestrijding van fraude in de zorg. De betrokken instanties,
opgenomen in artikel 2.1 van deze wet, hebben kenbaar gemaakt een
centraal systeem te willen ontwikkelen om deze (persoons)gegevens in uit
te kunnen wisselen.15 Door deze instanties wordt dit systeem aangeduid
als het Waarschuwingsregister zorgfraude. Met deze wet wordt uitwisseling van voornoemde (persoons)gegevens in een dergelijk systeem
mogelijk gemaakt.
Op basis van deze wet zijn de hiervoor genoemde instanties gehouden
gegevens van natuurlijke personen of rechtspersonen, van wie zij conform
een protocol de gerechtvaardigde overtuiging hebben dat zij fraude in de
zorg hebben gepleegd, aan elkaar te verstrekken indien dat noodzakelijk is
voor de bestrijding van voornoemde fraude. Met de wet is tevens de
grondslag gecreëerd hierbij persoonsgegevens betreffende deze partijen
uit te wisselen. Het is aan instanties binnen de kaders van wet- en
regelgeving invulling te geven aan het systeem dat voor het onderling
15

Kamerstukken II 2015/16, 28 828, nr. 225.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

13

verstrekken van de (persoons)gegevens zal worden gebruikt. Door
voornoemde (persoons)gegevens aan elkaar te verstrekken, waarschuwen
instanties elkaar voor de betreffende partijen en gewaarschuwde
instanties kunnen dan maatregelen treffen bij het aangaan van een
nieuwe relatie dan wel het voortzetten van een relatie met de betreffende
partij. Daarnaast kan er ook een preventieve werking van uitgaan. Zo kan
met dit instrument fraude in de zorg beter worden bestreden en worden
de negatieve persoonlijke, financiële en maatschappelijke gevolgen ervan
beperkt. Gelet op de mogelijke gevolgen van een «waarschuwing» voor
een betrokken partij, is wat betreft waarborgen en maatregelen ten
behoeve van een zorgvuldige verwerking van gegevens eenzelfde
uitgangspunt genomen ten aanzien van zowel persoonsgegevens als
niet-persoonsgegevens.
Vanaf het moment dat sprake is van een gerechtvaardigde overtuiging
van fraude, moeten de persoonsgegevens die in dit kader worden
verwerkt gelet op hun aard worden geschaard onder persoonsgegevens
van strafrechtelijke aard, zoals bedoel in artikel 10 AVG. In paragraaf 3.3
wordt de aard van deze gegevens geduid en in 3.5 wordt toegelicht dat
wordt voldaan aan de voorwaarden waaronder deze persoonsgegevens
mogen worden verwerkt.
Het voornemen tot het ontwikkelen en het mogelijk maken van een
Waarschuwingsregister, komt tegemoet aan de wens van de Tweede
Kamer om extra maatregelen te treffen tegen fraude in de zorg. In juli
2015 verzocht de Tweede Kamer de toenmalige Staatssecretaris van
Volksgezondheid, Welzijn en Sport via de motie Potters (VVD) en (Otwin)
Van Dijk (PvdA) om samen met de sector een zwarte lijst van frauderende
(persoonsgebonden budget-) zorgaanbieders en bemiddelingsbureaus te
ontwikkelen, om daarmee beter zicht te krijgen op malafide organisaties
die actief zijn in de zorg.16 Met het mogelijk maken en de ontwikkeling van
het Waarschuwingsregister wordt invulling gegeven aan deze motie.
3.2 Werking
Het in dit kader verstreken van (persoons)gegevens door een in art. 2.1,
eerste lid, van deze wet opgenomen instantie, moet worden gezien als
een waarschuwing aan andere in dat artikellid opgenomen instantie(s).
Als ten aanzien van een natuurlijk persoon of rechtspersoon conform een
protocol de gerechtvaardigde overtuiging bestaat dat zij fraude in de zorg
heeft gepleegd, dan zorgt de instantie met die overtuiging ervoor dat de
andere instanties daar kennis van (kunnen) nemen.
In een centraal systeem, zoals het Waarschuwingsregister, werkt dat als
volgt. Indien een (rechts)persoon in het register staat, krijgt de raadplegende instanties na een gerichte raadpleging alleen te zien dát ten aanzien
van die (rechts)persoon een gerechtvaardigde overtuiging van fraude in
de zorg bestaat. Voor de raadplegende instanties is er dan een indicatie
dat zij alert moeten zijn als zij zakendoen met die partij. Als zij zelf ook een
relatie met de betreffende (rechts)persoon hebben, kan het aanleiding zijn
om overeenkomstig bestaande bevoegdheden te onderzoeken of ook in
deze relatie sprake is van fraude. Instanties die nog geen relatie met de
betreffende (rechts)persoon hebben, maar wel overwegen om die aan te
gaan, kunnen naar aanleiding van de waarschuwing een (betere)
risicobeoordeling maken, bepalen hoe zij met de risico’s omgaan en welke
maatregelen zij treffen. Instanties dienen altijd zelf (nader) onderzoek naar
een geregistreerde partij te doen en zorgvuldig bepalen welke beheersmaatregelen worden getroffen. Gedacht kan worden aan het doen van
vervolgonderzoek naar fraude en op basis van dat onderzoek besluiten tot
16

Kamerstukken II 2014/15, 25 657, nr. 195.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

14

het doen van extra controles, het stellen van scherpere voorwaarden of
eventueel het niet aangaan dan wel beëindigen van een overeenkomst
betreffende zorgverlening.
Bij amvb wordt bepaald welke (persoons)gegevens van de partij, ten
aanzien van wie er een gerechtvaardigde overtuiging van fraude bestaat,
worden verwerkt bij verstrekking aan andere instanties. Ook wordt
bepaald welke gegevens van de verstrekkende instantie daarbij moeten
zijn opgenomen. Conform artikel 5, eerste lid, onderdeel c, van de AVG
betreft het de minimale set aan gegevens die noodzakelijk is teneinde de
andere betrokken instanties te waarschuwen voor mogelijke fraudeurs en
op die manier fraude in de zorg te bestrijden. Daarmee is een onderdeel
van het kader gevormd voor de in een centraal systeem, zoals het
Waarschuwingsregister, op te nemen (persoons)gegevens. Een dergelijk
register zal geen informatie bevatten over de aard en omvang van de
fraude of de geconstateerde feiten en de omstandigheden waaronder de
fraude zich heeft voorgedaan. Die gegevens zijn niet noodzakelijk voor het
met het systeem beoogde doel. Gegevens die wel geregistreerd worden
betreffen de (rechts)persoon. Als meerdere instanties over dezelfde
natuurlijke persoon of rechtspersoon een gerechtvaardigde overtuiging
hebben dat sprake is van fraude in de zorg, dan kunnen zij afzonderlijk van
elkaar (persoons)gegevens over dezelfde (rechts)persoon aan elkaar
verstrekken. Het kan daardoor voorkomen dat van een en dezelfde
(rechts)persoon meerdere verstrekkingen plaatsvinden. Zo kunnen
bijvoorbeeld meerdere registraties betreffende deze (rechts)persoon in het
Waarschuwingsregister staan.
Wat betreft bijzondere persoonsgegevens, zoals gegevens over
gezondheid als bedoeld in artikel 9, eerste lid, AVG, geldt dat geen
medisch inhoudelijke gegevens aan elkaar worden verstrekt. In het naar
verwachting uitzonderlijke geval van verstrekking van gegevens van een
zorgbehoevende is het wel mogelijk dat, min of meer indirect, gegevens
over gezondheid worden verstrekt. Dat kan bijvoorbeeld in het geval van
verstrekking door het zorgkantoor, waaruit blijkt dat de betrokkene
Wlz-zorg ontvangt. De gegevens over gezondheid die in dit kader mogelijk
verwerkt worden, betreffen dan ook slechts de gegevens die duidelijk
maken in welk domein de zorg aan desbetreffend zorgbehoevende wordt
geleverd.
Persoonsgegevens die in het kader van dit onderdeel van de wet worden
verwerkt, moeten vanaf het moment dat sprake is van een gerechtvaardigde overtuiging van fraude als persoonsgegevens van strafrechtelijke
aard (artikel 10 AVG) worden aangemerkt. Gelet op de in artikel 2.1
opgenomen betrokken instanties, zullen geen (persoons)gegevens als
bedoeld in de Wpg worden verwerkt. Wat betreft beide categorieën
persoonsgegevens geldt dat de verstrekking ervan in elk geval moet
passen binnen de in de amvb opgenomen gegevenssets.
In paragraaf 3.5 wordt ingegaan op voorwaarden waaronder gegevens
van strafrechtelijke aard mogen worden verwerkt en op het verbod op het
verwerken van gegevens over gezondheid en de uitzondering daarop in
het geval van een zwaarwegend algemeen belang.
3.3 Voorwaarde voor verstrekking
Ten behoeve van het formuleren van voorwaarden voor verstrekking van
(persoons)gegevens in het kader van dit onderdeel van de wet, heeft een
zorgvuldige afweging van (zwaarwegende) belangen plaatsgevonden.
Gelet op het doel en de werking van het verstrekken van (persoons)gegevens in dit kader en gelet op de (mogelijke) gevolgen ervan voor

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

15

betrokkenen, allereerst persoonlijk maar ook zakelijk, moeten hoge eisen
worden gesteld aan de grond(en) voor het verstrekken van de betreffende
gegevens aan andere betrokken instanties. Enerzijds is een signaal van
fraude of zelfs een vermoeden van fraude niet voldoende om de
gegevensuitwisseling in dit kader te rechtvaardigen. Anderzijds is het ook
niet mogelijk bijvoorbeeld strafrechtelijke veroordeling als voorwaarde te
gebruiken, gelet op de tijd die het kost voordat die fase in een dossier
wordt bereikt. Dan zou het instrument niet doeltreffend zijn.
Bij het formuleren van de voorwaarde is onder andere gekeken naar
vergelijkbare systemen en de jurisprudentie daarover. Er is inspiratie
gevonden in de werkwijze van het Externe Verwijzingsregister (EVR) en de
in dat kader gevormde de jurisprudentie en de daarin geaccepteerde
voorwaarde voor registratie in dat register. 17
Het EVR is een waarschuwingssysteem waarmee financiële instellingen
(banken, hypotheekverstrekkers en verzekeraars) elkaar waarschuwen
voor bij hen bekende mogelijke fraudeurs. In de jurisprudentie daarover is
registratie in dat register geaccepteerd, indien er voldoende bewijs van
betrokkenheid bij fraude voorhanden is en sprake is van een vastgestelde
gedraging die een zwaardere verdenking dan een redelijk vermoeden
oplevert. De term die daarvoor wordt gebruikt in jurisprudentie is
«gerechtvaardigde overtuiging». Om tot registratie te komen, wordt een
protocol (Protocol Incidenten Waarschuwingssysteem Financiële
Instellingen) gevolgd. Gelet daarop is in deze wet de voorwaarde
geformuleerd dat verstrekking van (persoons)gegevens van vermoedelijke
fraudeurs aan de andere betrokken instanties moet worden verstrekt,
indien er conform een door hen op te stellen protocol de gerechtvaardigde overtuiging van fraude in de zorg bestaat ten aanzien van een partij.
Zoals in paragraaf 3.5 nader is toegelicht, betekent dat overigens niet dat
alle betrokken instanties alle (persoons)gegevens van alle vermoedelijke
fraudeurs (kunnen) zien.
De gerechtvaardigde overtuiging en het bewijs dat daaraan ten grondslag
ligt, moeten er zijn op het moment van verstrekking aan andere instanties.
Dat is bijvoorbeeld op het moment van registratie in een centraal
registratiesysteem zoals het Waarschuwingsregister. Teneinde rechtsgelijkheid, rechtszekerheid en een zorgvuldige verwerking van gegevens
voor betrokken partijen te waarborgen, is het van belang dat betrokken
instanties heldere, objectieve en uniforme criteria hanteren bij de
beoordeling of sprake is van een gerechtvaardigde overtuiging en een
noodzaak tot verstrekking van de gegevens. Gelet daarop moet door
betrokken instanties een protocol worden opgesteld, dat gevolgd moet
worden bij voornoemde beoordeling. De waarborgen die het protocol
moet bevatten, worden nader bepaald bij of krachtens amvb. Gedacht kan
worden aan de voorwaarden om tot gerechtvaardigde overtuiging te
komen en om de noodzaak tot verstrekking van de gegevens te beoordelen, bepalingen over de beveiliging van de gegevens, de toegang tot de
gegevens en de wijze van vastleggen en verwijderen van de (persoons)gegevens. Ten aanzien van dat laatstgenoemde aspect gaat het dan om de
situatie dat niet of niet langer aan de voorwaarde voor het verstrekken van
(persoons)gegevens is of wordt voldaan en de termijn van verstrekken of
de bewaartermijn.
Het door de betrokken instanties op te stellen protocol wordt door hen ter
goedkeuring voorgelegd aan Onze Minister. Voorafgaand daaraan dient de
Autoriteit persoonsgegevens (AP) over het protocol te zijn gehoord.
17

HR 29 mei 2009, ECLI:NL:HR:2009:BH4720; Hof Arnhem-Leeuwarden 27 mei 2014, ECLI:NL:GHARL:2014:4259; Rb. Noord-Holland 4 april 2018, ECLI:NL:RBNHO:2018:3925.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

16

Samen met de randvoorwaarden die in deze wet en onderliggende
regelgeving worden gesteld, is beoogd dat voldoende wordt geborgd dat
de in het protocol voorgestelde werkwijze en verwerking van gegevens
overeenstemt met eisen gesteld in de AVG.
Het EVR is overigens voorbehouden aan financiële instellingen en dus niet
beschikbaar of raadpleegbaar voor gemeenten en Wlz-uitvoerders. Gelet
op onder meer het verschil in sector en betrokken instanties, zal met het
voorgenomen Waarschuwingsregister zorgfraude vooralsnog niet worden
aangesloten bij het EVR.
Zoals eerder aan de orde kwam, is handhavend optreden per rechtsgebied
gebonden aan eigen normatieve kaders. Met deze wet is niet beoogd
daartussen te komen, verandering in aan te brengen of nieuwe kaders dan
wel grondslagen voor te vormen. Ook over het al dan niet (moeten) doen
van aangifte wordt in deze wet niets geregeld. Het kader daarvoor wordt
gevormd door het Wetboek van Strafvordering, onder andere de artikelen
161 en 162. Het is ook niet beoogd met deze wet invloed uit te oefenen op
bijvoorbeeld de uitvoeringspraktijk en daarvoor geformuleerd beleid.
3.4. Rechtsbescherming en informatieplicht
Zoals hiervoor aan de orde kwam, vormt de AVG het kader voor de
verwerking van persoonsgegevens die onderdeel uitmaken van de
gegevens die in dit kader worden verwerkt. In die verordening zijn onder
andere de verplichtingen van de verwerkende instantie (zoals de
informatieplicht in artikel 14) en de rechten van betrokkenen (zoals recht
op inzage (artikel 15), correctie (artikel 16) en verwijdering (artikel 17) van
gegevens) geregeld. In Hoofdstuk 8 van de AVG zijn bepalingen over
beroep, aansprakelijkheid en sancties opgenomen. Er is de mogelijkheid
een klacht in te dienen bij de toezichthoudende instantie, de AP, en daarop
wordt in beginsel een appellabel besluit genomen. Overigens geldt dat de
betrokken instanties zelf eveneens verantwoordelijk zijn voor intern
toezicht op de juistheid van de gegevens(verwerking). Hierin wordt
voorzien in de regels die bij of krachtens amvb worden gesteld. Ook heeft
een betrokkene het recht een doeltreffende voorziening in rechte in te
stellen tegen een verwerkingsverantwoordelijke, een verwerker of de
toezichthoudende instantie (artikelen 77 tot en met 79). Het recht op
schadevergoeding en aansprakelijkheid bij inbreuk op de AVG is geregeld
in artikel 82. Nationaalrechtelijk zijn de rechtsbeschermingsbepalingen uit
de AVG nader uitgewerkt en ingevuld in paragraaf 3.3 van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). Zo is in
artikelen 34 en 35 van de UAVG de toepasselijkheid van de Algemene wet
bestuursrecht (Awb) en het burgerlijk recht geregeld ten aanzien van de
uitoefening de rechten in artikel 15 tot en met 22 AVG. Rechtsbescherming
in het geval van verwerking van persoonsgegevens is langs deze lijn
derhalve geborgd.
Een verstrekking van (persoons)gegevens die betrekking hebben op
fraude in de zorg, zoals registratie in het Waarschuwingsregister, moet
worden beschouwd als een (feitelijke) handeling. Omdat deze handeling
niet is gericht op rechtsgevolgen die ontstaan in de verhouding tot een of
meer anderen, er ontstaan bijvoorbeeld geen rechten of plichten voor
betrokkenen, is geen sprake van een besluit als bedoeld in de Awb. Het
bestuursrecht biedt dan ook geen mogelijkheid hiertegen op te komen in
bijvoorbeeld een bezwaar- en beroepsprocedure. Volledigheidshalve en
meer ten overvloede wordt opgemerkt dat indien (mede) op basis van een
gegevensverstrekking in dit kader een besluit wordt genomen, tegen dat
besluit binnen de bestuursrechtelijke kaders rechtsmiddelen open staan.
Tot slot biedt het civielrecht ook mogelijkheden om tegen (onrechtmatige)

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

17

verwerking van (persoons)gegevens of de gevolgen van die verwerking
(de waarschuwing) op te komen. Te denken valt aan een vordering op
grond van onrechtmatige daad als bedoeld in artikel 6:162 van het
Burgerlijk Wetboek (BW). In de bij of krachtens amvb te stellen regels ten
aanzien van aan het door instanties op te stellen protocol, wordt voorzien
dat deze elementen aan de orde komen. Voor betrokkenen moet duidelijk
zijn wat er verwacht kan worden en wat ze daar dan tegen kunnen doen.
Gedacht kan worden aan het voorschrift dat instanties inzichtelijk maken
wanneer welke (rechts)handeling wordt verricht en welke (juridische)
procedures mogelijk zijn om daartegen op te komen.
De instantie die gegevens in een centraal registratiesysteem aan andere
instanties verstrekt, zoals een registratie in het Waarschuwingsregister, is
verantwoordelijk voor die verwerking van gegevens. Als het persoonsgegevens betreft, is de verwerkende instanties de verwerkingsverantwoordelijke als bedoeld in artikel 26 van de AVG en informeert die instantie
conform artikel 14 AVG de betreffende natuurlijke persoon of rechtspersoon, als sprake is van verwerking van persoonsgegevens, over de
verwerking. Van het informeren kan worden afgezien indien sprake is van
een situatie als bedoeld in artikel 14, vijfde lid, AVG. Het gaat dan onder
andere om de situatie dat bedoelde verplichting de verwezenlijking van de
doeleinden van die verwerking, te weten bestrijding van fraude in de zorg,
onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen.
Hier ligt redelijkerwijs een afweging en dus verantwoordelijkheid bij de
verwerkingsverantwoordelijke. Voor het geval dat van voornoemde
uitzondering op de informatieplicht gebruik wordt gemaakt, moet door de
betrokken instantie zijn voorzien in passende maatregelen om de rechten,
de vrijheden en de gerechtvaardigde belangen van de betrokkene te
beschermen. Dit geldt temeer omdat ook sprake is van de verwerking van
persoonsgegevens van strafrechtelijke aard. Bij amvb worden hier nadere
regels voor gesteld. Met het geheel van maatregelen en waarborgen,
waarmee de inbreuk op privacy en de mogelijke gevolgen daarvan voor
betrokken steeds tot een minimum wordt beperkt, is voorzien in passende
maatregelen. Het gaat dan onder andere om de in het algemeen geldende
strikte voorwaarden voor de gegevensverwerking, procedurele voorschriften en vereisten (zie ook paragraaf 3.3 en 3.5). Specifiek wat betreft
het afzien van de informatieplicht, ligt het in de rede in het protocol
richtlijnen op te nemen ten aanzien van in welke gevallen van het afzien
van informeren gebruik wordt gemaakt en het treffen van maatregelen ten
behoeve van het zo spoedig mogelijk alsnog informeren van betrokkene(n).
Een raadplegende instantie is verantwoordelijk voor die verwerking (de
«raadpleging»). Voor de verwerking van persoonsgegevens in een
centraal registratiesysteem waarvoor instanties gezamenlijk de verantwoordelijkheid dragen, is sprake van gezamenlijke verwerkingsverantwoordelijkheid als bedoeld in artikel 26 AVG.
3.5 Waarborgen bij de gegevensuitwisseling
Het verwerken van gegevens over gezondheid is ingevolge artikel 9,
eerste lid, van de AVG, verboden, tenzij er een uitzondering is als bedoeld
in het tweede lid van dat artikel. Op grond van dat tweede lid, kan het
verwerken van voornoemde bijzondere categorie van persoonsgegevens
worden toegestaan bij nationale wet of Unierecht, mits dit noodzakelijk is
om redenen van zwaarwegend algemeen belang. Dat daar sprake van is,
is onder meer onderbouwd in paragraaf 2.2 en 3.2 en hoofdstuk 5 van
deze memorie van toelichting. Door persoonsgegevens, waaronder de in
paragraaf 3.2 genoemde gegevens over gezondheid, aan elkaar te
verstrekken, kunnen instanties maatregelen treffen bij het aangaan dan

