GDPR en het verwerken van gezondheidsgegevens in private

GDPR en het verwerken van gezondheidsgegevens in private ziekteverzekeringen Nele Stroobants, Instituut voor Verzekeringsrecht KU Leuven Colloquium DCCR 23 mei 2019

Definitie gezondheidsgegevens • Artikel 4, (15) GDPR • “persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven” • Overweging 35 GDPR • Verduidelijking door WP 29 met betrekking tot gezondheidsapps (“m. Health”) • Gegevens die inherent en duidelijk medische data zijn; • Onbewerkte sensorgegevens die op zichzelf gebruikt kunnen worden, of in combinatie met andere gegevens waarop conclusies met betrekking tot iemands gezondheid of gezondheidsrisico worden gebaseerd; • Conclusies met betrekking tot iemands gezondheid of gezondheidsrisico (onafhankelijk van het feit of deze conclusies accuraat of inaccuraat, legitiem of illegtiem of adequaat of inadequaat zijn) 2 Instituut voor Verzekeringsrecht, KU Leuven

Verwerkingsgronden • Gezondheidsgegevens behoren tot “bijzondere categorieën van persoonsgegevens” • Artikel 9, 1 GDPR: verwerking in principe verboden • Artikel 9, 2 GDPR: 10 mogelijke uitzonderingen 3 Instituut voor Verzekeringsrecht, KU Leuven

Verwerkingsgronden gezondheidsgegevens in private ziekteverzekeringen • Vier uitzonderingen van 9, 2 GDPR komen mogelijks in aanmerking • Uitdrukkelijke toestemming (artikel 9, 2 a) GDPR) • Noodzakelijkheid om redenen van zwaarwegend algemeen belang (artikel 9, 2 g) GDPR) • Noodzakelijkheid voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van arbeidsongeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en –diensten of sociale stelsels en diensten (artikel 9, 2 h) GDPR) • Noodzakelijkheid om redenen van algemeen belang op het gebied van de volksgezondheid (artikel 9, 2 i) GDPR) 4 Instituut voor Verzekeringsrecht, KU Leuven

Uitdrukkelijke toestemming • Cumulatieve voorwaarden voor geldige toestemming (artikel 4 (11) GDPR) • Vrij • Specifiek • Geïnformeerd • Ondubbelzinnig • Bijkomende voorwaarde voor bijzondere categorieën van persoonsgegevens (artikel 9, 2 a) GDPR) • Uitdrukkelijk 5 Instituut voor Verzekeringsrecht, KU Leuven

Uitdrukkelijke toestemming (artikel 9, 2 a) GDPR) • Mogelijke knelpunten bij “uitdrukkelijke toestemming” bij verzekeringen • Is toestemming wel “vrij” gegeven? • Nadelige gevolgen? • Wanverhouding? • Koppeling/conditionaliteit ? • “Uitdrukkelijke toestemming” bij verzekering voor rekening • Recht om toestemming te allen tijde in te trekken • Periodieke vernieuwing van toestemming 6 Instituut voor Verzekeringsrecht, KU Leuven

Noodzakelijkheid voor redenen van zwaarwegend algemeen belang (artikel 9, 2 g) GDPR) • Cumulatieve voorwaarden: • Een rechtsgrond in Unierecht of lidstatelijk recht • De verwerking is noodzakelijk • De aanwezigheid van redenen van zwaarwegend algemeen belang • Het evenwicht met het nagestreefde doel wordt gewaarborgd • Er worden passende en specifieke waarborgen getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene • Ook verwerkingsgrond voor geautomatiseerde individuele besluitvorming, waaronder profilering 7 Instituut voor Verzekeringsrecht, KU Leuven

Noodzakelijkheid voor redenen van zwaarwegend algemeen belang (artikel 9, 2 g) GDPR) • Geen definitie van “redenen van zwaarwegend algemeen belang” • Overweging 52, tweede zin GDPR: “in een dergelijke afwijking kan worden voorzien voor gezondheidsdoeleinden, zoals de volksgezondheid en het beheer van gezondheidszorgdiensten, met name om de kwaliteit en de kostenefficiëntie te waarborgen van de procedures voor de afwikkeling van aanvragen voor uitkeringen en diensten in het kader van de ziektekostenverzekering” • Omzetting artikel 9, 2 g) GPDR in lidstaten Aanzienlijke bron van ongelijkheid tussen lidstaten 8 Instituut voor Verzekeringsrecht, KU Leuven

Artikel 9, 2 h) GDPR • Cumulatieve voorwaarden: • De verwerking is noodzakelijk • Voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en – diensten of sociale stelsels en diensten • Een rechtsgrond in Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker • Door een beroepsbeoefenaar die aan het beroepsgeheim gehouden is, of door een andere persoon die tot geheimhouding is gehouden 9 Instituut voor Verzekeringsrecht, KU Leuven

Artikel 9, 2 h) GDPR • Restrictieve interpretatie van artikel 8, 3 Richtlijn Gegevensbescherming: NIET terugbetalingen van kosten door de sociale zekerheid of ziekteverzekering en het afhandelen van schadeclaims • Geen definitie van “Gezondheidszorg of sociale diensten” en “Het beheren van gezondheidszorgstelsels en –diensten of sociale stelsels en diensten” • Overweging 53 GDPR: “het waarborgen van de continuïteit van de gezondheidszorg of de sociale diensten” 10 Instituut voor Verzekeringsrecht, KU Leuven

Artikel 9, 2 h) GDPR • Omzetting artikel 9, 2 h) GDPR in Nederland • Amendement nr. 7 bij Wetsontwerp betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens • Commissie voor Verzekeringen 11 Instituut voor Verzekeringsrecht, KU Leuven

Artikel 9, 2 i) GDPR • Cumulatieve voorwaarden: • De verwerking is noodzakelijk • Redenen van algemeen belang op het gebied van de volksgezondheid • Een rechtsgrond in Unierecht of lidstatelijk recht • Passende en specifieke maatregelen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim 12 Instituut voor Verzekeringsrecht, KU Leuven

Artikel 9, 2 i) GDPR • Definitie “Volksgezondheid” overeenkomstig Verordening nr. 1338/2008 betreffende communautaire statistieken over de volksgezondheid en de gezondheid en veiligheid op het werk • “De uitgaven voor en de financiering van de gezondheidszorg” • Overweging 54 GDPR: “dergelijke verwerking van persoonsgegevens over gezondheid om redenen van algemeen belang mag er niet toe leiden dat persoonsgegevens door derden zoals werkgevers, of verzekeringsmaatschappijen en banken voor andere doeleinden worden verwerkt” 13 Instituut voor Verzekeringsrecht, KU Leuven

Slotbeschouwing • Knelpunten en interpretatieproblemen met betrekking tot alle mogelijke verwerkingsgronden • Nood aan oplossing • Verschillende invulling in de lidstaten bemoeilijkt vrij verkeer van diensten • Ziekteverzekeringen – andere verzekeringen 14 Instituut voor Verzekeringsrecht, KU Leuven

Dank voor uw aandacht! Vragen?