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

18

wel het voortzetten van een relatie met de partij waarvoor zij zijn
gewaarschuwd. Zo kan fraude in de zorg beter worden bestreden en
worden de negatieve persoonlijke, financiële en maatschappelijke
gevolgen ervan beperkt. Persoonsgegevens van strafrechtelijke aard
mogen, voor zover hier van belang, alleen worden verwerkt indien de
verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke
bepalingen, aldus artikel 10 van de AVG. Ook aan die voorwaarde is met
deze wet voldaan. Met betrekking tot de verwerking van beide categorieën
gegevens geldt daarbij ingevolge voornoemde artikelen ook dat specifieke
en passende maatregelen dan wel passende waarborgen moeten worden
geboden ter bescherming van de rechten en vrijheden van betrokkenen.
Hierna is toegelicht dat daarin wordt voorzien.
Zoals in de voorgaande paragrafen is beschreven, worden bij verwerking
van (persoons)gegevens in dit kader alleen die gegevens verwerkt die
noodzakelijk zijn voor het bereiken van het doel. Bij amvb zal specifiek
worden bepaald welke gegevens het betreft. Daarbij wordt het beginsel
van minimale gegevensverwerking gehanteerd. Zo wordt het kader
gevormd met welke (persoons)gegevens een centraal registratiesysteem,
zoals het Waarschuwingsregister, kan worden gevuld. Bij amvb zullen
voorts de termijn voor het verstrekken van gegevens, de bewaartermijn
voor gegevens en de beveiliging van gegevens(verwerking) (artikel 32
AVG), zoals beveiligingsnormen en mogelijkheden tot het loggen van
gebruikershandelingen, worden bepaald. Wat betreft de termijn voor het
verstrekken van gegevens en de bewaartermijn, zal bij de nadere regels
als uitgangspunt moeten gelden het zoveel mogelijk rechtsgelijkheid,
rechtszekerheid en uniformiteit bereiken voor betrokken partijen. Daarbij
kan ook gedacht worden aan het bieden van de mogelijkheid tot differentiatie in de te hanteren termijn, mits dit met voorwaarden en waarborgen
is omkleed. Het systeem waarin de gegevensverstrekking plaatsvindt, is
een gesloten systeem dat enkel is te gebruiken door de in artikel 2.1,
eerste lid, genoemde instanties. Daarnaast worden mede in het protocol
en vanuit het oogpunt van privacy by design en privacy by default,
gegevensbescherming door ontwerp en standaardinstellingen, de
mogelijkheden tot toegang tot de persoonsgegevens tot een minimum
beperkt, zodat betrokken instanties alleen die informatie van die frauderende partijen zien die voor hen noodzakelijk zijn in het kader van
bestrijding van fraude in de zorg. Een en ander past binnen hetgeen is
voorgeschreven in artikel 25 van de AVG. Iedere betrokken instantie
bepaalt zelf wie binnen de eigen organisatie de bevoegdheid krijgt om in
het te gebruiken systeem te werken en wat diens niveau van autorisatie is.
Gedacht kan worden aan onderscheid tussen medewerkers die kunnen
verstrekken en verstrekkingen kunnen toetsen en medewerkers die de
verstrekte (persoons)gegevens kunnen raadplegen. Dergelijke aspecten
komen aan de orde in het protocol en de bij of krachtens amvb op te
stellen regels ten aanzien van de waarborgen en beveiliging van de
(persoons)gegevens.
In hoofdstuk 5 worden de waarborgen bij gegevensverwerking nader
toegelicht en daarbij zal ook aandacht worden besteed aan de verwerking
van bijzondere persoonsgegevens en persoonsgegevens van strafrechtelijke aard.
4. Het Informatieknooppunt zorgfraude en het Inlichtingenbureau
4.1 Inleiding
Het Bestuurlijk Overleg Taskforce Integriteit Zorgsector (BO TIZ) beoogt de
integriteit van de zorgsector te versterken door de samenwerking tussen
de betrokken instanties te stimuleren, te coördineren en te vergroten door
het uitwisselen van informatie en het uitwisselen van kennis, inzicht en

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

19

vaardigheden.18 Om deze samenwerking te intensiveren is in opdracht
van het BO TIZ op 1 november 2016 het samenwerkingsverband IKZ
opgericht. Daartoe is het Convenant IKZ opgesteld, waarin afspraken zijn
opgenomen over de samenwerking in het kader van de verbetering van
de bestrijding van fraude in de zorg.
De bij het convenant betrokken instanties kunnen signalen van fraude in
de zorg die aanleiding zijn tot het vermoeden van fraude, en derhalve nog
niet voldoende concreet of onderbouwd zijn om van een gerechtvaardigde overtuiging van fraude te kunnen spreken, aan het samenwerkingsverband IKZ verstrekken. De signalen, waar persoonsgegevens onderdeel
van uit kunnen maken, worden door medewerkers van het samenwerkingsverband IKZ aangevuld met informatie uit open en gesloten
bronnen. Informatie uit gesloten bronnen is informatie afkomstig van de
andere instanties die zijn aangesloten bij het samenwerkingsverband IKZ.
Open bronnen zijn voor iedereen raadpleegbare bronnen, waarbij kan
worden gedacht openbare informatie in het handelsregister of het
kadaster. Zoals in de inleiding reeds aan de orde kwam, wordt dit
aanvullen van de signalen aangeduid als verrijken. Een signaal dat is
verrijkt met informatie van een of meerdere instanties, wordt vervolgens
verstrekt aan één of meer geëigende instanties die onderdeel uitmaken
van het samenwerkingsverband IKZ en voor wie dit verrijkte signaal van
noodzakelijk belang is om fraude in de zorg te bestrijden, door verder
onderzoek doen naar of op te treden tegen de fraude. Ook verricht het
samenwerkingsverband IKZ onderzoek en analyse. Het gaat daarbij om
het verwerken van gegevens, waaronder persoonsgegevens, teneinde
trends en ontwikkelingen te signaleren en statistische gegevens en
beleidsinformatie te genereren. Die informatie wordt vervolgens aan
betrokken instanties en aan BO TIZ ter beschikking gesteld.
Zoals onder andere in de inleiding van deze memorie van toelichting aan
de orde kwam, is samenwerking en uitwisseling van (persoons)gegevens
voor betrokken instanties noodzakelijk voor de uitvoering van en het
toezicht op naleving van onder andere Zvw, Wlz, Wmo 2015 en Jw. De in
hoofdstuk 2 beschreven knelpunten, het ontbreken van een wettelijke
grondslag voor de uitwisseling van persoonsgegevens die onderdeel
uitmaken van het signaal, het ontbreken van een verplichting tot het
verstrekken van gegevens en het ontbreken van een wettelijke taak en
verwerkingsverantwoordelijkheid voor het huidige samenwerkingsverband IKZ, staan in de weg aan het effectief functioneren van deze
samenwerking en het effectief en zorgvuldig bestrijden van fraude in de
zorg. Teneinde de genoemde knelpunten weg te nemen, voorziet deze wet
binnen de kaders van privacyregelgeving in een wettelijke plicht tot het
verstrekken van gegevens door instanties, een wettelijk grondslag voor de
uitwisseling van persoonsgegevens tussen de betrokken instanties en het
IKZ en in een wettelijke taak voor die laatstgenoemde organisatie in dit
kader. Zoals eerder aan de orde kwam, zal er niet langer een samenwerkingsverband IKZ zijn, maar wordt het IKZ een instelling als zodanig
aangewezen door Onze Minister.
Met de in de wet geregelde opzet wordt de samenwerking door instanties
efficiënter en kan met het oog op privacygevoelige gegevens ook
zorgvuldig worden samengewerkt. Daardoor kan fraude in de zorg beter
worden bestreden en worden de negatieve persoonlijke, financiële en
maatschappelijke gevolgen ervan beperkt. Het IKZ, zijnde een door Onze
Minister aan te wijzen instelling, wordt belast met deze taak en dit wordt
geregeld in dit wetsvoorstel.
18

De bij het samenwerkingsverband IKZ betrokken instanties zijn: rijksbelastingdienst, CIZ, FIOD,
IGJ, Inspectie SZW, NZa, OM, VNG en ZN.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

20

Zoals in paragraaf 2.3 aan de orde kwam, bestaat de in deze wet gecreëerde wettelijke grondslag naast de reeds bestaande grondslagen voor
het verstrekken van persoonsgegevens in andere (specifieke) wetgeving
en verandert het die grondslagen ook niet. Deze wet doet niet af aan de
bestaande grondslagen voor bilaterale of multilaterale uitwisseling van
(persoons)gegevens tussen betrokken instanties. Die onderlinge uitwisseling van gegevens blijft mogelijk. Hierbij wordt ook benadrukt dat de
met deze wet gecreëerde grondslag voor uitwisseling van (persoons)gegevens alleen de gegevensuitwisseling tussen het IKZ en de in artikel 2.3,
eerste lid, genoemde instanties betreft.
De veranderingen ten aanzien van de organisatie en inrichting van het IKZ
zijn nader uitgewerkt in paragraaf 4.2. Vervolgens wordt in paragraaf 4.3
het takenpakket en de werkwijze van het IKZ uiteengezet en wordt in
paragraaf 4.4 toegelicht op grond waarvan welke instanties bij het IKZ zijn
betrokken.
4.2 Wettelijke taak en rechtsvorm en wettelijke grondslag verwerking
persoonsgegevens
Bij de keuze voor het maken van een expliciete wettelijke grondslag voor
de verwerking van persoonsgegevens, ontstond ook de noodzaak om het
Informatieknooppunt zorgfraude een juridische status toe te kennen, zodat
taken en bevoegdheden kunnen worden toegekend. Ten behoeve van
bijvoorbeeld het aantrekken van eigen personeel, het inrichten en beheren
van een ICT-voorziening en het kunnen aangaan van andere rechten en
verplichtingen dient het IKZ rechtspersoonlijkheid te krijgen. Daarom is
gekozen voor het oprichten van een stichting die belast wordt met de
uitvoering van een wettelijke taak. Bij regeling wijst Onze Minister de
Stichting IKZ als instelling aan die de in artikel 2.3 en 2.4 van deze wet
opgenomen wettelijke taken van het IKZ gaat uitvoeren. Aan de keuze
voor de rechtsvorm stichting ligt een aantal nadere overwegingen ten
grondslag. Bij of krachtens amvb worden nadere regels gesteld ten
aanzien van de aanwijzing van het Informatieknooppunt zorgfraude en de
daaraan verbonden voorschriften. Onder andere de hierna toegelichte
overwegingen zullen daarin moeten worden meegenomen, maar ook
moet zijn geregeld aan welke vereisten een als zodanig aan te wijzen
instelling moet voldoen en hoe een en ander in (oprichtings)statuten zijn
weerslag moet vinden.
Omdat een brede schakering van instanties, zowel publiek als privaat en
zowel centraal als decentraal, deelneemt aan het samenwerkingsverband,
is overwogen hoe de samenwerking en het IKZ zoveel mogelijk recht doen
aan de positie van betrokken instanties. Daarbij was de wens van alle
betrokkenen om een vorm te kiezen die, net als het samenwerkingsverband, recht doet aan de gelijkwaardigheid van de betrokken instanties.
De optie waarvoor is gekozen, is die van de rechtspersoon met een
wettelijke taak in de vorm van een stichting. Met deze optie wordt het IKZ
een onafhankelijke instantie, die vanuit haar taak een bijdrage (ondersteuning) levert aan de bestrijding van fraude in de zorg.
Er is niet gekozen voor het beleggen van de taken bij een bestaand
zelfstandig bestuursorgaan (zbo), omdat de verantwoordelijkheid over het
IKZ dan slechts bij één betrokken partij in het zorgdomein zou komen te
liggen. Dit past niet in de beoogde gelijkwaardige samenwerking. Ook is
niet gekozen voor een (nieuwe) zbo, omdat een dergelijke vorm te zwaar
zou zijn voor de taken die de nieuwe stichting krijgt. Het IKZ zal geen
publiekrechtelijke rechtshandelingen verrichten en heeft geen openbaar
gezag. Het is derhalve geen bestuursorgaan als bedoeld in artikel 1.1 van
de Algemene wet bestuursrecht, hetgeen ook in het kader van rechtsbescherming (paragraaf 4.5) relevant is. Het IKZ zal alleen feitelijke hande-

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

21

lingen verrichten die enkel ten dienste staan van de bestaande taken van
betrokken instanties. Het IKZ heeft een ondersteunende rol in de
bestrijding van fraude in de zorg, hetgeen nader wordt toegelicht in
paragraaf 4.3.
Gezien het overkoepelende belang dat de stichting zal dienen, te weten
het bestrijden van fraude in de zorg, is besloten dat regie vanuit het
departement wenselijk is. Dit is echter geen reden om het een taak van de
centrale overheid (VWS) te maken. De beoogde regie van de centrale
overheid krijgt reeds gestalte in de taken die op grond van dit wetsvoorstel aan het IKZ worden toebedeeld. Daarnaast worden, ten behoeve van
een zorgvuldige en proportionele gegevensuitwisseling en uitoefening
van taken, bij of krachtens amvb nadere regels gesteld. Ook zal de
stichting worden opgericht door VWS, waarbij in acht zal worden
genomen de onafhankelijke positie van de stichting. Gelet op het
vorenstaande is ook afgezien van de mogelijkheid het IKZ de vorm van
een agentschap, een verzelfstandigd dienstonderdeel van een ministerie,
te geven. Daardoor zou Onze Minister zelf verantwoordelijk worden voor
de uitvoering, terwijl de wettelijke taken worden verricht voor andere
instanties die op afstand van het ministerie staan of zelfs helemaal los
staan van het ministerie, zoals de zorgverzekeraars en gemeenten.
De eerste verantwoordelijkheid voor het IKZ, waaronder de dagelijkse
gang van zaken, zal bij het bestuur van de stichting liggen. Onze Minister
is in het algemeen verantwoordelijk voor het zorgdomein en de inrichting
en het functioneren van het zorgstelsel. Gelet op het doel van het IKZ, het
bestrijden van fraude in de zorg, valt het IKZ beleidsmatig onder zijn
verantwoordelijkheid. Het IKZ moet verantwoording afleggen over de
door Onze Minister verstrekte financiële middelen en is gehouden aan de
wettelijke kaders. Er zullen bij of krachtens amvb regels worden gesteld
ten aanzien van de inrichting en het beheer van en verantwoording door
het IKZ. Daarbij worden ook regels opgenomen over de bevoegdheid van
Onze Minister vooraf aanwijzingen over het jaarplan van het IKZ te geven,
zowel ten aanzien van de verrijkingstaak als de taak onderzoek en analyse.
Voor een uitgebreidere toelichting wordt hiervoor verwezen naar de
artikelsgewijze toelichting. Dergelijke aspecten zullen ook in de statuten
van het IKZ aan de orde komen.
Met dit wetsvoorstel wordt ten behoeve van de uitvoering van de taak van
het IKZ ook een wettelijke grondslag gecreëerd voor het verwerken van
persoonsgegevens. Hierdoor kunnen persoonsgegevens die noodzakelijk
zijn voor het bestrijden van fraude in de zorg efficiënter en zorgvuldig bij
elkaar worden gebracht en worden verstrekt aan de meest geëigende
instantie(s). Door het IKZ een wettelijk een taak te geven, is er geen
onduidelijkheid meer over rol en verantwoordelijkheidsverdeling en hoeft
het IKZ wat betreft deze taak niet meer op basis van een verwerkersovereenkomst met de andere betrokken instanties te werken. Het IKZ wordt
verwerkersverantwoordelijke in de zin van artikel 4, onderdeel 7, van de
AVG. Het is voor het IKZ niet meer nodig om de bevoegdheid tot
verwerken van informatie uitsluitend te ontlenen aan de afzonderlijke
bevoegdheden van de instanties. Het IKZ heeft nu zelf de bevoegdheid en,
gelet op de wettelijke taak, ook de verplichting de noodzakelijke verwerkingshandelingen te verrichten. Het IKZ is gelet op het vorenstaande ook
verantwoordelijk voor de rechtmatige en zorgvuldige omgang met
persoonsgegevens en moet in dat kader de plichten uit de AVG naleven.
De goede naleving van deze plichten moeten door het IKZ kunnen worden
aangetoond. Ook ten aanzien van de verwerking van andere gegevens
dan persoonsgegevens geldt overigens dat het IKZ daarvoor verantwoordelijk is en dat daarbij zorgvuldigheid moet worden betracht.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

22

4.3 Taken van het IKZ
Het IKZ heeft twee ondersteunende taken in het kader van bestrijding van
fraude in de zorg. De eerste taak van het IKZ is het verrijken van signalen
die betrokken instanties aan het IKZ hebben verstrekt en het resultaat
daarvan, het verrijkte signaal, te verstrekken aan de daartoe geëigende
instantie(s). Deze instanties worden zo in de gelegenheid gesteld
maatregelen te treffen teneinde de betreffende fraude te bestrijden. De
tweede taak is het signaleren van trends en ontwikkelingen en het
ontwikkelen van beleidsinformatie en statistische informatie met
betrekking tot fraude in de zorg, ten behoeve van de in artikel 2.3, eerste
lid, genoemde instanties en Onze Minister. Dit onderdeel wordt aangeduid
als «onderzoek en analyse».
Ter verduidelijking en afbakening van de taken van het IKZ, verdient het
aandacht dat het IKZ geen loket is waar burgers of organisaties, anders
dan de betrokken instanties, rechtstreeks terecht kunnen met signalen
over fraude in de zorg. Het IKZ heeft zelf geen handhavende, toezichthoudende of opsporende functie, taken of bevoegdheden. Zorgbehoevenden,
zorgprofessionals, (in)direct betrokkenen en anderen, melding van fraude
in de zorg doen bij het Meldpunt van de NZa.
Bij of krachtens amvb worden ingevolge artikel 2.7 met nadere regels
waarborgen geboden voor een zorgvuldige en rechtmatige verwerking
van gegevens door het IKZ in het kader van voornoemde ondersteunende
taken. Die regels betreffen onder andere de verstrekking van gegevens
aan en door het IKZ alsmede de wijze waarop verwerking van gegevens
door het IKZ geschiedt.
Verstrekking van een signaal aan het IKZ
Signalen worden door de in artikel 2.3, eerste lid, genoemde instanties
aan het IKZ verstrekt. Het uitgangspunt is dat instanties verplicht zijn
signalen te verstrekken aan het IKZ, maar die verplichting geldt binnen het
kader van de AVG. Dat betekent dat als persoonsgegevens onderdeel
uitmaken van het signaal, deze gegevens alleen mogen worden verstrekt
als het voor een of meer betrokken instanties noodzakelijk is voor de
bestrijding van fraude in de zorg. De beoordeling en afweging daartoe is
aan de betrokken instanties. Over de benodigde aanleiding tot en de
gevallen waarin en de voorwaarden waaronder verstrekking van
gegevens aan het IKZ plaatsvindt alsmede over de wijze waarop die
verstrekking plaatsvindt, worden bij of krachtens amvb nadere regels
gesteld. Daarbij zal ook worden ingegaan op de aard van de gegevens.
De verplichting tot verstrekken aan het IKZ geldt niet voor de FIOD en de
Inspectie SZW, die slechts gegevens verstrekken op grond van en met
inachtneming van de Wpg. Dit heeft te maken met het gesloten regime
van verstrekking dat op grond van de Wpg geldt voor politiegegevens.
Hierna wordt in algemene zin de werkwijze van het IKZ beschreven. In
paragraaf 4.6 wordt aan de hand van de waarborgen wat betreft privacy
nader ingegaan op het uitwisselen van signalen waar persoonsgegevens
onderdeel van uitmaken. In hoofdstuk 5 wordt nader toegelicht hoe
noodzakelijkheid in dit kader moet worden gezien en wordt aan de hand
van voorbeelden geïllustreerd welke afweging door betrokken instanties
moet worden gemaakt voorafgaand aan de verstrekking van gegevens,
waarvan persoonsgegevens onderdeel uitmaken, aan het IKZ.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

23

Verrijking en verstrekking van gegevens door het IKZ
Nadat een signaal is ontvangen en geregistreerd door het IKZ, worden de
verstrekte gegevens beoordeeld op volledigheid en juistheid. Indien
noodzakelijk ter bestrijding van fraude in de zorg, worden nadere
gegevens, waaronder mogelijk persoonsgegevens, bij de in artikel 2.3,
eerste lid, genoemde instanties opgevraagd met betrekking tot het
signaal. Een signaal wordt vervolgens met de noodzakelijke gegevens
verrijkt. Dat houdt in dat de gegevens worden aangevuld met andere
noodzakelijke gegevens van betrokken instanties en gegevens uit de
daartoe in artikel 2.3, tweede lid, aangewezen bronnen. Dit zijn openbare
bronnen die het IKZ mag raadplegen in het kader van de verrijking van
signalen. Het gaat om het Handelsregister en het Jaardocument
Maatschappelijke Verantwoording (JMV). De gegevens uit het Handelsregister zijn in de eerste plaats van belang bij het beoordelen van de
juistheid van de ontvangen gegevens. Andere openbare gegevens uit het
Handelsregister en de gegevens uit het JMV, dragen bij aan een
zorgvuldig en rechtmatig vervolg van het verrijkingsproces. Met de
beschikking over de betreffende openbare gegevens, kan het IKZ een
betere beoordeling en afweging maken van de noodzakelijkheid tot het
verwerken van gegevens (uit de gegevensset) gedurende het proces van
verrijking. Daarmee is de mogelijkheid tot verrijking van signalen met
gegevens uit openbare bronnen beperkt.
Daar waar de beoordeling en afweging tot het verstrekken van een signaal
aan het IKZ aan de betrokken instantie is, is deze beoordelings- en
afwegingsruimte er niet als het IKZ gegevens opvraagt in het kader van
verrijking. Betrokken instanties zijn verplicht de gevraagde gegevens te
verstrekken. Deze verplichting geldt echter niet voor de FIOD en de
Inspectie SZW, die ook in deze fase slechts gegevens verstrekken op
grond van en met inachtneming van de Wpg. De gegevens waarmee een
signaal door het IKZ kan worden verrijkt, worden eveneens nader bepaald
bij amvb.
Bij het opvragen van nadere gegevens met betrekking tot het signaal, kan
het IKZ bij de in artikel 2.3, eerste lid, genoemde instanties geanonimiseerde en geaggregeerde gegevens opvragen over andere zorgaanbieders, vergelijkbaar met de aanbieder waarover het signaal is geregistreerd. Deze gegevens, waar geen persoonsgegevens onderdeel van
uitmaken, kunnen bijdragen aan het bekrachtigen dan wel ontkrachten
van de informatie behorend tot een (verrijkt) signaal ten aanzien van
specifieke die betrokkene waarover het signaal gaat. Volledigheidshalve
wordt opgemerkt dat hiermee geen (andere) mogelijke frauderende
(rechts)personen mee in beeld worden gebracht en dat hier geen
profilering door het IKZ plaatsvindt. Ten overvloede wordt hierbij ook
opgemerkt dat het, zoals altijd bij een onderlinge uitwisseling, in de rede
ligt dat bij de uitvoering van deze taak bij de uitvraag door het IKZ enige
gegevens aan de instanties wordt verstrekt ten einde een gerichte
uitvraag te doen. Het streven is en blijft om deze verwerking zoveel
mogelijk geautomatiseerd te doen plaatsvinden, waardoor het slechts om
een enkel gegeven zal gaan.
Bij of krachtens amvb worden nadere regels gesteld over de inrichting en
de vormgeving van de werkprocessen van het IKZ, waarbij aandacht
wordt besteed aan de aard en herkomst van de te verwerken gegevens, de
wijze van verwerking van die gegevens en de beoordelingscriteria voor de
verschillende fasen van de verwerking. Daarbij kan gedacht kan worden
aan regels met betrekking tot trapsgewijze verrijking, zodat nader is
gewaarborgd dat gegevens niet of niet verder worden verwerkt indien dat
niet noodzakelijk is.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

24

Indien en voor zover noodzakelijk, verstrekt het IKZ het verrijkte signaal
vervolgens aan een of meerdere in het hiervoor genoemde artikellid
opgenomen instanties, die gelet op hun wettelijke taak en rol aangewezen
zijn de betreffende fraude aan te pakken en voor wie dit signaal noodzakelijk is in het kader van bestrijding van die fraude. Zoals hiervoor aan de
orde kwam in paragraaf 1.3, betreft dit de zogenaamde geëigende
instantie(s). Bij of krachtens amvb worden nadere regels gesteld over de
wijze waarop, de gevallen waarin en de voorwaarden waaronder de
verstrekking van het verrijkte signaal door het IKZ aan de geëigende
instantie(s) plaatsvindt. Voor zover gegevens van de rijksbelastingdienst
of de FIOD, voor zover het fiscaal opsporingsonderzoek betreft, onderdeel
uitmaken van het verrijkte signaal, kan verstrekking van dat deel van de
gegevens door het IKZ aan ziektekostenverzekeraars in beginsel niet
plaatsvinden. Gelet op de fiscale geheimhoudingsplicht in artikel 67
Algemene wet inzake rijksbelasting, die worden doorbroken met deze wet,
moet grote terughoudendheid worden betracht bij die doorverstrekking
van gegevens. Verstrekking van specifiek deze gegevens door het IKZ aan
een ziektekostenverzekeraar, als meest geëigende instantie, kan slechts in
specifieke gevallen. Ook hierover worden nadere regels gesteld bij of
krachtens amvb en die regels zullen in ieder geval betrekking hebben op
de gevallen waarin en de voorwaarden waaronder de eventuele
verstrekking van fiscale gegevens als onderdeel van een verrijkt signaal
aan een ziektekostenverzekeraar plaatsvindt alsmede op de aard van de
daarbij te verstrekken gegevens. Het gaat dan bijvoorbeeld om de
randvoorwaarde dat alleen verstrekking van fiscale gegevens aan
ziektekostenverzekeraars plaatsvindt na toestemming door de rijksbelastingdienst dan wel FIOD.
In artikel 2.3, vierde lid, is de mogelijkheid tot gerichte verstrekking van
gegevens geregeld. In het geval er meerdere geëigende instanties zijn,
kan het IKZ op grond van voornoemde bepaling met specifiek deze
instanties in overleg treden, indien dit noodzakelijk is om te bepalen wat
er met het betreffende signaal wordt gedaan. Het gaat dan om de
afweging aan welke instantie(s) het verrijkte signaal al dan niet wordt
verstrekt.
Hoewel deze verstrekking aan de geëigende instantie(s) in gestandaardiseerde vorm gebeurt, worden niet altijd alle persoonsgegevens van het
verrijkte signaal verstrekt. Het verrijkte signaal bevat alleen de voor de
specifieke ontvangende instantie(s) noodzakelijke persoonsgegevens. Het
IKZ is binnen de kaders van de AVG verplicht tot het verstrekken van een
verrijkt signaal aan de geëigende instantie(s). Ook over de wijze waarop
en voorwaarden waaronder gegevens door het IKZ aan de geëigende
instantie(s) wordt verstrekt, worden bij of krachtens amvb nadere regels
gesteld.
Na ontvangst van een door het IKZ verrijkt signaal, zijn en blijven in de
wet genoemde betrokken instanties zelf verantwoordelijk voor wat ze met
dat signaal doen. De instanties bepalen zelf, op basis van hun eigen
wettelijke taken en bevoegdheden en binnen de eigen normatieve kaders,
of ze verder opvolging geven aan het signaal of niet. Het ligt in de rede
dat instanties alleen verrijkte signalen ontvangen die noodzakelijk zijn
voor de bestrijding van fraude in de zorg.
Onderzoek en analyse
Vaak hebben instanties onvoldoende overzicht in ontwikkelingen die
domeinoverstijgend plaatsvinden. Door het signaleren van trends en
fenomenen met betrekking tot fraude in de zorg, worden de instanties in
staat gesteld hun toezichthoudende, handhavende en opsporende taken

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

25

beter uit te voeren. Op het moment dat ontwikkelingen zichtbaar worden
kunnen de instanties zelf doelgerichter onderzoek doen of maatregelen
treffen. Bovendien verstevigt deze kennis de mogelijkheden voor
instanties om te anticiperen op de gesignaleerde ontwikkelingen. Het niet
signaleren van dergelijke ontwikkelingen zou kunnen betekenen dat
instanties reactief (blijven) werken en in het ergste geval achter de feiten
aanlopen. De beleidsmatige en statistische gegevens zijn bovendien
essentieel om het overkoepelende beleid te toetsen en te optimaliseren.
Als er een bepaalde beleidsmaatregel is genomen, kan het onderdeel
onderzoek en analyse door middel van rapportages laten zien wat het
effect is van die maatregel bij een instantie. Dit kan bijvoorbeeld zijn dat
het toezicht in een bepaald domein wordt versterkt door de instantie,
waarna via een beleidsrapportage in beeld kan worden gebracht of dit ook
tot minder signalen van fraude in dat domein heeft geleid. Onze Minister
kan deze informatie in het kader van zijn stelselverantwoordelijkheid en
zijn verantwoordelijkheid ten aanzien van het IKZ, bijvoorbeeld ontvangen
in het kader van beleidsvorming en wet- en regelgeving.
Bij de uitvoering van de taak onderzoek en analyse heeft het IKZ in de
eerste plaats de bevoegdheid de in het kader van de eerste taak
(verrijking) verkregen gegevens te verwerken. Deze wet voorziet in een
wettelijke grondslag om daarbij, indien noodzakelijk, ook de daartoe
behorende persoonsgegevens te verwerken. De noodzaak tot het
verwerken van persoonsgegevens in het kader van deze tweede taak, is
daarin gelegen dat het IKZ voor deze taak de gegevens uit de eerste taak
(verrijking van signalen) gebruikt. Deze gegevens bevatten persoonsgegevens, waardoor het noodzakelijk is dat in het kader van deze taak die
specifieke persoonsgegevens verwerkt kunnen worden. Daar komt bij dat
(nieuwe) fenomenen beter in beeld kunnen worden gebracht als bijvoorbeeld duidelijk is om welke zorgaanbieder(s) het gaat en in welke regio en
welk domein deze zorgaanbieder actief is en persoonsgegevens kunnen
onderdeel uitmaken van deze informatie. Ten aanzien van het gebruik van
gegevens anders dan (persoons)gegevens verkregen in het kader van
verrijking, bepaalt de wet niets. Het algemene uitgangspunt is dat het
raadplegen van bronnen en gebruik van informatie moet passen binnen
de taak en rol van het IKZ op grond van de wet (doelbinding).
De door het IKZ gegenereerde informatie die vervolgens aan de betrokken
instanties en Onze Minister wordt verstrekt, bevat geen persoonsgegevens. Deze gegevens zijn geaggregeerd. Dit betekent dat de gesignaleerde trends en fenomenen, beleidsinformatie en statistische informatie
niet herleidbaar zijn tot individuele personen en de AVG derhalve niet van
toepassing is.
Om onduidelijkheid en verwarring te voorkomen rondom het gebruik van
de termen «onderzoek en analyse», «trends» en «fenomenen» is in artikel
2.5 uitgesloten dat het IKZ profileert zoals bedoeld in artikel 4, onder 4,
van de AVG. Geen enkele vorm van geautomatiseerde verwerking van
persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde
persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd,
met name met de bedoeling zijn beroepsprestaties, economische situatie,
gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid,
gedrag, locatie of verplaatsingen te analyseren of te voorspellen, mag
plaatsvinden. Er worden door het IKZ geen individuele personen in
categorieën (profielen) ingedeeld op basis van hun persoonsgegevens en
er is geen sprake van het in kaart brengen van personen met een
verhoogd risico (op betrokkenheid bij fraude in de zorg). Tot slot vindt
door het IKZ ook geen (geautomatiseerde individuele) besluitvorming
plaats zoals bedoeld in artikel 22 van de AVG. Hoewel gegevens over
(individuele) rechtspersonen mogelijk geen persoonsgegevens bevatten,

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

26

mogen uitkomsten van onderzoek en analyse nooit terug te herleiden zijn
tot (individuele) rechtspersonen. Dat is immers niet het doel van de
verwerking
Bij of krachtens amvb worden nadere regels gesteld ten aanzien van de
uitvoering van deze tweede taak van het IKZ.
4.4 De instanties waarmee het IKZ (persoons)gegevens uitwisselt
De in artikel 2.3, eerste lid opgenomen instanties waarmee het IKZ op
grond van dit wetsvoorstel (persoons)gegevens moet en mag uitwisselen,
zijn grotendeels dezelfde als de instanties die voorheen het samenwerkingsverband IKZ vormden. Het gaat om het CIZ, gemeenten, de FIOD, de
IGJ, de Inspectie SZW, de rijksbelastingdienst, de SVB, de NZa en
ziektekostenverzekeraars. Ten opzichte van het samenwerkingsverband
IKZ is er een aantal veranderingen. Zo is het Openbaar Ministerie (OM)
niet langer een betrokken instantie. Een andere wijziging is dat de SVB als
betrokken instantie in artikel 2.3, eerste lid, is opgenomen. Deze instantie
nam niet deel aan het samenwerkingsverband IKZ. De SVB is opgenomen
omdat zij vanuit haar taak beschikt over informatie betreffende pgb’s,
waar ook persoonsgegevens onderdeel van uit kunnen maken, die
noodzakelijk is voor bestrijding van fraude in de zorg. Tot slot traden de
Vereniging van Nederlandse Gemeenten (VNG) en ZN in het kader van
gegevensuitwisseling met het samenwerkingsverband IKZ op als
verwerker voor de gemeenten respectievelijk de ziektekostenverzekeraars.
In het wetsvoorstel zijn gemeenten en ziektekostenverzekeraars direct
aangewezen als betrokken instanties die met het IKZ gegevens uitwisselen.
De betreffende instanties hebben elk een taak in de uitvoering van
specifieke wetgeving in het zorgdomein en zijn in bepaalde gevallen
verantwoordelijk voor het toezicht op de naleving van die wetgeving en
belast met handhaving en opsporing. Voor al deze instanties kan het voor
de bestrijding van fraude in de zorg noodzakelijk zijn met gegevens van
andere betrokken instanties verrijkte signalen (terug) te ontvangen van het
IKZ. Het stelt de betreffende geëigende instantie(s) in staat adequaat
tegen de fraude op te treden, hetgeen op basis van het oorspronkelijke
signaal of de oorspronkelijke signalen op zichzelf niet mogelijk was.
4.5 Rechtsbescherming en informatieplicht
Zoals hiervoor aan de orde kwam, vormt de AVG het kader voor de
verwerking van persoonsgegevens die onderdeel uitmaken van de
gegevens die op grond van deze wet worden verwerkt. In die verordening
zijn onder andere de verplichtingen van de verwerkende partij (zoals de
informatieplicht in artikel 14) en de rechten van betrokkenen (zoals recht
op inzage (artikel 15), correctie (artikel 16) en verwijdering (artikel 17) van
gegevens) geregeld. In Hoofdstuk 8 van de AVG zijn bepalingen over
beroep, aansprakelijkheid en sancties opgenomen. Er is de mogelijkheid
een klacht in te dienen bij de toezichthoudende instantie, de AP, en daarop
wordt in beginsel een appellabel besluit genomen. Overigens geldt dat de
betrokken instanties en het IKZ zelf eveneens verantwoordelijk zijn voor
intern toezicht op de juistheid van de gegevens(verwerking). Dit komt
terug in de regels die bij of krachtens amvb worden gesteld.
Ook heeft een betrokkene het recht een doeltreffende voorziening in
rechte in te stellen tegen een verwerkingsverantwoordelijke, een
verwerker of de toezichthoudende instantie (artikelen 77 tot en met 79).
Het recht op schadevergoeding en aansprakelijkheid bij inbreuk op de
AVG is geregeld in artikel 82. Nationaal rechtelijk zijn de rechtsbeschermingsbepalingen uit de AVG nader uitgewerkt en ingevuld in paragraaf
3.3 van de UAVG. Zo is in artikelen 34 en 35 van de UAVG de toepasselijkheid van de Algemene wet bestuursrecht en het burgerlijk recht
geregeld ten aanzien van de uitoefening de rechten in artikel 15 tot en met

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

27

22 AVG. Rechtsbescherming in het geval van verwerking van persoonsgegevens is langs deze lijn derhalve geborgd.
Het verstrekken of verrijken van een signaal moet worden beschouwd als
een (feitelijke) handeling. Omdat deze handeling niet is gericht op
rechtsgevolgen die ontstaan in de verhouding tot een of meer anderen, er
ontstaan bijvoorbeeld geen rechten of plichten voor betrokkenen, is geen
sprake van een besluit als bedoeld in de Awb. Het bestuursrecht biedt dan
ook geen mogelijkheid hiertegen op te komen in bijvoorbeeld een
bezwaar- en beroepsprocedure. Volledigheidshalve en meer ten overvloede wordt opgemerkt dat indien (mede) op basis van een gegevensverstrekking in dit kader een besluit wordt genomen, tegen dat besluit
binnen de bestuursrechtelijke kaders rechtsmiddelen open staan. Tot slot
biedt het civielrecht ook mogelijkheden om tegen (onrechtmatige)
verwerking van (persoons)gegevens en de mogelijke gevolgen daarvan
op te komen. Te denken valt aan een vordering op grond van onrechtmatige daad als bedoeld in artikel 6:162 van het BW.
De (verwerkings)verantwoordelijke instantie die een signaal met
(persoons)gegevens verstrekt, is en blijft verantwoordelijk voor die
verwerking van persoonsgegevens. Het IKZ is verantwoordelijk voor de
verwerking van de (persoons)gegevens die het op grond van deze wet
doet, zoals het bijeenbrengen en verrijken van signalen en de verstrekking
ervan aan geëigende instanties. De verwerkingsverantwoordelijke
instantie informeert conform artikel 14 AVG de betreffende natuurlijke
persoon of rechtspersoon, als sprake is van verwerking van persoonsgegevens, over de verwerking. Van het informeren kan worden afgezien
indien sprake is van een situatie als bedoeld in artikel 14, vijfde lid, AVG.
Het gaat dan onder andere om de situatie dat bedoelde verplichting de
verwezenlijking van de doeleinden van die verwerking, te weten
bestrijding van fraude in de zorg, onmogelijk dreigt te maken. Hier ligt
redelijkerwijs een afweging en dus verantwoordelijkheid bij de verwerkingsverantwoordelijke.
Voor het geval dat van voornoemde uitzondering op de informatieplicht
gebruik wordt gemaakt, moet door de betrokken instantie zijn voorzien in
passende maatregelen om de om de rechten, de vrijheden en de
gerechtvaardigde belangen van de betrokkene te beschermen. Bij amvb
worden hier nadere regels voor gesteld. Met het geheel van maatregelen
en waarborgen, waarmee de inbreuk op privacy en de mogelijke gevolgen
daarvan voor betrokken steeds tot een minimum wordt beperkt, is
voorzien in passende maatregelen. Het gaat dan onder andere om de in
het algemeen geldende strikte voorwaarden voor de gegevensverwerking,
procedurele voorschriften en vereisten (zie ook paragraaf 4.6). Specifiek
ten aanzien van het afzien van de informatieplicht kan gedacht worden
aan maatregelen ten aanzien van het zo spoedig mogelijk toch mogelijk
maken van het informeren van betrokkene.
Voor zover de FIOD en Inspectie SZW persoonsgegevens verwerken, zijn
dit politiegegevens waarop niet de AVG maar de Wpg van toepassing is.
Voor die verwerkingen door die instanties gelden derhalve ook andere
rechten en plichten, opgenomen in de Wpg en onderliggende regelgeving.
4.6 Waarborgen bij de gegevensuitwisseling
Het verwerken van gegevens over gezondheid is ingevolge artikel 9 eerste
en tweede lid, onderdeel g, van de AVG, in beginsel verboden en is alleen
toegestaan als dit noodzakelijk is om redenen van zwaarwegend
algemeen belang. Dat daar in zijn algemeenheid sprake van is, is onder
meer onderbouwd in paragraaf 2.2, paragraaf 4.1 en hoofdstuk 5 van deze
memorie van toelichting. Persoonsgegevens van (mogelijk) strafrechtelijke aard mogen, voor zover hier van belang, alleen worden verwerkt

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

28

indien de verwerking is toegestaan bij lidstaatrechtelijke bepalingen, aldus
artikel 10 van de AVG. Aan die voorwaarde is met deze wet voldaan. Met
betrekking tot de verwerking van beide categorieën gegevens geldt
daarbij ingevolge voornoemde artikelen ook dat specifieke en passende
maatregelen dan wel passende waarborgen moeten worden geboden ter
bescherming van de rechten en vrijheden van betrokkenen. Hierna is
toegelicht dat daarin wordt voorzien.
Zoals in de voorgaande paragrafen is beschreven worden alleen die
persoonsgegevens die noodzakelijk zijn voor het bereiken van het doel
van de wet verstrekt en zal bij amvb specifiek worden bepaald welke
gegevens het betreft. Daarbij wordt het beginsel van minimale gegevensverwerking gehanteerd. In de amvb zullen voorts de bewaartermijn en de
beveiliging van gegevens(verwerking) (artikel 32 AVG), zoals beveiligingsnormen en mogelijkheden tot het loggen van gebruikershandelingen,
worden bepaald. Ook wordt in de amvb geborgd dat achterhaald kan
worden hoe een verrijkt signaal is opgebouwd en van welke bron of
instantie de (persoons)gegevens in het verrijkte signaal afkomstig zijn,
hetgeen onder andere noodzakelijk is in het kader van eventuele verdere
(strafrechtelijke) juridische procedures.
Het uitwisselen van (verrijkte) signalen op grond van deze wet vindt plaats
in een gesloten elektronische voorziening, enkel te gebruiken door de in
artikel 2.3, eerste lid, genoemde betrokken instanties. Daarnaast worden
vanuit het oogpunt van privacy by design en privacy by default,
gegevensbescherming door ontwerp en standaardinstellingen, de
mogelijkheden tot toegang tot de persoonsgegevens tot een minimum
beperkt, zodat instanties ook alleen die informatie van die frauderende
partijen zien die voor hen noodzakelijk zijn in het kader van bestrijding van
fraude in de zorg. Een en ander past binnen hetgeen is voorgeschreven in
artikel 25 van de AVG. Het IKZ en de betrokken instanties bepalen elk zelf
wie binnen de eigen organisatie de bevoegdheid krijgt om in de te
gebruiken voorziening te werken en wat diens niveau van autorisatie is. Er
zal onderscheid in autorisaties zijn tussen medewerkers. Zo kan er
onderscheid zijn tussen medewerkers die signalen kunnen verstrekken
aan het IKZ of die de verrijkte signalen na ontvangst in kunnen zien. Ook
binnen het IKZ zal er onderscheid zijn, bijvoorbeeld afhankelijk van een rol
in het verrijken of het werken aan onderzoek en analyse. Deze aspecten
komen aan de orde in de bij of krachtens amvb op te stellen regels ten
aanzien van de waarborgen en beveiliging van de (persoons)gegevens.
In hoofdstuk 5 worden de waarborgen bij gegevensverwerking nader
toegelicht en daarbij zal ook aandacht worden besteed aan de verwerking
van bijzondere persoonsgegevens en persoonsgegevens van strafrechtelijke aard.
Voor zover de FIOD en Inspectie SZW persoonsgegevens verwerken, zijn
dit politiegegevens waarop niet de AVG maar de Wpg van toepassing is.
Voor die verwerkingen door die instanties gelden derhalve ook andere
waarborgen, opgenomen in de Wpg en onderliggende regelgeving.
4.7 Gegevens over gezondheid en gegevens van strafrechtelijke aard
Wat betreft gegevens over gezondheid geldt dat geen gegevens waarop
een medisch beroepsgeheim rust worden uitgewisseld tussen betrokken
instanties en het IKZ. Gegevens over gezondheid waarop een medisch
beroepsgeheim rust, zouden enkel kunnen worden verstrekt met toestemming van de betrokkene. Dat kan in geval van verstrekking van
(persoons)gegevens door een zorgbehoevende in het kader van een
melding bij een betrokken instantie. Het kan bijvoorbeeld gaan om
declaratiegegevens die bij een melding worden meegestuurd en waaruit

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

29

blijkt om welke specifieke behandeling het gaat. Naar verwachting zal
deze situatie zich echter niet vaak voor doen.
In het geval van verstrekking van gegevens van een zorgbehoevende, is
het mogelijk dat gegevens over gezondheid worden verstrekt waarop
geen medisch beroepsgeheim rust. Dit kan zich voordoen indien ten
aanzien van een specifieke zorgbehoevende aanleiding bestaat tot een
vermoeden van fraude in de zorg, bijvoorbeeld in het geval van samenspanning. De gegevens over gezondheid die in een dergelijk geval
mogelijk verwerkt worden, betreffen dan gegevens die duidelijk maken in
welk domein de zorg aan die zorgbehoevende wordt geleverd en welke
soort zorg dit betreft. Bijvoorbeeld een voorziening in beschermd wonen
op grond van de Wmo 2015.
Wat betreft persoonsgegevens van strafrechtelijke aard, betreft het
doorgaans de politiegegevens die in het kader van de uitvoering van de
dagelijkse politietaak (meldingen en signalen) en onderzoek in verband
met de handhaving van de rechtsorde in een bepaald geval (fraudeonderzoek) door de Inspectie SZW en de FIOD worden verwerkt op grond
van artikel 8 respectievelijk artikel 9 van de Wpg. Overigens kan tijdens de
verrijkingsprocedure op enig moment ook anderszins sprake zijn van een
persoonsgegeven van strafrechtelijke aard.
De noodzaak tot verstrekking van de gegevens die worden verwerkt op
grond van artikel 8 van de Wpg, volgt uit een efficiënte en effectieve inzet
van (de beperkt beschikbare capaciteit van) de bijzondere opsporingsdiensten. De bijzondere opsporingsdiensten kunnen slechts over een
beperkte capaciteit beschikken en die moet zo effectief mogelijk worden
ingezet. Bij het selecteren van te onderzoeken gevallen, hanteren de
bijzondere opsporingsdiensten de in het Protocol normnaleving
zorgsector opgenomen criteria.19 Het gaat om de criteria die zijn vervat
onder de noemer «betekenisvolle zaken». Meldingen en signalen
waarover slechts beperkt informatie beschikbaar is of die een beperkte
omvang hebben en die daarom (nog) niet worden opgepakt door de
bijzondere opsporingsdiensten, moeten voor een effectieve aanpak van
fraude in de zorg door andere betrokken instanties kunnen worden
opgepakt en afgedaan. Daarover is goede afstemming nodig. Om deze
goede afstemming te kunnen waarmaken is het uitwisselen van de
voornoemde gegevens van strafrechtelijke aard met andere betrokken
instanties noodzakelijk en hierin speelt het IKZ een cruciale rol.
De praktijk heeft uitgewezen dat juist de politiegegevens die op grond van
artikel 9 van de Wpg zijn verwerkt, bijvoorbeeld in het kader van fraudeonderzoek, van groot belang kunnen zijn voor de aanpak van fraude in de
zorg. Deze gegevens zijn noodzakelijk om zicht te krijgen op de verborgen
verschijningsvormen van (de georganiseerde) fraude in de zorgsector en
anderszins inzicht te bieden in mogelijke fraude. Gelet daarop is ook de
uitwisseling van deze gegevens met het IKZ en vervolgens met de
geëigende instantie(s) noodzakelijk.
Het verstrekken van voornoemde gegevens is noodzakelijk met het oog op
een effectieve bestrijding van fraude in de zorg. De beperkte capaciteit
voor toezicht en handhaving moet zo effectief, efficiënt en slagvaardig
mogelijk worden ingezet. Een voorbeeld daarvan is dat door middel van
deze gegevensdeling kan worden voorkomen dat een betrokken instantie
intervenieert in een lopend onderzoek. Daarnaast kan het feit dat een
onderzoek is afgerond, noodzakelijk zijn bij het bepalen van de geëigende
instantie(s) om het verrijkte signaal aan te verstrekken. Bijvoorbeeld
19

Stcrt. 2014, 27808.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

30

omdat uit het verrijkte signaal nieuwe feiten en omstandigheden blijken
die aanleiding geven tot een vervolgonderzoek door de betreffende
instantie(s).
Door de FIOD en Inspectie SZW wordt per geval een afweging gemaakt
welke gegevens aan het IKZ worden verstrekt.
Tot slot geldt ook voor deze beide categorieën persoonsgegevens dat de
te verstrekken gegevens in elk geval moeten passen binnen de in de amvb
opgenomen gegevenssets.
4.8 Het Inlichtingenbureau
Het IB is een reeds bestaande stichting, die in 2000 is opgericht door het
Ministerie van Sociale Zaken en Werkgelegenheid en de VNG. Het is onder
meer opgericht voor de coördinatie en dienstverlening ten behoeve van
gemeenten bij de verwerking van (persoons)gegevens, voor zover
noodzakelijk voor de uitvoering van gemeentelijke taken in de sociale
zekerheid. Het IB vervult in dat domein sinds 2000 een knooppuntfunctie
voor de gegevensuitwisseling tussen gemeenten onderling. In 2015
realiseerde het IB het Gemeentelijk Gegevensknooppunt (GGK). Het GGK
verzorgt ten behoeve van declaraties van zorgkosten voortvloeiend uit de
Wmo 2015 en de Jeugdwet berichtenverkeer tussen gemeenten en
zorgaanbieders.
Bij de inwerkingtreding van de Wmo 2015 en de Jw is voor de uitvoering
van de gegevensuitwisseling besloten het IB bij de uitwisseling van
(persoons)gegevens tussen gemeenten onderling en tussen gemeenten
en zorgaanbieders, eenzelfde taak te kunnen laten vervullen als zij reeds
langere tijd heeft ten aanzien van de sociale zekerheid. Daarbij gaat het
om de in de Wmo 2015 en Jw reeds bepaalde gegevensuitwisseling, als
het gebruik van i-standaarden verplicht of noodzakelijk is, die het IB ten
behoeve van gemeenten faciliteert. Deze taakuitoefening in het kader van
de Wmo 2015 en de Jw is tot op heden niet verankerd in wet- en
regelgeving, maar geschiedt op grond van verwerkersovereenkomsten
tussen de individuele gemeenten en het IB. Daarbij opereert de VNG als
opdrachtgever. Ten aanzien van de aansluiting van gemeenten op het IKZ
(voor Wmo 2015- en Jw-gegevens), komt daar nu bij dat het IB eveneens
een knooppuntfunctie bekleedt tussen gemeenten enerzijds en het IKZ
anderzijds. Gelet op de sturingsmogelijkheden voor de gemeenten ten
aanzien van het IB en het gemeente-overstijgende karakter van de
taakuitoefening van het IB, is het voor een aantal in Wmo 2015, Jw en
onderhavige wet genoemde verwerkingen niet mogelijk gebleken dat het
IB die verricht op basis van een verwerkersconstructie. Het gaat bij
voornoemde verwerkingen voornamelijk om het uitwisselen van
gegevens ten behoeve van gemeenten. Los van onderhavig wetsvoorstel
heeft de AP, naar aanleiding van een briefwisseling tussen de AP en VWS
over de positie en taakuitoefening van het IB, geadviseerd het IB te
voorzien van een wettelijke grondslag voor de verwerking van persoonsgegevens. Met onderhavig wetsvoorstel wordt hier uitvoering aan
gegeven en de stichting IB, die reeds deze taken uitvoert voor gemeenten,
wordt bij ministeriële regeling aangewezen. Daarbij wordt aangehaakt bij
de structuur zoals deze reeds vorm heeft gekregen binnen de
Suwi-regelgeving.
Concreet voorziet het IB in (een voorziening voor) het Wmo 2015- en
Jw-berichtenverkeer (via de iWmo- en iJw-standaarden). Het gaat daarbij
om het transporteren van berichten die betrekking hebben op het
financieel-administratief verkeer tussen gemeenten en zorgaanbieders
(bijvoorbeeld toewijzing, declaratie en verantwoording). Daarnaast
verleent het IB voor de Wmo 2015 en Jw aanvullende diensten binnen de
bestaande wettelijke kaders, waarbij gedacht kan worden aan de

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

31

zogenoemde Wlz-registertoets waarbij eventuele samenloop tussen
Wlz-zorg en maatschappelijke ondersteuning wordt gesignaleerd of de
technische voorziening in het kader van het woonplaatsbeginsel in de Jw.
Voor de dienstverleningen voor gemeenten in het kader van de Wmo 2015
en de Jw dient het IB, in navolging van gemeenten zelf, gebruik te maken
van het burgerservicenummer (BSN). Gemeenten zijn bevoegd om het
BSN te gebruiken en doen dit ook in het kader van hun werkzaamheden.
Om vervolgens bijvoorbeeld de juiste, geautomatiseerde koppelingen te
maken tussen gemeenten onderling moet het BSN door het IB worden
verwerkt wil het IB als dienstverlener aansluiten op de gegevensverwerking door gemeenten.
Het IB verwerkt niet meer gegevens dan op grond van vigerende wet- en
regelgeving reeds is toebedeeld aan gemeenten. Er is geen uitbreiding
van grondslagen voor de uitwisseling van gegevens ten opzichte van de
bestaande gronden voor gemeenten, maar mogelijk is gemaakt dat in de
bestaande uitwisselingen het IB formeel taken kan vervullen ten behoeve
van gemeenten. Als het IB een of meerdere taken vervult bij de uitwisseling van persoonsgegevens, dan is het voor die verwerking verwerkingsverantwoordelijke. Dit wordt verderop in deze paragraaf nader
toegelicht.
Ten aanzien van de uitwisseling met het IKZ betekent het dat het IB vanuit
haar bestaande knooppuntfunctie in de Wmo 2015 en Jw, ook de
aansluiting van gemeenten op het IKZ verschaft. De voorziene verstrekking van Wmo 2015- en Jw-gegevens door gemeenten aan het IKZ betreft
gegevens die het IB reeds vanuit de hiervoor bedoelde taakuitoefening in
de Wmo 2015 en Jw ten behoeve van gemeenten verwerkt. Daarom ligt
het in de rede dat het IB ook een taak krijgt in de uitwisseling tussen
gemeenten en het IKZ. Op die manier wordt voorkomen dat alle
gemeenten een directe aansluiting op het IKZ dienen te realiseren. Met de
aan het IB toebedeelde taak wordt voorzien in een koppeling tussen de
gemeenten en het IKZ via het IB, zodat de bij amvb aangewezen noodzakelijke gegevens van gemeenten uit het hiervoor genoemde berichtenverkeer worden verstrekt aan het IKZ. Bij de uitvoering van hun taken in
het kader van de Wmo 2015 en Jw, waaronder het houden van toezicht,
krijgen gemeenten signalen van fraude in de zorg. Het is aan elke
afzonderlijke gemeente om in een specifiek geval te beoordelen of dit
signaal via het IB aan het IKZ moet worden verstrekt. In de situatie dat een
signaal is verstrekt aan het IKZ en het IKZ het signaal verrijkt en daarvoor
gegevens opvraagt bij de betrokken instanties, is dat anders. Het IB stelt
ten aanzien van de bevraagde gemeente(n) dan zelf de noodzakelijke
gegevens beschikbaar. Dit kan worden beschouwd als een zelfstandige
afwegingsbevoegdheid die past bij de rol van een verwerkingsverantwoordelijke, hoewel deze rol volledig is ingekaderd en afgebakend binnen
deze wet- en regelgeving. Bovendien hebben gemeenten bij die verwerking geen zicht op wat er bij die verwerking gebeurt, uitgaande van de
nagestreefde automatisering van dit proces. In de koppeling tussen het
IKZ en gemeenten houdt de verwerking door het IB niets anders in dan
dat het door het IKZ verrijkte signaal via het IB aan de geëigende
gemeente wordt verstrekt ter uitvoering van diens wettelijke taak. In
tegenstelling tot wat via deze wet wordt geregeld ten aanzien van de
taken van het IB in het kader van de Wmo 2015 en Jw, waarbij het IB taken
kán krijgen, moét gegevensuitwisseling tussen gemeenten en het IKZ
plaatsvinden via het IB. Zoals in de volgende alinea nader is toegelicht, is
het IB onder andere gelet op de beperkte sturingsmogelijkheden van
individuele gemeenten ook verwerkingsverantwoordelijke voor verwerkingen in het kader van deze wet. Tot slot en meer ten overvloede wordt
opgemerkt dat het IB niet voorziet in enige koppeling ten behoeve van de
andere in dit wetsvoorstel genoemde instanties.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

32

De constructie waarin het IB verwerker is ten behoeve van gemeenten in
de Wmo 2015 en de Jw in bovengenoemde werkwijzen levert diverse
complicaties op. Allereerst vereist een verhouding verwerkingsverantwoordelijke (gemeente) versus verwerker (het IB) dat voldoende sturingsmogelijkheden bestaan voor de verantwoordelijke. Ten tweede dient de
taakuitoefening van de verwerker te passen bij diens rol als verwerker. Ten
aanzien van de sturingsmogelijkheden door gemeenten is gebleken dat de
grote hoeveelheid gemeenten die dezelfde dienstverlening van het IB
afnemen, ertoe leidt dat zij nog onvoldoende in staat zijn individueel en
direct te kunnen sturen. Wat betreft de taakuitoefening van het IB is
gebleken dat diverse taken die het IB uitoefent een domeinoverstijgend
(gemeente-overstijgend) karakter hebben en daarom niet passen bij de rol
van verwerker voor een individuele gemeente. Gebleken is dat het aan
beide elementen min of meer schortte en door de AP zijn vraagtekens
geplaatst bij de juridische houdbaarheid van deze verwerkersconstructie.
Zowel de AP als de VNG hebben geadviseerd voor deze taakuitoefening
een zelfstandige verwerkingsverantwoordelijkheid te creëren. Dit sluit
voor de Wmo 2015 en Jw ook het beste aan bij de taken die gemeenten
vervullen, te weten het domeinoverstijgende transport van berichten en
de koppeling tussen gemeenten en het IKZ. Derhalve is besloten voor het
IB, wat betreft voornoemde aan de gemeenten opgedragen gegevensuitwisselingen, in een wettelijke grondslag te voorzien zodat deze uitwisseling kan (Wmo 2015, Jw) respectievelijk moet (Wbsrz) geschieden door
het IB. Zoals hiervoor al aan de orde kwam, is het IB voor de verwerking
van persoonsgegevens in die gevallen verwerkingsverantwoordelijke.
Er is ten aanzien van de Wmo 2015 en Jw geen sprake van een «nieuwe»
gegevensuitwisseling, maar in de bestaande uitwisselingen en structuur
van de wet wordt de rol van het IB als «nieuwe» partij ingepast. Voor de
uitwisseling van gegevens met het IKZ betreft het ook niet meer dan een
voorziening om de beoogde gegevensuitwisseling tussen het IKZ en
gemeenten te realiseren.
5. Het recht op privacy, EVRM, AVG, EU-Handvest en het medisch
beroepsgeheim
5.1 Het recht op privacy, EVRM, AVG en EU-Handvest
Artikel 8 van het EVRM bepaalt dat, voor zover hier van belang, een ieder
recht heeft op respect voor zijn privé leven (hierna: »privacy»). Geen
inmenging van enig openbaar gezag is toegestaan in de uitoefening van
dit recht, dan voor zover bij de wet is voorzien en in een democratische
samenleving noodzakelijk is in het belang van de nationale veiligheid, de
openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de
gezondheid of de goede zeden of voor de bescherming van de rechten en
vrijheden van anderen.
De vereiste noodzakelijkheid in een democratische samenleving houdt in
dat:
• de inmenging voorziet in een dringende maatschappelijke behoefte;
• de inmenging geschikt is voor (in dit geval) de bestrijding en het
tegengaan van fraude op het gebied van zorg, en
• de inmenging voldoet aan de eisen van proportionaliteit en subsidiariteit.20

20

Sunday Times, EHRM 26 april 1979, NJ 1980/146.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

33

Ook artikel 10 van de Grondwet en de artikelen 7 en 8 van het
EU-Handvest die het recht op privacy en gegevensbescherming
waarborgen, laten op dit recht beperkingen toe. De AVG vormt de
materiele invulling van de artikelen 10, tweede en derde lid, van de
Grondwet.21 In artikel 6 van de AVG is een aantal voorwaarden voor
rechtmatige verwerking van persoonsgegevens opgenomen. Ingevolge
onderdeel c van voornoemd artikel, is een dergelijke verwerking rechtmatig indien de verwerking noodzakelijk is om te voldoen aan een
wettelijke verplichting die op de verwerkingsverantwoordelijke rust. De
voorwaarde dat de inmenging in de privacy noodzakelijk moet zijn volgt
ook uit de AVG. Uit artikel 5, eerste lid aanhef en onderdeel d, AVG volgt
dat de persoonsgegevens toereikend moeten zijn, ter zake dienend en
beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden
verwerkt. Het uitgangspunt is minimale gegevensverwerking.
In hoofdstuk 2 is toegelicht dat de inmenging in privacy in het kader van
bestrijding van fraude in de zorg noodzakelijk is voor het economisch
welzijn van het land, het voorkomen van strafbare feiten en de bescherming van de gezondheid. Meer concreet betreft het de persoonlijke,
financiële en maatschappelijke belangen bij toegankelijkheid van zorg en
de bestrijding van fraude in de zorg. Er is sprake van een zwaarwegend
algemeen belang dat deze wetgeving en de inmenging in de privacy van
betrokkenen rechtvaardigt. Zorgbehoevenden moeten de zorg krijgen
waar zij recht op hebben en zij moeten kunnen vertrouwen op de
zorgaanbieders. De samenleving moet erop kunnen vertrouwen dat de
financiële bijdrage aan het zorgstelsel ook daadwerkelijk aan zorg wordt
besteed, zodat het stelsel betaalbaar blijft en draagvlak voor het stelsel
bestaat. Teneinde voornoemde belangen te kunnen behartigen en
waarborgen, is samenwerking tussen de instanties in de keten noodzakelijk. Voor een goede samenwerking tussen die instanties is het
noodzakelijk dat die instanties gegevens, waaronder in het noodzakelijke
geval persoonsgegevens, met elkaar kunnen uitwisselen. In artikelen 2.1
en 2.3 van de onderhavige wet, worden de betrokken instanties uit de
keten verplicht tot het uitwisselen van (persoons)gegevens voor zover
noodzakelijk voor de bestrijding van fraude in de zorg en wordt voorzien
in de op grond van het EVRM en de AVG vereiste wettelijke grondslag
voor het maken van inbreuk op privacy en voor de verwerking van
persoonsgegevens. Dit geldt zowel voor de verwerking van persoonsgegevens in het geval van een gerechtvaardigde overtuiging van fraude,
bijvoorbeeld in het Waarschuwingsregister, als in het geval van het
uitwisselen van (verrijkte) signalen met het IKZ. Met de wet worden de
knelpunten in de huidige wet- en regelgeving, die in de weg staan aan een
efficiënte en, mede met het oog op privacy, zorgvuldige samenwerking
tussen instanties, weggenomen. Daarmee worden de gevolgen van fraude
in de zorg op persoonlijk, financieel en maatschappelijk vlak teruggedrongen en beperkt.
Hiermee is voldaan aan het vereiste van een wettelijke basis en de eerste
twee vereisten van noodzakelijkheid in een democratische samenleving
onder artikel 8 EVRM en de voorwaarden van de AVG, die hiervoor zijn
toegelicht.
In de wet is conform de AVG gewaarborgd dat het verwerken van
persoonsgegevens, zoals het verstrekken, registreren en verrijken ervan,
alleen is toegestaan indien die verwerking noodzakelijk is in het kader van
21

Persoonsgegevens die worden verwerkt als onderdeel van opsporing, zijn politiegegevens
en vallen onder de Wpg en niet onder de AVG. Deze persoonsgegevens zijn politiegegevens
zijn zolang ze door FIOD en Inspectie SZW worden verwerkt en na verstrekking aan het IKZ zijn
het persoonsgegevens als bedoeld in de AVG. De FIOD en Inspectie SZW verstrekken
politiegegevens met inachtneming en op grond van de Wpg.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

34

bestrijding van fraude in de zorg. Dat betekent dat die verwerking nodig is
omdat het doel van de verwerking, te weten bestrijding van fraude in de
zorg, anders redelijkerwijs niet kan worden verwezenlijkt. In de vraag of
een verwerking noodzakelijk is, ligt besloten of de verwerking van
gegevens proportioneel is en of de verwerking voldoet aan de eis van
subsidiariteit. Of de verwerking proportioneel is, betreft de vraag naar
effectiviteit en evenredigheid. Het legitieme doel dat wordt nagestreefd
moet in verhouding staan tot het feit dat daarvoor persoonsgegevens
moeten worden verwerkt. Dit staat in het onderhavige geval in verhouding, omdat enerzijds de persoonlijke, financiële en maatschappelijke
gevolgen van fraude in de zorg worden beperkt en anderzijds de daarvoor
noodzakelijke inmenging in de privacy van betrokkene tot een minimum
wordt beperkt en is voorzien van waarborgen. Subsidiariteit betreft de
vraag of het genoemde doel niet op een andere, minder ingrijpende wijze
kan worden bereikt. Bijvoorbeeld door géén of minder persoonsgegevens
te verwerken. Er heeft een afweging plaatsgevonden of hetzelfde doel zou
kunnen worden bereikt op een andere wijze dan met de uitwisseling van
persoonsgegevens, maar dit is niet mogelijk gebleken. Juist het bijeenbrengen van gegevens en het daarmee versterken van de gegevenspositie
van betrokken instanties, is cruciaal voor de uitoefening van de taken van
die instanties als het gaat om het bestrijden van fraude in de zorg. Het
doel kan ook niet op een minder ingrijpende manier worden bereikt, want
met een beperktere grondslag voor het verwerken van persoonsgegevens
of met andere dan de voorgestelde middelen, zou deze wet niet
doeltreffend zijn. De knelpunten in de samenwerking zouden niet dan wel
onvoldoende worden weggenomen en dat zou in de weg hebben gestaan
aan een efficiënte en zorgvuldige bestrijding van fraude in de zorg. Gelet
op het beginsel van dataminimalisatie wordt overigens ook in de lagere
regelgeving een zorgvuldige afweging gemaakt met welke minimale set
aan gegevens het beoogde doel kan worden bereikt. Hiermee is dan ook
voldaan aan het derde vereiste van noodzakelijkheid in een democratische
samenleving onder artikel 8 EVRM en de eisen van de AVG.
Ter illustratie wordt hierna geschetst hoe deze beoordeling en afweging er
globaal uitziet in het kader van de uitwisseling van persoonsgegevens met
het IKZ. Het ligt in de rede dat dit, binnen het wettelijk kader, nader vorm
moet krijgen in de praktijk. Het is aan betrokken instanties daar afspraken
over te maken en die bijvoorbeeld vast te leggen in een werkinstructie of
handreiking. Eenzelfde soort afweging zal moeten worden gemaakt bij het
verwerken van persoonsgegevens in het geval van een gerechtvaardigde
overtuiging van fraude. Hiervoor zal een en ander nader worden uitgewerkt in een protocol.
Het uitgangspunt is dat signalen waarop door een betrokken instantie zelf
actie kan worden ondernomen en waarbij voor het bereiken van het doel,
de bestrijding van fraude in de zorg, geen gegevensdeling met het IKZ
noodzakelijk is, niet aan het IKZ worden verstrekt.
Hierbij kan gedacht worden aan de situatie met een zorgaanbieder
waarvan het bekend is dat het een kleine partij is, die in alleen een
specifieke gemeente actief is in één specifiek domein, en waarover
voldoende informatie beschikbaar is om zelf op te treden (onderzoek,
handhaving, aangifte, etc.). Tegenover dit voorbeeld staat de situatie van
een zorgaanbieder waarvan bekend is dat deze actief is in een groter
gebied (in meerdere gemeenten) en in meerdere domeinen. Er zijn
signalen dat er sprake is van fraude, maar er is samenwerking en
samenvoeging van informatie noodzakelijk teneinde dit hard te kunnen
maken en er actie tegen te ondernemen. De verschillende puzzelstukjes
moeten dan (mede) door uitwisseling van persoonsgegevens met het IKZ
bij elkaar worden gebracht.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

35

Het zelf actie kunnen ondernemen op signalen hoeft niet in de weg te
staan aan het delen van deze signalen met het IKZ. In gevallen waarin
gegevensuitwisseling voor de bestrijding van fraude in de zorg voor
andere betrokken instanties noodzakelijk is, moet ook uitwisseling
plaatsvinden van gegevens waarop een instantie zelf al actie heeft
ondernomen.
Daarnaast zal in het kader van effectiviteit moeten worden afgewogen of
het om al dan niet geloofwaardige en duidelijke signalen gaat. De
betrokken instanties en het IKZ moeten zorgvuldig omgaan met de
persoonsgegevens die worden verstrekt en als het op voorhand overduidelijk is dat het uitwisselen van de persoonsgegevens geen kans van
slagen heeft of dat het signaal niet plausibel is, dan moet worden afgezien
van het verstrekken van die gegevens (en andersom).
De enkele melding van iemand over «de hele dure auto van zijn PGB
ontvangende buurman» is onvoldoende. De situatie is echter anders als
deze melding past in andere al bekende of na de melding vergaarde
informatie die aanleiding geeft tot het vermoeden van fraude.
Tot slot moet ook worden afgewogen of een signaal ook kan worden
verstrekt zonder of met minder gegevensverstrekking. Bijvoorbeeld
wanneer het signaal persoonsgegevens bevat die niet nodig zijn voor de
verdere behandeling van het signaal.
Zoals in paragraaf 3.5 en 4.6 van deze toelichting al aan de orde is
gekomen, voorzien de wet en de amvb ook in andere waarborgen ten
aanzien van het verwerken van persoonsgegevens. Bij amvb is geregeld
welke (persoons)gegevens door welke instantie in het kader van
bestrijding van fraude in de zorg mogen worden verwerkt indien
noodzakelijk voor het bereiken van dat doel. Voorts zijn in de amvb de
bewaartermijn en de wijze van beveiliging (art. 32 AVG) van de gegevens
uitgewerkt. Zowel het verstrekken van persoonsgegevens in geval van een
gerechtvaardigde overtuiging van fraude als het uitwisselen van (verrijkte)
signalen op grond van deze wet vindt plaats binnen gesloten omgevingen, die enkel te gebruiken door de respectievelijk in artikel 2.1 en 2.3
genoemde instanties. Daarnaast worden vanuit het oogpunt van privacy
by design en privacy by default, gegevensbescherming door ontwerp en
standaardinstellingen, de mogelijkheden tot inzage tot de persoonsgegevens tot een minimum beperkt, zodat instanties ook alleen die
informatie van die partijen verstrekken, ontvangen en zien die voor hen
noodzakelijk zijn in het kader van bestrijding van fraude in de zorg. Een en
ander past binnen hetgeen is voorgeschreven in artikel 25 van de AVG. Tot
slot worden de taken van het IKZ ook wettelijk vastgelegd en is de binding
van de organisatie met het doel dat zij dient geborgd.
Nadere aandacht verdienen de verwerking van bijzondere persoonsgegevens, te weten gegevens over gezondheid, en persoonsgegevens van
strafrechtelijke aard. Gelet op de gevoeligheid van deze persoonsgegevens, geldt voor de verwerking ervan een zwaarder regime dan voor
andere persoonsgegevens.
Het verwerken van gegevens over gezondheid is in beginsel verboden.
Hierop zijn uitzonderingen. In het kader van deze wet is relevant de
uitzondering dat de verwerking van deze bijzondere persoonsgegevens
noodzakelijk is om redenen van een zwaarwegend algemeen belang, zoals
bepaald in artikel 9, tweede lid, aanhef en onder g, AVG. Onder welke
voorwaarden gegevens van strafrechtelijke aard mogen worden verwerkt,
is geregeld in artikel 10 AVG. Die gegevens mogen, voor zover hier van
belang, alleen worden verwerkt indien de verwerking is toegestaan bij
lidstaatrechtelijke bepalingen. Voor beide categorieën persoonsgegevens

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

36

moeten bij nationaal recht ook specifieke en passende maatregelen
respectievelijk passende waarborgen te zijn geboden ter bescherming van
de rechten en vrijheden van betrokkenen.
In hoofdstuk 2 en eerder in de onderhavige paragraaf, is onderbouwd dat
sprake is van een zwaarwegend algemeen belang. De persoonlijke,
financiële en maatschappelijke belangen bij toegankelijkheid van zorg en
de bestrijding van fraude in de zorg en het belang van de met deze wet
gecreëerde wettelijke grondslag voor verwerking van persoonsgegevens
in dat kader, rechtvaardigen de inmenging in de privacy van een betrokkene. De uitzondering op het verbod tot verwerken van gegevens over
gezondheid is daarmee gerechtvaardigd. Daarnaast is met deze wet
voorzien in lidstaatrechtelijke bepalingen, op grond waarvan het is
toegestaan gegevens van strafrechtelijke aard te verwerken. Zoals
hiervoor al aan de orde is gekomen, voorzien deze wet en de amvb in de
vereiste maatregelen en passende waarborgen voor het verwerken van
voornoemde categorieën persoonsgegevens.
5.2 Gegevensverwerking door het Inlichtingenbureau
In dit wetsvoorstel wordt het IB belast met de coördinatie en dienstverlening ten behoeve van gemeenten bij de uitwisseling van persoonsgegevens in de Wmo 2015, Jw en onderhavig wetsvoorstel.
Ten aanzien van de Wmo 2015 en Jw betreft dit geen nieuwe grondslag
voor uitwisseling van persoonsgegevens, in zoverre dat de grondslagen
voor de uitwisseling tussen gemeenten onderling en tussen gemeenten
en aanbieders reeds in de Wmo 2015 en Jw zijn geborgd en onderbouwd.
Ook ten aanzien van onderhavig wetsvoorstel, waarin (de grondslag voor)
de uitwisseling tussen gemeenten en het IKZ is geregeld, is reeds onderbouwd waarom die uitwisseling moet plaatsvinden. Hier is aandacht aan
besteed in hoofdstuk 4 en paragraaf 5.1 van deze memorie van
toelichting.
Artikel 2.3, zesde en zevende lid, van dit wetsvoorstel zorgt slechts voor
een grondslag op grond waarvan ten behoeve van gemeenten de feitelijke
gegevensuitwisseling met het IKZ plaatsvindt via het IB en maakt dat het
IB voor deze verwerking van persoonsgegevens verwerkingsverantwoordelijke is. Hierbij is het IB slechts de koppeling tussen enerzijds gemeenten en anderzijds het IKZ. Het IB verricht geen inhoudelijke verwerkingen
van gegevens zoals een nadere verrijking.
Tevens is in de Wmo 2015 en Jw geregeld dat de verwerking van
persoonsgegevens kan geschieden door tussenkomst van het IB. Daarbij
is aangesloten bij de bestaande systematiek van deze twee wetten. Het IB
is bijvoorbeeld ingepast in de systematiek van de Wmo 2015, waarin veel
explicieter reeds een uitwerking is gemaakt rondom de invulling van
rechten van betrokkenen voor de daar bedoelde verwerkingsverantwoordelijken.
In paragraaf 4.8 is nader uitgelegd waarom, gegeven de noodzaak tot
uitwisseling van persoonsgegevens in de Wmo 2015, Jw en onderhavig
wetsvoorstel, het IB een rol dient te hebben in de uitwisseling van
gegevens ten behoeve van gemeenten. In de vraag naar de noodzaak van
de rol van het IB, ligt besloten of de verwerking van persoonsgegevens
door het IB proportioneel is en of de verwerking voldoet aan de eis van
subsidiariteit.
Of de verwerking proportioneel is, betreft de vraag naar effectiviteit en
evenredigheid. Het legitieme doel dat wordt nagestreefd moet in
verhouding staan tot het feit dat daarvoor persoonsgegevens moeten
worden verwerkt. Het IB vervult een knooppuntfunctie voor gegevensuit-

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

37

wisseling tussen gemeenten onderling en voorziet daarbij in (een
voorziening voor) het Wmo 2015- en Jw-berichtenverkeer. Daarnaast zal
het IB in het kader van uitwisseling met het IKZ een aansluiting tussen
gemeenten en het IKZ verschaffen. Het IB waarborgt een efficiënte en
veilige wijze van gegevensuitwisseling tussen gemeenten. Het gevolg van
een aansluiting van individuele gemeenten op het IKZ en zelfstandige
uitvoering van het berichtenverkeer in de Wmo 2015 en Jw, zonder het IB,
zou betekenen dat alle gemeenten deze uitwisseling en uitvoering zelf tot
stand moeten brengen. De reden dat gemeenten dit eerder al hebben
belegd bij het IB, is omdat dit zorgt voor een eenduidige (op elkaar
aangesloten) en veilige wijze van gegevensuitwisseling die moeilijker
door de individuele gemeenten is te realiseren. De eventuele inmenging
in de privacy van betrokkenen die wordt veroorzaakt door het IB een rol te
geven in deze gegevensuitwisseling, is voorzien van waarborgen en wordt
tot een minimum beperkt. Het IB verwerkt niet meer gegevens dan op
grond van vigerende wet- en regelgeving alsmede onderhavig
wetsvoorstel reeds aan gemeenten is toebedeeld. In het in het kader van
de uitwisseling met het IKZ voorziet het IB slechts in een aansluiting
tussen gemeenten en het IKZ, het IB doet geen nadere inhoudelijke
verwerkingen op de signalen.
Subsidiariteit betreft de vraag of het genoemde doel niet op een andere,
minder ingrijpende wijze kan worden bereikt. Bijvoorbeeld door géén of
minder persoonsgegevens te verwerken. Zowel voor wat betreft het
berichtenverkeer tussen gemeenten onderling als de aansluiting tussen
gemeenten en het IKZ geldt dat uitwisseling via het IB efficiënt, veilig en
zorgvuldig is. Hetzelfde doel kan niet worden bereikt zonder de uitwisseling van persoonsgegevens, omdat gemeenten de wettelijke taak
hebben deze persoonsgegevens te verwerken. Het doel kan ook niet op
een minder ingrijpende wijze bereikt worden. Dat zou, zoals in de vorige
alinea reeds toegelicht, betekenen dat iedere gemeente rechtstreeks met
alle andere gemeenten berichten zouden moeten uitwisselen en dat
iedere gemeente afzonderlijk een directe aansluiting op het IKZ dient te
realiseren. Dat zou tot veel meer verschillende koppelingen leiden,
hetgeen een kwetsbaarder elektronische voorziening in de hand werkt en
daarmee risico’s voor de privacy van betrokkenen met zich mee zou
brengen. Gestandaardiseerd berichtenverkeer via het IB voorziet in een
efficiënte en veilige met waarborgen omklede oplossing.
5.3 Geen doorbreking medisch beroepsgeheim
Het medisch beroepsgeheim, hierna verder toegelicht, is een groot goed.
Een zorgbehoevende moet altijd in vertrouwen informatie kunnen delen
met zijn of haar arts. In het wetsvoorstel is aanvankelijk de mogelijkheid
opengelaten het medisch beroepsgeheim te doorbreken. Dit heeft veel
reacties opgeroepen en zowel vanuit het zorgdomein als vanuit de
samenleving zijn hierover zorgen geuit. De regering deelt deze zorgen en
mede gelet op de voornoemde reacties, is het in deze wet uitgesloten
gegevens uit te wisselen waar het medisch beroepsgeheim op rust. Noch
bij gegevensverstrekking in het geval van gerechtvaardigde overtuiging
van fraude in de zorg, noch in de gegevensuitwisseling met het IKZ.
Volledigheidshalve wordt opgemerkt dat indien een zorgbehoevende
daarvoor toestemming geeft, mogelijk wel gegevens waarop het medisch
beroepsgeheim rust zouden kunnen worden uitgewisseld.
Technisch gezien moet er een onderscheid gemaakt worden tussen
gegevens over gezondheid en gegevens waarop het medisch beroepsgeheim rust. Het enkele feit dat iemand zorgbehoevende is en een budget
uit de Wmo 2015 of Jw ontvangt, is een gegeven over gezondheid als
bedoeld in artikel 9 van de AVG. Op dit gegeven rust echter geen medisch

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

38

beroepsgeheim. Een gegeven over gezondheid waar wel een medisch
beroepsgeheim rust, en dus buiten de strekking van dit wetsvoorstel valt,
is bijvoorbeeld een declaratie van een beroepsoefenaar waarop de aard
en inhoud van de behandeling van betrokkene wordt vermeld. De AVG
vereist voor het verwerken van gegevens over gezondheid, dat ook het
enkele feit kan zijn dat iemand een budget uit de Wmo 2015 ontvangt, een
wettelijke uitzondering op het verbod deze gegevens te verwerken.
Daarom biedt deze wet, zoals eerder in deze paragraaf is toegelicht, een
grondslag voor het verwerken van gegevens over gezondheid.
6 Gegevensbeschermingseffectbeoordeling
Voor dit wetsvoorstel is conform artikel 35 van de AVG een Privacy Impact
Assessment (PIA), ook wel gegevensbeschermingseffectbeoordeling
genoemd, uitgevoerd. In de PIA is toegelicht waar het assessment op ziet
en is op hoofdlijnen de context beschreven waarbinnen deze plaatsvindt.
Daarbij is ingegaan op de aanleiding voor deze wet, het beoogde doel van
de wet en de onderdelen waaruit de wet bestaat. Vervolgens is aandacht
besteed aan de mogelijke verwerkingen van persoonsgegevens, de
doeleinden van de verwerkingen, welke instanties bij de verwerkingen
betrokken zijn (en wie daarbinnen toegang tot de persoonsgegevens
hebben) en welke categorieën persoonsgegevens worden verwerkt. Ook
zijn de belangen bij de gegevensverwerking uiteengezet. Tevens is
uitgeschreven op welke wijze en met gebruikmaking van welke
(technische) middelen en methoden de persoonsgegevens worden
verwerkt. De rechtmatigheid van de gegevensverwerkingen zijn ook
beoordeeld. Daarbij is aandacht besteed aan de rechtsgrond, noodzaak en
doelbinding van de voorgenomen gegevensverwerkingen en rechten van
de betrokkene. Tot slot zijn de risico’s voor betrokkenen beschreven en
beoordeeld, waarna de daarop geformuleerde maatregelen zijn toegelicht.
In de hoofdstukken 1 tot en met 5 van deze memorie van toelichting
komen al deze onderdelen aan de orde. De PIA is voorgelegd aan de
functionaris voor de gegevensbescherming en akkoord bevonden. Bij of
krachtens amvb zullen nadere regels worden gesteld over hetgeen in dit
wetsvoorstel wordt geregeld. Voor deze amvb wordt eveneens PIA
uitgevoerd.
7. Regeldrukaspecten
Regeldruk is een verzamelnaam voor kosten die samenhangen met
administratieve lasten (kosten om te voldoen aan informatieverplichtingen aan de overheid vanuit regelgeving), inhoudelijke nalevingkosten
(kosten om te voldoen aan inhoudelijke eisen uit wet- en regelgeving) en
toezichtlasten.
Voor burgers, zorgondernemingen en zorgprofessionals heeft het
wetsvoorstel geen consequenties op het gebied van regeldruk. Dit geldt
zowel voor het eerste als het tweede onderdeel van de wet.
In het onderhavige wetsvoorstel worden verplichtingen opgelegd aan
betrokken instanties en wordt een taak wordt toegekend aan het IKZ.
Instanties zijn bij de uitvoering van de verplichtingen en taken gehouden
de bestuurlijke zorgvuldigheid te betrachten en te noodzakelijkheid,
proportionaliteit en subsidiariteit mee te nemen in hun afweging.
Het eerste onderdeel van dit wetsvoorstel brengt beperkte regeldrukgevolgen met zich mee voor de betrokken instanties, opgenomen in artikel
2.1, eerste lid, van deze wet. Voor het verstrekken van (persoons)gegevens
betreffende partijen ten aanzien van wie de gerechtvaardigde overtuiging

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

39

bestaat dat zij fraude hebben gepleegd, geldt dat de betrokken instanties
(gemeenten en ziektekostenverzekeraars) bepaalde administratieve
handelingen moeten verrichten. Indien gebruik wordt gemaakt van
bijvoorbeeld het Waarschuwingsregister, zal registratie van de betreffende
partij moeten plaatsvinden en moet de betrokkene daar schriftelijk over
geïnformeerd worden. Ook het raadplegen van de verstrekte (persoons)gegevens en het desgewenst toetsen ervan, vraagt een bepaalde inzet
van instanties. Gelet op het beperkte aantal (persoons)gegevens dat wordt
verwerkt, is de administratieve lastenverzwaring voor betrokken instanties
beperkt.
Het belang bij het beter in beeld krijgen van partijen ten aanzien van wie
de gerechtvaardigde overtuiging van het plegen van fraude bestaat,
weegt voor betrokken instanties overigens ook op tegen de regeldrukgevolgen die voortvloeien uit de verplichting tot het verstrekken van
(persoons)gegevens en het gebruik van het een centraal registratiesysteem als het Waarschuwingsregister.
Het tweede onderdeel van dit wetsvoorstel, betreffende het uitwisselen
van gegevens met het IKZ, leidt voor de in artikel 2.3, eerste lid, genoemde betrokken instanties eveneens niet tot extra regeldruk. Als gevolg van
dit wetsvoorstel is daarentegen sprake van een beperkte afname van de
regeldruk. In het kader van de uitvoering van hun wettelijke taken
beschikken de betrokken instanties reeds over de (persoons)gegevens
waarover het in dit wetsvoorstel gaat. Het wetsvoorstel maakt het
mogelijk dat de samenwerking tussen betrokken instanties en de
uitwisseling van (persoons)gegevens die daarbij noodzakelijk is, efficiënter en zorgvuldig kan plaatsvinden. De knelpunten in de huidige
samenwerking, zoals beschreven in paragraaf 2.2, worden weggenomen.
Het belang bij het verrijken van signalen en het verstrekken daarvan aan
de geëigende instantie(s), weegt voor betrokken instanties overigens ook
op tegen de regeldrukgevolgen die voortvloeien uit de verplichting tot het
verstrekken van (persoons)gegevens.
Daarnaast dienen betrokken instanties kennis te nemen van de inhoud van
dit wetsvoorstel. De daarmee gemoeide kennisnamekosten zijn echter
vanwege de geringe omvang van het voorstel en de beperkte doelgroep
verwaarloosbaar.
Het Adviescollege toetsing regeldruk heeft VWS laten weten de analyse
en beschrijving van de gevolgen voor de regeldruk te delen.
8. Consultatie en advies
8.1 Uitvoeringstoetsen
Van 7 juni 2018 tot 6 juli 2018 hebben de IGJ, de Inspectie SZW, de
rijksbelastingdienst, de SVB, de VNG, de NZa en ZN de gelegenheid
gekregen om de uitvoerbaarheid van het wetsvoorstel te toetsen. De
uitkomsten van deze toetsen zijn hierna samengevat, waarbij is
opgenomen wat met de uitkomsten al dan niet is gedaan in dit
wetsvoorstel en de memorie van toelichting. Instanties hebben kenbaar
gemaakt de doelstelling van het wetsvoorstel te steunen.
Inspectie Gezondheidszorg en Jeugd
De IGJ stelt voor het wetsvoorstel aan te passen en mogelijk te maken dat
IGJ ten behoeve van de aanpak van zorgverwaarlozing, gegevens van het
IKZ mag ontvangen. In lijn daarmee suggereert de IGJ ook de doelbeschrijving in het wetsvoorstel aan te passen. De suggestie van de IGJ
wordt niet overgenomen. Het doel van de wet en de rechtvaardiging van

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

40

de uitwisseling van (persoons)gegevens, is bestrijding van fraude in de
zorg. Indien fraude in de zorg gepaard gaat met (mogelijke) zorgverwaarlozing en daarom zo met elkaar is verweven dat het niet los van elkaar kan
worden gezien, kan de IGJ als betrokken instantie informatie ontvangen
van het IKZ. Daarvoor voorziet deze wet reeds in een grondslag.
Daarnaast heeft de IGJ opgemerkt dat een in alle gevallen verplichte
doorbreking van het voor de IGJ afgeleide medisch beroepsgeheim niet
proportioneel is en dat de afweging om gegevens te leveren aan het IKZ,
bij de leverende instantie moet blijven. Het wetsvoorstel is aangepast en
in de wet is uitgesloten gegevens uit te wisselen waar het medisch
beroepsgeheim op rust.
Rijksbelastingdienst
De rijksbelastingdienst heeft een voorbehoud gemaakt voor mogelijke
uitvoeringsgevolgen, waaronder kosten, invoeringsdatum en doorlooptijden. De rijksbelastingdienst wordt betrokken bij het traject om de amvb
op te stellen en wordt ook in de gelegenheid gesteld om de amvb op
uitvoerbaarheid te toetsen. In nadere afstemming is ten aanzien van
gegevens waarover de FIOD beschikt, nog aan de orde gekomen dat dit
politiegegevens betreft en dat gelet daarop het Besluit politiegegevens
(Bpg) moet worden aangepast. VWS start het traject de Bpg op dit punt
aan te passen, hetgeen ook nodig is voor de verwerking van gegevens van de Inspectie SZW. Ten aanzien van de FIOD heeft
de rijksbelastingdienst nog ingebracht dat verstrekking van gegevens
plaatsvindt onder voorbehoud van instemming van het OM.
Zorgverzekeraars Nederland
ZN heeft opgemerkt dat er geen rekening is gehouden met de transitie
van AWBZ naar Wlz, waardoor het wetsvoorstel nu geen grondslag biedt
om gegevens uit de AWBZ-periode uit te wisselen. Dat is correct en dit is
ongewijzigd gebleven. De reden hiervoor is de lange tijd die is verstreken
tussen het einde van de AWBZ (per 1 januari 2015) en het moment van
inwerkingtreding van onderhavige wet. Het wordt niet reëel geacht dat er
na inwerkingtreding van de wet nog een gerechtvaardigde overtuiging
ontstaat dat er voor 1 januari 2015 is gefraudeerd. ZN heeft ten aanzien
van het Waarschuwingsregister de kanttekening geplaatst dat aangifte een
te hoge drempel is als criterium voor registratie. In het wetsvoorstel is de
voorwaarde voor registratie in een centraal registratiesysteem, zoals het
Waarschuwingsregister, gewijzigd. Er moet conform een protocol sprake
zijn van een gerechtvaardigde overtuiging van fraude. Of in een concreet
geval aangifte gedaan moet worden, wordt in deze wet niet geregeld. Dit
is aan het strafrecht en beleid van betrokken instanties. ZN heeft verzocht
in artikel 2.1, tweede lid, «uit eigen beweging», te vervangen door «op
verzoek van». Partijen zijn echter verplicht tot het verstrekken van
(persoons)gegevens in het geval een gerechtvaardigde overtuiging van
fraude bestaat. Daarom is de term «uit eigen beweging» geschrapt, de
wettekst aangepast en de suggestie van ZN niet overgenomen. Ook heeft
ZN verzocht het opzeggen van de basisverzekering toe te voegen als
mogelijke maatregel. De wet regelt niets omtrent de te treffen maatregelen. In de memorie van toelichting zijn ter duiding enkele voorbeelden
genoemd. Dit is niet uitputtende bedoeld en derhalve wordt het door ZN
genoemde voorbeeld niet opgenomen. Ook heeft ZN verzocht in de
toelichting iets op te nemen over de verantwoordelijkheid van het IKZ,
bijvoorbeeld bij fouten of een datalek. De verantwoordelijkheid in het
geval van bijvoorbeeld een inbreuk in verband met persoonsgegevens
(een datalek) volgt de bepalingen uit de AVG. Een en ander is toegelicht in
de memorie van toelichting. Ten slotte heeft ZN opgemerkt dat het ook tot
de taak van Wlz-uitvoerders en zorgverzekeraars behoort contractpartijen

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

41

te toetsen op integriteit of fraudeverleden. ZN vraagt of er een instrument
(register) komt waarmee het verleden getoetst kan worden. Voor zover
met deze reactie wordt gedoeld op een mogelijkheid met terugwerkende
kracht alsnog gevallen van (gerechtvaardigde overtuiging van) fraude uit
het verleden in een centraal registratiesysteem op te nemen, moet deze
vraag ontkennend worden beantwoord.
Inspectie SZW
De Inspectie SZW geeft in de uitvoeringstoets aan dat de Wpg een lex
specialis is dat een gesloten verstrekkingenregime kent. Het Bpg zal
daarom aangepast moeten worden. Dit is correct en VWS start het traject
de Bpg op dit punt aan te passen, hetgeen ook nodig is voor de
verwerking van gegevens van de FIOD. De Inspectie SZW merkt in de
uitvoeringstoets op dat eventuele financiële consequenties zullen worden
getoetst naar aanleiding van de amvb.
Sociale Verzekeringsbank
De SVB heeft voorgesteld in artikel 2.3, tweede lid, het «voorkomen van
fraude» op te nemen. Onder het woord bestrijden moet mede het
voorkomen begrepen worden. Dit blijkt ook voldoende duidelijk uit de
(gewijzigde) memorie van toelichting. De SVB verzoekt op te nemen dat
de SVB alleen een signalerende rol heeft en geen handhavende taak. In de
gewijzigde memorie van toelichting komen de rollen niet meer zodanig
aan de orde. Overigens wordt in deze wet niets geregeld over de
wettelijke taken van de betrokken instanties, anders dan het IKZ. De SVB
merkt op dat het geen medische gegevens mag ontvangen als onderdeel
van een verrijkt signaal. Het wetsvoorstel creëert een wettelijke grondslag
voor het uitwisselen van persoonsgegevens, waaronder gegevens over
gezondheid. In de amvb worden de gegevenssets bepaald en daarbij
wordt ook geregeld wat aan instanties wordt verstrekt door het IKZ.
Daarbij kan worden gedifferentieerd. Er worden overigens zonder
toestemming van de betrokkene geen gegevens verstrekt waarop een
medisch beroepsgeheim rust. De SVB heeft een tekstvoorstel gedaan om
in artikel 2.3 eerste lid de woorden «in dit lid genoemde instanties» toe te
voegen. Dit tekstvoorstel is overgenomen. De SVB heeft voorgesteld een
apart artikel op te nemen met daarin de taakomschrijving van het IKZ. De
artikelen 2.3, 2.4 en 2.6 bevatten de taken van het IKZ. Dit zal bij of
krachtens amvb nader worden uitgewerkt. De SVB heeft ook verzocht bij
de totstandkoming van de amvb de vraag mee te nemen of het IKZ bij een
informatieverzoek aan de SVB ook zal vragen om aanvullende documentatie. Bij amvb wordt geregeld welke gegevens worden uitgewisseld.
Documentatie is daarvan een onderdeel. De SVB is conform de door hen
uitgesproken wens daartoe betrokken in het traject om de amvb op te
stellen en het project voor proces- en systeeminrichting. Het Ministerie
van SZW, in de hoedanigheid van eigenaar van de SVB, stemt in met het
wetsvoorstel mits wordt voldaan aan de randvoorwaarden zoals voorgesteld door de SVB.
NZa
De NZa merkt op dat een wettelijke basis lijkt te ontbreken voor instanties
om gegevens te verstrekken ten behoeve van de tweede taak van het IKZ,
onderzoek en analyse. Ook is volgens de NZa onvoldoende duidelijk in
welke gevallen de verstrekte gegevens worden gebruikt voor die taak. Het
wetsvoorstel creëert een grondslag voor instanties om (persoons)gegevens te verstrekken aan het IKZ ten behoeve van de eerste taak, het
verwerken en verstrekken van gegevens ten behoeve van bestrijding van
fraude in de zorg. In het wetsvoorstel is ook een grondslag voor het IKZ

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

42

opgenomen om deze gegevens te verwerken ten behoeve van de tweede
taak. Dit komt in de memorie van toelichting nader aan de orde. De NZa
merkt op dat de in het wetsvoorstel gehanteerde definitie van fraude in de
zorg een beperking is voor de uitoefening van haar toezichttaken, omdat
de NZa ook toeziet op overtreding van de regels zonder dat sprake is van
opzet of misleiding. Zoals hiervoor aan de orde kwam, wordt in deze wet
niets geregeld over de (uitvoering van) wettelijke taken van de betrokken
instanties anders dan het IKZ. Het wetsvoorstel heeft ook niet tot doel een
wettelijke grondslag te creëren voor gegevensverwerking in het geval van
niet opzettelijke overtreding van de regels, zoals bij fouten. De reeds
bestaande mogelijkheden daartoe worden overigens ook niet door
onderhavige wet beperkt. De NZa heeft verzocht de verhouding tussen het
Waarschuwingsregister en het IKZ verder te verduidelijken. Beide
onderdelen zijn in de gewijzigde memorie van toelichting nader
beschreven, waarbij ook de onderlinge verhouding verder verduidelijkt is.
Voor een effectieve uitvoering van fraudebestrijding is het naar het
oordeel van de NZa noodzakelijk dat ook het BSN kan worden uitgewisseld. In de amvb worden de gegevenssets bepaald die op basis van de
met dit wetsvoorstel gecreëerde grondslag voor gegevensverwerking
worden verstrekt.
VNG
De VNG heeft verzocht in het wetsvoorstel een criterium op te nemen
voor het verstrekken van signalen aan het IKZ. In het wetsvoorstel is
opgenomen dat instanties signalen moeten verstrekken indien die
noodzakelijk zijn voor de bestrijding van fraude in de zorg. In de memorie
van toelichting is inzichtelijk gemaakt hoe het EVRM en de AVG het kader
vormen voor de uitwisseling van persoonsgegevens. In de amvb wordt
een en ander ook nader uitgewerkt. Voor gemeenten is het niet praktisch
een (rechts)persoon te registreren in het Waarschuwingsregister als er
nog geen onherroepelijke veroordeling is. Gemeenten willen dat er sterke
elementen worden benoemd, zodat registratie niet vrijblijvend is. In het
gewijzigde wetsvoorstel worden (persoons)gegevens in het geval van de
gerechtvaardigde overtuiging van fraude in de zorg enkel verstrekt als
deze overtuiging conform een protocol is verkregen en verstrekking van
die gegevens noodzakelijk is voor de bestrijding van die fraude. In de
amvb en het op te stellen protocol wordt hier nadere invulling aan
gegeven. De VNG verzoekt duidelijk te maken dat het verplicht is signalen
te verstrekken aan het IKZ. In het wetsvoorstel en de memorie van
toelichting is duidelijk gemaakt dat het verstrekken van signalen door
instanties aan het IKZ, en andersom, een verplichting is voor zover het
noodzakelijk is voor de bestrijding van fraude in de zorg en past binnen
het kader van het EVRM en de AVG. De VNG vraagt zich af of het
noodzakelijk is om een grondslag in de wet op te nemen voor het
verwerken van medische gegevens (persoonsgegevens over gezondheid).
Het enkele feit dat iemand zorg ontvangt, is al een persoonsgegeven over
gezondheid. Dit persoonsgegeven kan onderdeel uitmaken van een
signaal en daarom is een grondslag nodig voor het verwerken van deze
gegevens. De VNG stelt voor om in het wetsvoorstel op te nemen dat de
persoon bij de gemeente die de gegevens van het IKZ kan ontvangen,
enkel een door het college van B&W aangewezen en aangestelde
ambtenaar kan zijn. Dit betreft een interne aangelegenheid van elke van
de betrokken instanties. De kaders hiervoor worden gevormd door dit
wetsvoorstel, de amvb en de AVG. De VNG heeft verzocht aan artikel 2.4,
eerste lid, toe te voegen dat het om niet herleidbare gegevens gaat.
Omdat nieuwe fenomenen beter in beeld kunnen worden gebracht als
bijvoorbeeld duidelijk is om welke zorgaanbieder(s) het gaat en in welke
regio en welk domein deze zorgaanbieder actief is, is het onder omstandigheden noodzakelijk (persoons)gegevens te verwerken. Het onderdeel

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

43

onderzoek en analyse heeft daarom een grondslag nodig om deze
gegevens te verwerken. Overigens is in het wetsvoorstel opgenomen dat
de uitkomsten van onderzoek en analyse nooit persoonsgegevens
bevatten. De VNG heeft evenals ZN opgemerkt dat voor het Waarschuwingsregister een grondslag ontbreekt om gegevens in verband met
fraude onder de AWBZ uit te wisselen. Dat is correct en dit is ongewijzigd
gebleven. De reden hiervoor is de lange tijd die is verstreken tussen het
einde van de AWBZ (per 1 januari 2015) en het moment van inwerkingtreding van onderhavige wet. Het wordt niet reëel geacht dat er na
inwerkingtreding van de wet nog een gerechtvaardigde overtuiging
ontstaat dat er voor 1 januari 2015 is gefraudeerd. De VNG heeft voorgesteld om ten aanzien van het IKZ ook berichtenverkeer met het IB op te
nemen. Dit voorstel is overgenomen. Met deze wet is een wettelijke
grondslag en taak voor het IB gecreëerd, met een specifieke rol in de
gegevensuitwisseling tussen gemeenten en het IKZ in het kader van deze
wet. De VNG heeft opgemerkt dat nu enkel de Wlz is opgenomen in het
wetsvoorstel en dat de Wmo 2015 en Jw moeten worden toegevoegd. In
artikel 1.1 is het college omschreven als het college van burgemeesters en
wethouders als bedoeld in artikel 5, onderdeel c, van de Gemeentewet.
Het college is uitvoerder van de Wmo 2015 en de Jw en daarmee is dit
afdoende geregeld. De VNG acht het van belang te benadrukken dat ook
bestuursrechtelijke sancties mogelijk zijn en niet alle zaken die in het
Waarschuwingsregister worden opgenomen, strafrechtelijk moeten
worden afgedaan. Het wetsvoorstel regelt niets over de toezichts- en
handhavingsmogelijkheden. In de memorie van toelichting staan ter
illustratie een aantal voorbeelden van maatregelen genoemd. Ten aanzien
van het Waarschuwingsregister heeft de VNG de vraag gesteld op welk
niveau (rechtspersoon, directeur, bestuurder) geregistreerd wordt. In een
centraal registratiesysteem zoals het Waarschuwingsregister kunnen ook
natuurlijke personen geregistreerd worden. Een en ander wordt nader
uitgewerkt in de amvb en het op te stellen protocol. Er moet een gerechtvaardigde overtuiging van fraude jegens de te registreren (rechts)persoon
bestaan. Ook heeft de VNG ten aanzien van het Waarschuwingsregister
aangegeven dat gemeenten nadere concretisering wensen van de
informatieplicht richting betrokkenen, bewaartermijnen en criteria. In de
gewijzigde memorie van toelichting wordt hier aandacht aan besteed en
dit wordt nader geregeld bij of krachtens amvb en in het op te stellen
protocol. De VNG heeft in de reactie een aantal opmerkingen opgenomen
die buiten het kader van dit wetsvoorstel vallen en daarop wordt hier
derhalve niet ingegaan.
8.2 Voorafgaande raadpleging Autoriteit persoonsgegevens
Conform artikel 36, vierde lid, AVG is de AP geraadpleegd over het
wetsvoorstel. In het advies, waarin de AP zich beperkt tot dat deel van het
wetsvoorstel dat gaat over de verwerking van persoonsgegevens, erkent
de AP op zichzelf het algemene belang dat is gemoeid met de bestrijding
van fraude in de zorg. De evenredigheid tussen het wetsvoorstel en de
nagestreefde doelstelling was volgens de AP echter nog onvoldoende
aangetoond in de consultatieversie van het wetsvoorstel. Daarbij merkt de
AP op dat geen zicht bestaat op de werkelijke omvang van het probleem.
In hoofdstuk 2 van de gewijzigde memorie van toelichting is de noodzaak
tot deze wetgeving en het zwaarwegende algemeen belang dat daarmee
wordt gediend, uitgewerkt en toegelicht. Met name in hoofdstuk 5 van de
gewijzigde memorie van toelichting is vervolgens nader ingegaan op de
gemaakte afweging voor de inbreuk op de privacy van betrokkenen en de
bij gegevenswerking gegeven waarborgen. Op deze onderdelen is ook in
hoofdstukken 3 en 4 ingegaan voor zover het specifiek de daarin aan de
orde komende onderdelen van deze wet betrof (paragrafen 3.5 en 4.6). In
die hoofdstukken is eveneens aandacht besteed aan de rechtsbescher-

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

44

ming (paragrafen 3.4 en 4.5). Mede naar aanleiding van de reactie van de
AP ten aanzien van de rechten van betrokkenen, is het wetsvoorstel en de
memorie van toelichting aangepast. Hier wordt volstaan naar deze
onderdelen van de memorie van toelichting te verwijzen.
De duiding van het begrip fraude in de zorg is mede naar aanleiding van
de reactie van de AP gewijzigd in de onderhavige versie van de memorie
van toelichting. Ten aanzien van de verwerking van gegevens over
gezondheid (art. 9 AVG), heeft de AP erop gewezen dat geen categorische
uitzondering op het verwerkingsverbod moet worden gemaakt. Er moet
specifiek bepaald zijn welke gegevens het betreft. Zoals in artikel 1.2 is
bepaald, worden geen gegevens verwerkt waarop een medisch beroepsgeheim rust. Hierdoor rest er nog slechts een beperkte hoeveelheid
gegevens over gezondheid die wel verwerkt zouden kunnen worden. De
gegevenssets zijn nader bepaald in de amvb. Wat betreft het geval van
gegevensuitwisseling in het kader van een gerechtvaardigde overtuiging
van fraude, mogen binnen die sets slechts de gegevensworden gedeeld
die duidelijk maken in welk domein de zorg wordt geleverd. Een en ander
is duidelijker opgenomen dan in de consultatieversie.
Ten aanzien van het (voorgenomen) Waarschuwingsregister, heeft de AP
gesteld dat de impact van een registratie in een dergelijk systeem groot is
en dat niet is gebleken van overwegingen ten aanzien van de kwaliteit of
inhoud van de aangifte die nodig is voor registratie. Mede naar aanleiding
van het advies van de AP en in afstemming met betrokken instanties is het
wetsvoorstel en de memorie van toelichting gewijzigd. Als voorwaarde
voor de verwerking van (persoons)gegevens in het geval van een
gerechtvaardigde overtuiging van fraude in de zorg, bijvoorbeeld door
middel van registratie in het Waarschuwingsregister, wordt niet langer het
criterium van het doen van aangifte gehanteerd. De (persoons)gegevens
moeten worden verstrekt indien conform een protocol, met in de amvb
nader bepaalde voorwaarden en waarborgen, een gerechtvaardigde
overtuiging van fraude in de zorg is ontstaan. Een strafrechtelijke
veroordeling afwachten voordat voornoemde verwerking plaatsvindt,
zoals het AP heeft gesuggereerd, is geen optie. Gelet op de tijd die het
kost voordat die fase in een dossier wordt bereikt, zou deze aanpak niet
doeltreffend zijn. De AP heeft opgemerkt dat misbruik door betrokken
instanties niet valt uit te sluiten. In de onderhavige memorie van
toelichting is mede naar aanleiding van de uitkomst van de uitgevoerde
fraudetoets, waarin de risico’s op en impact van mogelijke fraude zijn
beoordeeld, nader aandacht besteed aan de toelichting op de rechtsbescherming en waarborgen. Die onderdelen zijn veelal in andere wetgeving
geregeld en zijn meegenomen in de opzet van dit wetsvoorstel. De
verwachting is dat de kans op fraude met deze op het bestrijden van
fraude in de zorg gerichte wet, nihil is en dat mede door de gegeven
waarborgen de gevolgen van een mogelijke fraude minimaal zijn.
Ten aanzien van het onderdeel van deze wet dat gaat over het IKZ, stelt de
AP dat het ontbreekt aan duidelijke waarborgen bij signaalverwerking
door het IKZ. Ook heeft het bezwaren tegen de verhouding van het
wetsvoorstel ten opzichte van de rechten van betrokkenen op grond van
de AVG en de noodzaak van verwerking van gegevens over gezondheid.
In reactie daarop wordt hier verwezen naar hetgeen daarover eerder in
deze paragraaf is geschreven en hetgeen in paragraaf 4.6 en hoofdstuk 5
van de gewijzigde memorie van toelichting is opgenomen. In de consultatieversie staat volgens het AP ten onrechte dat het verwerken van
persoonsgegevens door het IKZ geen gevolgen heeft voor de betrokkene.
Mede naar aanleiding van deze reactie is op dit aspect de formulering van
de memorie van toelichting gewijzigd.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

45

8.3 Consultatie brancheorganisaties en internetconsultatie
Diverse brancheorganisaties en individuele personen hebben gereageerd
op het ontwerp wetsvoorstel, al dan niet via de internetconsultatie (7 juni
2018 tot en met 5 juli 2018).22 Er zijn in totaal zeven reacties op het
wetsvoorstel binnengekomen. Hierna wordt op de belangrijkste punten
ingegaan waarbij wordt beschreven tot welke wijzigingen in het
wetsvoorstel deze punten hebben geleid.
Meerdere brancheorganisaties hebben aangegeven dat de wet het
mogelijk maakt dat het medisch beroepsgeheim wordt doorbroken. Dit
zou een disproportionele inbreuk zijn en het zou zelfs de vrije toegang tot
de gezondheidszorg kunnen belemmeren. De regering deelt deze zorgen
en mede gelet op de voornoemde reacties, is het in deze wet uitgesloten
om gegevens uit te wisselen waar het medisch beroepsgeheim op rust.
Een ander punt dat tijdens de internetconsultatie door meerdere brancheorganisaties is ingebracht, is het ontbreken van een definitie van het
begrip fraude in de zorg. De regering heeft er eerder voor gekozen om het
begrip niet te definiëren, omdat het begrip fraude in geen enkele andere
wet is gedefinieerd en het een breed begrip is. In de versie van de
internetconsultatie was al wel een paragraaf in de memorie van toelichting opgenomen waarin werd toegelicht wat in deze wet onder fraude in
de zorg wordt verstaan. Deze paragraaf is mede naar aanleiding van de
reacties van partijen gewijzigd. Daarmee is voldoende duiding gegeven
aan het begrip.
Daarnaast hebben reagerende partijen gevraagd aan te geven wanneer
een (rechts)persoon uit het Waarschuwingsregister wordt verwijderd,
bijvoorbeeld als blijkt dat het OM van strafvervolging afziet, hoe rectificatie van onterecht verstrekte signalen is geregeld, welke middelen
openstaan als verwerking van persoonsgegevens onrechtmatig is en de
informatievoorziening ten behoeve van betrokkenen van wie gegevens
worden verwerkt. Samengevat gaat het om rechtsbescherming en
waarborgen bij gegevensverwerking. Met betrekking tot het Waarschuwingsregister is het wetsvoorstel gewijzigd. Daarbij is de voorwaarde
waaronder een registratie in een dergelijk centraal registratiesysteem
mogelijk is, gewijzigd. Dat heeft ook gevolgen gehad voor de bepaling
omtrent verwijdering van de (persoons)gegevens. Voor een nader
toelichting verwijst de regering naar paragraaf 3.3, 3.4 en 3.5 van deze
memorie van toelichting, waar respectievelijk op de voorwaarden voor
verstrekking en verwijderen van (persoons)gegevens, rechtsbescherming
en waarborgen bij gegevensverwerking wordt ingegaan. Met betrekking
tot het IKZ is in paragrafen 4.5 en 4.6 is toegelicht hoe de rechtsbescherming en de waarborgen bij gegevensverwerking zijn ingericht. Ook
ten aanzien hiervan wordt een en ander nader uitgewerkt in de amvb. Hier
wordt volstaan met op te merken dat de AVG in beginsel het kader vormt
voor de waarborgen en de rechtsbescherming in het geval van onrechtmatige verwerking van persoonsgegevens. Ook het algemeen bestuursrecht en het civielrecht spelen een rol. De memorie van toelichting is op
voornoemde aspecten nader uitgewerkt ten opzichte van de consultatieversie.
In meerdere reacties is gesteld dat de omvang van fraude in de zorg te
beperkt is om dit wetsvoorstel te rechtvaardigen. Zoals in de consultatieversie en in de gewijzigde memorie van toelichting is toegelicht, is de
(onderbouwde) inschatting dat de werkelijke omvang van fraude in de
zorg vele malen groter is dan wat nu in beeld is. Daarmee zijn de nadelige
22

Waaronder KNMG, KNMT en, in een gezamenlijke reactie, VGN, Actiz en GGZ.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

46

gevolgen voor zorgbehoevenden en de maatschappij ook groter dan dat
nu in beeld is. Hoewel de gevolgen van fraude in de zorg nog lang niet
volledig in beeld zijn, staat vast dat de persoonlijke gevolgen voor
zorgbehoevenden ontoelaatbaar zijn en dat elke euro die verloren gaat
aan fraude in de zorg er één te veel is. De toegenomen aandacht voor het
probleem en de intensievere samenwerking heeft ertoe geleid, dat de
noodzaak tot aanpak van fraude in de zorg en hetgeen nodig is voor een
effectieve bestrijding ervan stap voor stap beter in beeld zijn en dat de
aanpak verbetert. Met onderhavige wet wordt een grote volgende stap in
die verbetering gezet. Daarmee is dit wetsvoorstel gerechtvaardigd.
Tot slot is er een gegevensbeschermingseffectbeoordeling uitgevoerd en
daarop wordt in hoofdstuk 6 van de memorie van toelichting ingegaan.
8.4 Algemene Rekenkamer
Op grond van artikel 7.40 van de Comptabiliteitswet 2016, heeft overleg
plaatsgevonden met de Algemene Rekenkamer (AR) over het voornemen
tot oprichten van de stichting IKZ. Daarin heeft de AR enkele aandachtspunten naar voren gebracht. Deze punten zien op de uitwerking van
verantwoording en toezicht en de benodigde waarborgen voor de
inrichting en sturing van het IKZ. Wanneer de uitvoering van wettelijke
taken in handen is van een organisatie buiten de rijksoverheid, brengt dit
met zich mee dat de Minister hierop toezicht moet houden. Mede naar
aanleiding van deze aandachtspunten, is in artikel 2.7, onderdeel h, van de
wet een delegatiegrondslag opgenomen. In de amvb zullen regels worden
gesteld met betrekking tot het de inrichting en het beheer van en
verantwoording door het IKZ. Ingevolge onderdeel i van voornoemd
artikel worden nadere regels gesteld over de financiering van en
financiële verslaglegging door het IKZ. Een ander aandachtspunt betreft
het in de wet opnemen van (minimale) waarborgen die getroffen moeten
worden rondom de instelling die als IKZ wordt aangewezen, bijvoorbeeld
ten aanzien van de onafhankelijke positie. In artikel 2.7, onderdeel j, van
de wet is mede gelet daarop een delegatiegrondslag opgenomen en in de
amvb worden op grond daarvan nadere regels opgenomen over de
aanwijzing van het IKZ en daaraan verbonden voorschriften. Zoals in
paragraaf 4.2 van deze memorie van toelichting aan de orde kwam, zal
door VWS een stichting worden opgericht. Bij de oprichting van de
stichting zullen de onafhankelijke positie van de stichting en andere
waarborgen in acht worden genomen in de oprichtingsstatuten. Tot slot
heeft de AR het belang benadrukt dat als een instelling wettelijk wordt
belast met de uitvoering van een publieke taak vooraf duidelijk is geregeld
hoe de taakuitvoering (structureel) wordt bekostigd. Zoals hiervoor reeds
genoemd, worden ten aanzien van de financiering eveneens nadere regels
gesteld in de amvb. De denken valt aan regels over verantwoording.
9. Financiële gevolgen voor het Rijk
9.1 Gegevensuitwisseling bij gerechtvaardigde overtuiging van fraude
De verplichting tot verstrekking van (persoons)gegevens in het geval van
een gerechtvaardigde overtuiging van fraude, brengt geen financiële
gevolgen voor het Rijk met zich mee. Voor de betrokken instanties zal het
wel financiële gevolgen hebben, waarbij gedacht moet worden aan de
inrichting van de organisatie.
Indirect zijn er wel financiële gevolgen voor het Rijk. Ten aanzien van het
door betrokken instanties beoogde centrale registratiesysteem, het
Waarschuwingsregister, zal VWS de initiële kosten dragen die worden
gemaakt in het kader van de ontwikkeling van de elektronische infra-

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

47

structuur en de implementatie bij individuele deelnemers (gemeenten en
ziektekostenverzekeraars). In dit kader heeft VWS in 2017 en 2018 in totaal
voor ongeveer € 100.000,– aan projectsubsidies verstrekt aan de VNG ten
behoeve van projectbegeleiding en (het voorbereiden van de) implementatie. Daarnaast is een projectsubsidie van ongeveer € 225.000,– verstrekt
aan ZN voor de technische realisatie van het Waarschuwingsregister. VWS
heeft hiermee een financiële impuls gegeven om de ontwikkeling en
ingebruikname van het Waarschuwingsregister mogelijk te maken. Er
vloeien voor VWS geen structurele kosten voort uit de komst van het
Waarschuwingsregister. Als het systeem eenmaal is ontwikkeld en
geïmplementeerd, zijn de instanties zelf verantwoordelijk voor de
financiering van structurele kosten voor beheer, onderhoud en doorontwikkeling van het systeem. Deze kosten worden gelijkelijk verdeeld tussen
enerzijds gemeenten en anderzijds ziektekostenverzekeraars. De
ingeschatte beheerskosten zijn € 100.000,– per jaar, gelijkelijk te verdelen
tussen de VNG en ZN.
9.2 Het IKZ
Dit onderdeel van wetsvoorstel heeft financiële gevolgen voor VWS en de
betrokken instanties. De uitvoeringskosten van het samenwerkingsverband IKZ worden grotendeels door het VWS gefinancierd en de
werkzaamheden worden deels «om niet» verricht door de betrokken
instanties. Dit wetsvoorstel brengt hier geen verandering in. Ook in de
toekomst zal VWS bijdragen aan de financiering van het IKZ. Wel kan de
implementatie van dit wetsvoorstel voor de betrokken instanties bepaalde
kosten met zich meebrengen. Berekend is dat de Stichting IKZ structureel
maximaal € 3 miljoen per jaar kost. VWS financiert alle structurele kosten
van het IKZ. Dat is naast alle incidentele kosten die betrekking hebben op
de oprichting van de Stichting IKZ, die eveneens door VWS worden
gedragen. VWS financiert deze kosten van het IKZ onder voorwaarden en
verwacht commitment van alle betrokken instanties op het niet-financiële
vlak. VWS verleent in 2018 en 2019 in totaal circa € 500.000,– subsidie aan
de VNG voor ondersteuning van de aansluiting bij het IKZ en het leveren
van gemeentelijke expertise aan het IKZ.
9.3 Het IB
Voor wat betreft het GGK, ten behoeve van de uitvoering van de Wmo
2015 en de Jw, geldt dat het IB momenteel vanuit de gemeenten wordt
gefinancierd. Er wordt nu bezien of de financiële stromen ten aanzien van
het IB anders moet worden vormgegeven.
Artikelsgewijs
Artikel 1.1
In artikel 1.1 wordt een aantal begrippen gedefinieerd. Voor wat betreft de
aldaar omschreven instanties is aangesloten bij de reeds bestaande
begripsomschrijving in andere wetten.
Voorheen bestonden er geen wettelijke definities van het begrip fraude,
juist omdat fraude vele verschijningsvormen kent. Deze begripsomschrijving is dan ook slechts bedoeld om ten behoeve van de rechtszekerheid vast te leggen wat daar in het normale spraakgebruik mee
bedoeld wordt en dus niet om in te kaderen wat hier in andere wetten
mee bedoeld wordt. In paragraaf 2.1 van het algemene deel van deze
toelichting wordt uitgebreid ingegaan op het begrip «fraude in de zorg».
Voorts is het IKZ omschreven als een door Onze Minister aangewezen
instelling. Het IKZ is een partij die in artikel 2.3 en verder diverse wettelijke
taken krijgt toebedeeld. Bij regeling wijst Onze Minister het IKZ als

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

48

instelling aan die deze taken uitvoert. De taken die het IKZ in deze wet
worden toebedeeld staan allemaal in het licht van de bestrijding van
fraude in de zorg.
Tot slot zijn in de begripsomschrijving enkele termen opgenomen uit de
AVG en UAVG ten behoeve van de leesbaarheid van de teksten.
Artikel 1.2
Op grond van deze bepaling wordt geregeld dat de in deze wet opgenomen grondslagen voor verstrekking en verwerking van gegevens over
gezondheid, niet zover strekken dat ook gegevens over gezondheid waar
het medisch beroepsgeheim op rust hieronder worden begrepen. Diverse
instanties hebben op grond van reeds geldende wettelijke taken de
bevoegdheid om gegevens te verwerken waar het medisch beroepsgeheim op rust. Echter, gezien de gevoeligheid van een verdere
doorbreking van het beroepsgeheim en het ontbreken van een dwingende
noodzaak daartoe, is besloten dat deze gegevens binnen deze wet en
onderliggende regelgeving niet kunnen worden verwerkt.
Artikel 2.1 en artikel 2.2
Gezien de onderlinge verwevenheid worden artikel 2.1 en bijbehorende
delegatiegrondslag in artikel 2.2 hier gezamenlijk toegelicht.
In deze artikelen wordt de onderlinge uitwisseling van gegevens geregeld
omtrent (rechts)personen ten aanzien van wie door gemeenten en
ziektekostenverzekeraars de gerechtvaardigde overtuiging bestaat dat zij
fraude hebben gepleegd binnen de Jw, Wlz, Wmo 2015 of Zvw.
Zoals toegelicht in paragraaf 3.3 van het algemeen deel van de toelichting
zullen gemeenten en ziektekostenverzekeraars pas overgaan tot verstrekking van de (persoons)gegevens indien zij overeenkomstig een door hen
gezamenlijk op te stellen protocol tot de gerechtvaardigde overtuiging zijn
gekomen dat er sprake is van fraude in de zorg. Het protocol dient ertoe
om op een eenduidige wijze en met passende waarborgen uitvoering te
geven aan de wet. Dit protocol dient door instanties te worden voorgelegd
aan de AP en vervolgens goedgekeurd te worden door Onze Minister. De
toetsing door de AP en de vereiste goedkeuring door Onze Minister
dienen ertoe dat, naast de inhoudelijke eisen die worden gesteld bij of
krachtens amvb, voldoende waarborgen bestaan dat de verwerking van
(persoons)gegevens op een passende en zorgvuldige wijze plaatsvindt.
Dit alles is bedoeld om te borgen dat de in het protocol voorgestelde
werkwijze en verwerking van gegevens overeenstemmen met eisen
gesteld in de AVG.
In het algemeen deel van de toelichting is reeds in paragraaf 1.2 toegelicht
dat het wetsvoorstel zoveel mogelijk techniekonafhankelijk is opgesteld.
Beoogd is een onderlinge uitwisseling van (persoons)gegevens mogelijk
te maken en niet om een bepaald systeem van uitwisseling voor te
schrijven. In het algemeen deel van de toelichting wordt toegelicht dat
momenteel wordt gedacht aan een centraal systeem waarin gegevens
worden verwerkt, te weten een Waarschuwingsregister. Echter, gezien de
technologische ontwikkelingen is op wetsniveau de ruimte gelaten om
een andere elektronische voorziening te creëren dan een Waarschuwingsregister. Gedacht kan worden aan een systeem met ontsluiting vanuit de
bron waarbij er geen centrale omgeving is waar gegevens worden
opgeslagen. Daarom wordt in desbetreffend artikel ook niet gesproken
over het Waarschuwingsregister of op een andere wijze geduid hoe de
uitwisseling technische plaatsvindt.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

49

Het doel van deze onderlinge uitwisseling van gegevens is dat de
genoemde instanties op deze manier elkaar op de hoogte brengen van
(rechts)personen ten aanzien van wie de gerechtvaardigde overtuiging
bestaat dat zij hebben gefraudeerd, zodat de andere instanties voor de
andere domeinen eventueel maatregelen kunnen nemen om fraude van
diezelfde (rechts)persoon te voorkomen. In het algemeen deel van de
toelichting is onder andere in paragraaf 3.1 nader toegelicht waarom een
dergelijke uitwisseling noodzakelijk wordt geacht. In artikel 2.1 wordt
gesproken over natuurlijke personen en rechtspersonen, omdat fraude
kan worden gepleegd door zowel zorgbehoevenden als zorgaanbieders. In
het geval van zorgaanbieder kan het dus gaan om een rechtspersoon die
fraude heeft gepleegd en mogelijk binnen een ander domein ook fraude
pleegt (of gaat plegen).
Bij amvb zullen de gegevens worden bepaald die de hiervoor genoemde
instanties met elkaar uitwisselen, zodat op een effectieve wijze een
bijdrage kan worden geleverd aan de bestrijding van fraude in de zorg.
Voorzien wordt dat het in ieder geval gaat om identificerende gegevens
zoals naam, adres en woonplaats, en bij rechtspersonen ook het nummer
van inschrijving in de kamer van koophandel.
In het derde lid van artikel 2.1 wordt geregeld dat de instanties die
gegevens ontvangen, deze vervolgens ook mogen verwerken ten behoeve
van de bestrijding van fraude zoals dit in het eerste lid van voornoemd
artikel is omschreven. Hiermee wordt concreet beoogd dat instanties
nagaan of de gemelde (rechts)persoon binnen hun domein ook actief is en
indien dat het geval is kunnen ze bijvoorbeeld een extra controle uitvoeren. Dit artikellid biedt dus geen grondslag voor verdere verwerking van
gegevens voor allerlei andere (opsporings)doeleinden.
In het vierde lid van artikel 2.1 is opgenomen dat de onderlinge verstrekking, als bedoeld in het eerste lid van dat artikel, dient te worden
beëindigd als niet langer een gerechtvaardigde overtuiging van fraude in
de zorg bestaat. De gegevens dienen op dat moment vanzelfsprekend te
worden verwijderd. Een voorbeeld waaraan gedacht kan worden is als
desbetreffende instantie in een casus een bestuurlijke boete oplegt en bij
een gerechtelijke procedure alsnog onverhoopt blijkt dat de instantie het
bij het verkeerde eind had of onvoldoende bewijs had ten aanzien van de
vermoede fraude.
Op grond van het eerste lid van artikel 2.2 zullen bij of krachtens amvb
eisen worden gesteld aan het op te stellen protocol. Voorzien wordt dat
deze eisen in ieder geval zien op waarborgen voor een veilige uitwisseling
van gegevens, op een veilige wijze omgaan met gegevens, maar ook
zaken als hoe men komt tot een gerechtvaardigde overtuiging, alsmede
wanneer er vice versa onverhoopt geen sprake meer is van een gerechtvaardigde overtuiging. In de amvb zullen dus randvoorwaarden worden
opgenomen waaraan het protocol in ieder geval dient te voldoen. Op die
manier wordt voorkomen dat zowel wet als amvb al te gedetailleerde
regels stellen als het gaat om organisatorische en technische aspecten die
te gedetailleerd zijn en te veel aan verandering onderhevig zijn. Anderzijds
wordt dus, mede gezien het belang van een zorgvuldige gegevensverwerking, de uitwerking van het protocol gebonden aan randvoorwaarden.
Met het oog op de passende waarborgen die op grond van artikel 9 en 10
van de AVG moeten worden gesteld, wordt voorts geregeld dat bij of
krachtens amvb regels worden gesteld met betrekking tot de beveiliging
van gegevens. Voorts zullen regels worden gesteld rondom de wijze
waarop goedkeuring van de Minister dient te geschieden en welke
voorschriften hieraan kunnen worden verbonden. Hierbij kan bijvoorbeeld
worden gedacht aan meer procedurele of administratieve waarborgen

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

50

rondom het zorgvuldig doen voorleggen van het protocol aan Onze
Minister.
Ten aanzien van de bewaartermijn en hoe de uitoefening van de rechten
van betrokkenen kan worden geborgd en wie waar verantwoordelijk voor
is, zullen op grond van het tweede lid van artikel 2.2 regels worden
gesteld bij amvb. Deze onderdelen betreffen namelijk onderwerpen die de
rechtsbescherming van burgers raken en omwille van de mogelijke
ingrijpendheid van deze onderdelen is ervoor gekozen om deze onderwerpen alleen nader uit te werken op het niveau van amvb.
Artikel 2.3
In het eerste lid worden de instanties aangewezen die de bij amvb
aangewezen gegevens aan het IKZ verstrekken. Daarbij gaat het om zowel
het verstrekken van een signaal als het verstrekken van (nadere) gegevens
(mede door de andere betrokken instanties), welke noodzakelijk zijn voor
de verrijking van het signaal door het IKZ. De hier genoemde instanties
hebben allen een taak of belang bij de bestrijding van fraude in de zorg of
kunnen hierin een rol spelen. Zoals beschreven in paragraaf 4.3 van het
algemeen deel van de toelichting zullen signalen van fraude door de
genoemde instanties aan het IKZ worden verstrekt. De verplichting voor
het verstrekken van gegevens zal in de praktijk ook zien op het aanleveren
van gegevens ten behoeve van de verrijking van ontvangen signalen door
het IKZ. Deze set met gegevens wordt bij of krachtens amvb bepaald.
Daarbij is ten aanzien van de verstrekking van gegevens door bijzondere
opsporingsdiensten, te weten politiegegevens, toegevoegd dat
verstrekking van politiegegevens geschiedt op grond van en met
inachtneming van de Wpg. Dit heeft te maken met het gesloten regime
van verstrekking dat op grond van de Wpg geldt voor politiegegevens.
In het tweede lid worden enkele andere openbare bronnen toegevoegd
waaruit het IKZ gegevens kan putten ten behoeve van de verrijking van
het signaal. Dit zijn het handelsregister en stukken die zorgaanbieders
enjeugdhulpaanbieders openbaar moeten maken op grond van de Wet
marktordening gezondheidszorg, respectievelijk de Jeugdwet, gezamenlijk
ook bekend als de Jaarverantwoording Zorg en Jeugd. De in het eerste en
tweede lid genoemde bronnen geven ook de grenzen aan van de
bevoegdheden van het IKZ. Het legaliteitsbeginsel vereist immers dat elke
publiekrechtelijke bevoegdheid een wettelijke grondslag heeft. Het IKZ is
daarom in de taak van het verrijken van gegevens zonder nadere
grondslag ook niet vrij om openbare bronnen te raadplegen.
In het derde lid staat de taak van het IKZ beschreven, namelijk dat zij op
basis van de door instanties verstrekte en uit andere bronnen opgehaalde
gegevens een ontvangen signaal verrijkt. Het gaat er in dezen om dat een
instantie een signaal verstrekt en dat het IKZ vervolgens nagaat of er
daartoe noodzakelijke andere informatie bij andere instanties of in andere
bronnen beschikbaar is. Nadat zij een signaal heeft verrijkt met informatie,
verstrekt het IKZ dit verrijkte signaal alleen aan een of meerdere instanties
voor wie dit noodzakelijk is in het kader van de bestrijding van fraude in
de zorg. Dit betreft de geëigende instantie(s). Het noodzakelijkheidsaspect
is in het eerste, tweede en derde lid leidend. Er worden geen gegevens
ontsloten noch verwerkt die niet noodzakelijk zijn voor de bestrijding van
fraude in de zorg. Er zullen alleen gegevens in het verrijkte signaal worden
opgenomen die noodzakelijk zijn voor de ontvangende instantie. Het is
dus ook niet zo dat per definitie álle gegevens die zijn ontvangen van
instanties over een signaal worden verstrekt aan de geëigende instantie.
Er dient altijd een weging plaats te vinden of verstrekking van gegevens
noodzakelijk is. Het zal per ontvangen instantie en per signaal verschillend

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

51

zijn welke gegevens noodzakelijk zijn voor een goede uitoefening van de
taak die op die instantie rust.
Met betrekking tot gegevens die het IKZ heeft ontvangen van de Inspectie
SZW en de rijksbelastingdienst, waaronder begrepen de FIOD, geldt dat
het verrijkte signaal in beginsel geen fiscale gegevens en politiegegevens
bevat als de geëigende instantie een ziektekostenverzekeraar betreft. Deze
beide type gegevens worden slechts door het IKZ verstrekt aan ziektekostenverzekeraars als wordt voldaan aan bij algemene maatregel van
bestuur te stellen regels. Randvoorwaarde hierbij zal zijn dat verstrekking
van fiscale gegevens alleen plaatsvindt nadat daartoe toestemming is
verleend door de rijksbelastingdienst. Ten aanzien van politiegegevens,
als onderdeel van een verrijkt signaal, geldt dat verstrekking daarvan door
het IKZ aan geëigende instanties geschiedt met inachtneming van de
Wpg.
In het vierde lid is de bevoegdheid opgenomen om de bij amvb aangewezen nadere gegevens met de genoemde instanties uit te wisselen,
zodat het IKZ de juiste instantie(s) kan voorzien van een verrijkt signaal.
Het IKZ heeft namelijk tot taak het verrijkte signaal aan de instantie te
verstrekken die daadwerkelijk iets met het signaal kan, hierbij valt te
denken aan de bevoegdheid om binnen het desbetreffende zorgdomein,
gemeentegrens of regio toezichts- of opsporingsbevoegdheden in te
zetten. Dit hoeft niet per definitie de instantie te zijn die het signaal van
fraude oorspronkelijk bij het IKZ heeft ingebracht. Bovendien kan er
relevantie zijn voor meerdere instanties. Derhalve is het noodzakelijk dat
er een bevoegdheid bestaat dat het IKZ en betrokken instanties in contact
kunnen treden over deze gerichte verstrekking. Dan kan de situatie zich
voordoen dat er, voortvloeiend uit dit contact, persoonsgegevens mee zijn
gemoeid. Dit zal bijvoorbeeld het geval zijn als tijdens de afstemming een
deel van de casus (het verrijkte signaal) moet worden gedeeld.
Het vijfde lid regelt dat de in het eerste lid genoemde partijen de
gegevens die zij ontvangen verder mogen verwerken overeenkomstig het
doel waartoe zij de gegevens hebben ontvangen. Hiermee wordt in ieder
geval bedoeld dat zij de ontvangen gegevens mogen gebruiken voor het
noodzakelijke toezicht en opsporing die zij willen inzetten naar aanleiding
van een ontvangen verrijkt signaal.
In het zesde en zevende lid wordt specifiek voor de verstrekking van
persoonsgegevens door en aan gemeenten als bedoeld in het eerste tot
en met het derde lid geregeld, dat dit gebeurt door tussenkomst van het
IB. Zoals toegelicht in paragraaf 4.8 heeft het IB een digitale infrastructuur
waarmee zij ten behoeve van gemeenten ook de gegevensverwerking in
de Wmo 2015 en Jw verricht. De voorziene uitwisseling van gegevens
aangaande de Wmo 2015 en de Jw met het IKZ zal dan ook moeten
plaatsvinden door tussenkomst van het IB. Het IB is voor deze verwerking
verwerkingsverantwoordelijke en daarom dient bij wet een expliciete
grondslag te worden opgenomen voor de verwerking van persoonsgegevens. In paragraaf 4.8 van het algemeen deel is toegelicht wat de
verwerking door het IB inhoudt, namelijk het zijn van de koppeling tussen
gemeenten enerzijds en het IKZ anderzijds. Er vindt bij het IB dus geen
verrijking van gegevens plaats. Voorts wordt opgemerkt dat door
toevoeging van deze bevoegdheid voor het IB ook een bevoegdheid in de
systematiek voor de Wmo 2015 en Jw is ingepast. Dit is uitgewerkt in
hoofdstuk 3 van het wetsvoorstel en is in paragraaf 4.8 van het algemeen
deel van de toelichting en hieronder onder «Hoofdstuk 3» nader toegelicht.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

52

Artikel 2.4
In het eerste lid van dit artikel staat de taak van het IKZ beschreven trends
en ontwikkelingen op het terrein van fraude in de zorg te signaleren en
monitoren. Hiervoor kunnen de persoonsgegevens die zijn verkregen bij
de verwerking, bedoeld in artikel 2.3, indien noodzakelijk worden
verwerkt. Het tweede en derde lid bepalen dat deze signalering verstrekt
wordt aan de betrokken instanties en Onze Minister. Hoewel verwerking
van persoonsgegevens mogelijkerwijs wel noodzakelijk is om te komen
tot deze signalering, is het niet beoogd dat de signalering zelf persoonsgegevens bevat. Dit geldt eveneens voor gegevens over individuele
rechtspersonen, de signalering zal niet herleidbaar zijn tot individuele
rechtspersonen.
Met betrekking tot de verstrekking kunnen tussen het IKZ en instanties
afspraken worden gemaakt. Met betrekking tot de rapportage aan Onze
Minister kunnen indien noodzakelijk specifiek nadere regels worden
gesteld over de verstrekking en termijn van verstrekking.
Artikel 2.5
Artikel 2.4 geeft de grondslag voor de taak «onderzoek en analyse» van
het IKZ zoals beschreven in pararaaf 4.3 van het algemeen deel van de
toelichting. De termen analyse, alsmede het signaleren van trends en
ontwikkelingen kunnen het beeld schetsen dat hier toch op enige wijze
sprake is van profilering. Ten overvloede wordt daarom door middel van
dit artikel duidelijk gemaakt dat het IKZ bij verwerking van persoonsgegevens als bedoeld in artikel 2.4, eerste lid, geen gebruik maakt van het
instrument profilering.
Voor een uitgebreidere toelichting op het onderwerp profilering wordt
verwezen naar paragraaf 4.3 van het algemeen deel van de toelichting
waarbij bij de taak «onderzoek en analyse» een en ander nader wordt
uitgelegd over de inhoud van deze taak en het onderscheid met profilering
Artikel 2.6
Voor de verwerking van deze persoonsgegevens zal een digitale infrastructuur worden gecreëerd. Bij of krachtens amvb worden hier nadere
regels over gesteld. Artikel 2.7 biedt hiertoe een delegatiegrondslag.
Artikel 2.7
Om de verstrekking en verwerking als bedoeld in de artikelen 2.3, 2.4 en
2.6 met behulp van elektronische voorzieningen zo goed mogelijk te
borgen, worden bij algemene maatregel van bestuur nadere regels
gesteld. Die regels hebben betrekking op een aantal zaken, die hieronder
worden benoemd en toegelicht. Het samenspel aan regels dient het doel
van een zorgvuldige verstrekking en verwerking van (persoons)gegevens
door het IKZ én de instanties. De reden voor het stellen van de regels bij
algemene maatregel van bestuur is dat al de voornoemde onderwerpen
dusdanig specifiek en technisch van aard zijn, dat wordt voorzien dat hier
door de tijd veranderingen in kunnen optreden. Bijvoorbeeld als het gaat
om beveiligingsnormen of verantwoordingsvereisten. Ditzelfde geldt
overigens voor artikel 2.3, eerste lid, waarin is bepaald dat bij amvb wordt
bepaald welke gegevens worden verstrekt. De reden hiervan is dat dit
dusdanig specifiek van aard is, dat hier met enige regelmaat een
(beperkte) aanpassing in wordt voorzien.

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

53

Het eerste lid betreft onderwerpen die bij of krachtens amvb kunnen
worden vastgesteld. Voorzien wordt dat elementen een technisch of
administratief karakter zullen hebben. Het tweede lid betreft onderwerpen
die de rechtsbescherming van burgers raken en omwille van de mogelijke
ingrijpendheid van deze onderdelen is ervoor gekozen om deze onderwerpen alleen nader uit te werken op het niveau van amvb.
Het eerste lid, onderdeel a, ziet op de wijze waarop de instanties het
signaal en vervolgens de voor verrijking noodzakelijke gegevens aan het
IKZ verstrekken. Het is de bedoeling dat de uitwisseling van gegevens
tussen het IKZ en de instanties in beginsel digitaal plaatsvindt. Dit hangt
nauw samen met de elektronische voorzieningen als bedoeld in artikel 2.6
die het IKZ in stand moet houden voor (onder meer) de uitwisseling van
gegevens. Deze regels hebben verder nauwe samenhang met de regels
over de beveiliging van gegevens (onderdeel g).
Onderdeel b ziet op een omschrijving van de benodigde aanleiding voor
verstrekking van het signaal aan het IKZ. Dit biedt de instanties
handvatten voor het vaststellen van de gevallen waarin zij een signaal
moeten afgeven aan het IKZ. Het signaal vormt het startpunt van een
proces van verwerking en verstrekking van (persoons)gegevens door het
IKZ en (geëigende) instanties en daarover dient dan ook zoveel mogelijk
helderheid te bestaan. Teneinde te bewerkstelligen dat instanties komen
tot het zorgvuldig verstrekken van signalen en daarbij een eenduidige lijn
aanhouden, moet voor deze instanties duidelijk zijn in welke situaties zij
welke (soort) gegevens moeten verstrekken aan het IKZ. Het gaat derhalve
om het zoveel mogelijk definiëren en inkaderen van de situaties waarin
signalen worden verstrekt aan het informatieknooppunt. Hierbij zijn
aspecten als noodzakelijkheid en proportionaliteit leidend, maar overeenkomstig de AVG-beginselen zullen bijvoorbeeld ook kwaliteitseisen
worden gesteld alvorens kan worden overgegaan tot verstrekking van een
signaal aan het IKZ. Het behoeft geen nadere uitleg dat het risico op een
onjuiste of onzorgvuldige verstrekking van signalen door instanties aan
het IKZ zoveel mogelijk moet worden beperkt. Deze eisen zullen ook
nauwe samenhang hebben met de regels rondom de wijze van
verstrekking (onderdeel a) en beveiligingseisen (onderdeel g).
Onderdeel c ziet op de gevallen waarin en de voorwaarden waaronder de
instanties de door het IKZ gevraagde (nadere) gegevens ten behoeve van
de verrijking van een signaal verstrekken aan het IKZ, alsook op de aard
van de gegevens die worden verstrekt.
Onderdeel d ziet op de inrichting en de vormgeving van de werkprocessen
van het IKZ, waarbij met betrekking tot de verwerking van gegevens ten
behoeve van de verrijking van ontvangen signalen, aandacht wordt
besteed aan de aard en herkomst van de te verwerken gegevens, de wijze
van verwerking en de criteria voor de inhoudelijke beoordeling in de
verschillende fasen van verwerking. Die inhoudelijke beoordeling heeft
betrekking op de twee «beslismomenten» van het IKZ. In de eerste plaats
of een door het IKZ ontvangen signaal aanleiding vormt voor verrijking
daarvan, en dus noodzaak geeft voor het verstrekken van nadere
gegevens door (bepaalde) instanties. In de tweede plaats of het resultaat
van de verwerking, het verrijkte signaal, noodzakelijk is voor een of meer
betrokken instanties ten aanzien van de bestrijding van fraude in de zorg
in het kader van de aan die instanties opgedragen wettelijke taken. Dit
heeft nauwe samenhang met onderdeel e.
Onderdeel e ziet op de wijze waarop, de gevallen waarin en de
voorwaarden waaronder het IKZ het resultaat van de verwerking, oftewel
het verrijkte signaal, verstrekt aan de geëigende instantie(s), alsook op de

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

54

aard van de gegevens die worden verstrekt. Zie voor wat betreft de wijze
van verstrekking verder de toelichting op onderdeel a. Ten aanzien van de
verstrekking van fiscale gegevens en politiegegevens door het IKZ aan
ziektekostenverzekeraars is reeds bij de toelichting op artikel 2.3, tweede
lid, toegelicht dat dit niet geschiedt, behoudens de op grond van de bij
algemene maatregel van bestuur te stellen voorwaarden. Dit artikelonderdeel voorziet in de grondslag om deze regels te stellen.
Onderdeel f ziet op de beveiliging van de gegevens die worden verstrekt
en verwerkt. Onderdeel g ziet op de inrichting, het beheer en de beveiliging van de elektronische voorzieningen voor de uitwisseling van de
gegevens tussen het IKZ en de instanties en de verwerking van de
gegevens door het IKZ.
Onderdeel h ziet op de inrichting en het beheer van en de verantwoording
door het IKZ. Daaronder wordt begrepen dat het IKZ het jaarplan,
waaronder ook wordt verstaan de begroting, het werkprogramma en de
beleidsvoornemens, voorlegt aan Onze Minister en hierbij regels worden
gesteld rondom de vaststelling en daarmee goedkeuring van het jaarplan.
Hiermee krijgt Onze Minister de dwingende mogelijkheid om vooraf en
niet slechts achteraf kennis te nemen van de inzet van het IKZ en hierop
tijdig te acteren. Dit sluit aan bij de ministeriële verantwoordelijkheid voor
een goede uitvoering van deze wet. Daarbij worden ook regels gesteld
rondom de bevoegdheid voor Onze Minister om, indien nodig, ten
aanzien van het jaarplan aanwijzingen te geven. Hiermee wordt uiteraard
niet gedoeld op het geven van een aanwijzing van bestuursrechtelijke
aard, maar een inspraakbevoegdheid ten aanzien van de inhoud van het
jaarplan. Het ligt in de rede dat hier gezien de positionering van het IKZ
terughoudend mee zal worden omgegaan. De nadere regels met
betrekking tot verantwoording achteraf, zullen onder meer een jaarlijkse
verantwoording over het gevoerde beleid inhouden.
Onderdeel i ziet op de financiering van en de financiële verslaglegging
door het IKZ. Onderdeel j ziet op de aanwijzing van het IKZ en de daaraan
verbonden voorwaarden, waarbij kan worden gedacht aan vereisten
waaraan de instelling heeft te voldoen. Deze regels zullen in het verlengde
liggen van de op grond van dit artikel te stellen regels rondom het IKZ en
bijbehorende gegevensuitwisseling.
Het tweede lid onderdeel a ziet op de bewaartermijn van de verwerkte
persoonsgegevens. En tot slot ziet onderdeel b van het tweede lid op de
borging van en verantwoordelijkheid voor de uitoefening van de rechten
van betrokkenen. Zoals aan het begin van deze artikelsgewijze toelichting
aangegeven raken deze onderwerpen de rechtsbescherming van burgers.
Om die reden is ervoor gekozen om de delegatiegrondslag voor deze
onderdelen te beperken tot het niveau van amvb.
Artikel 2.8
Artikel 2.8, eerste lid, regelt de geheimhoudingsverplichting voor alle
instanties die op grond van deze wet inlichtingen of gegevens ontvangen
over natuurlijke personen dan wel rechtspersonen en deze verder willen
verwerken dan op grond van deze wet is bepaald. Ten overvloede wordt
daarbij opgemerkt dat indien gegevens op grond van bijvoorbeeld artikel
2.3 zijn ontvangen, deze gegevens zondermeer mogen worden verwerkt
voor het doel waar zij voor zijn ontvangen, namelijk het bestrijden van
fraude in de zorg door deze instanties (mede) op basis van deze gegevens.
Dit kan bestaan uit het inzetten van toezicht- of opsporingsinstrumenten
door de ontvangende toezichthouder of opsporingsinstantie. Overtreding
van deze geheimhoudingsverplichting betekent een onrechtmatige

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

55

verwerking van persoonsgegevens. Overeenkomstig de AVG en Uitvoeringswet AVG wordt hierop in algemene zin toezicht gehouden en bij
overtreding gehandhaafd door de AP. Voorts kan op overtreding van de
geheimhoudingsplicht ingevolge artikel 272 van het Wetboek van
Strafrecht een gevangenisstraf of een geldboete volgen.
Op grond van het tweede lid kan de in het eerste lid beschreven geheimhoudingsplicht worden doorbroken. Het kan daarbij gaan om wettelijke
voorschriften die bijvoorbeeld expliciet een verplichting tot verstrekking
van gegevens bepalen of als gegevens niet te herleiden zijn tot een
natuurlijk persoon of rechtspersoon. Dit kan voorkomen als de ontvangen
gegevens dermate abstract of geaggregeerd zijn dat ze niet tot individueel
niveau zijn terug te leiden.
Hoofdstuk 3
Tevens worden door middel van dit wetsvoorstel ook de Wmo 2015 en Jw
aangepast. Deze wijzigingen zien enkel op het creëren van de wettelijke
bevoegdheid voor het IB voor de verwerking van persoonsgegevens ten
behoeve van gemeenten in de Wmo 2015 en Jw en, als van die bevoegdheid gebruikt wordt gemaakt, de verwerkingsverantwoordelijkheid van het
IB voor de toebedeelde taak of taken. Daarbij is direct aangesloten bij de
bestaande verwerkings- en verstrekkingsgrondslagen die gemeenten in
beide wetten hebben. Het IB vervult nu reeds taken daarin, maar zoals
toegelicht in paragraaf 4.8 dient het IB voor uitoefening van deze taken
niet verwerker, maar verwerkingsverantwoordelijke te zijn. Tevens is, in
aansluiting op de bestaande praktijk en noodzakelijk voor het vervullen
van de uitwisseling ten behoeve van gemeenten, ook aangesloten bij de
bestaande grondslag voor gemeenten om bij deze uitwisseling het BSN te
mogen verwerken. Dit is nader toegelicht in paragraaf 4.8. Wil het IB in de
dienstverlening richting gemeenten voldoende aan kunnen sluiten op de
werkwijze van gemeenten, dan is de bevoegdheid om het BSN te mogen
verwerken noodzakelijk om de benodigde koppelingen te maken. Tot slot
is ten aanzien van de Wmo 2015 het IB ook toegevoegd aan de bestaande
grondslagen met nadere uitwerking rondom de rechten van betrokkenen,
waarbij alleen een uitzondering is gemaakt (ten opzichte van gemeenten)
in artikel 5.2.9, tweede lid, van de Wmo 2015. De reden hiervan is dat op
geen enkele wijze wordt voorzien dat het IB in direct contact komt met de
betrokkene en om die reden het BSN niet zal vaststellen. Gezien de rol van
het IB zal deze vaststelling van het BSN reeds door de gemeente zijn
verricht in het contact met de burger.
De Minister van Volksgezondheid, Welzijn en Sport,
H.M de Jonge

Tweede Kamer, vergaderjaar 2019–2020, 35 515, nr. 3

56