Algemeen
De Regeling strekt ertoe om ziektekostenverzekeraars te verplichten om op grond van de artikelen 62 en 68 van de Wet marktordening gezondheidszorg (Wmg) periodiek declaratiegegevens aan te leveren, al dan niet met tussenkomst van Vektis, bij de Nederlandse Zorgautoriteit (NZa). Het is de NZa op grond van de Wmg en de bijhorende Regeling categorieën persoonsgegevens (Rcp WMG) toegestaan om deze declaratiegegevens betreffende zorgconsumenten te verwerken ten behoeve van (een groot deel van) haar wettelijke taken.
De declaratiesets bestaan uit informatie-elementen die, op zichzelf dan wel in gezamenlijkheid bezien, aan te merken zijn als bijzondere (medische) persoonsgegevens. De informatie-elementen geven onder meer inzicht in welke zorg een zorgaanbieder heeft gedeclareerd in relatie tot een specifieke diagnose en tegen welk tarief. Daarmee houden deze elementen verband met de fysieke en/of mentale gezondheid van zorgconsumenten. In bijlage 1 behorend bij de Regeling is een volledig overzicht van informatie-elementen te vinden die de NZa opvraagt bij ziektekostenverzekeraars middels de voorliggende Regeling.
Hoe de NZa declaratiegegevens verkrijgt
De gegevens die de NZa middels de voorliggende Regeling opvraagt bij ziektekostenverzekeraars, worden (voor een groot deel) door die ziektekostenverzekeraars verkregen van zorgaanbieders, zoals via ingediende declaraties. Het aanleverproces aan de NZa kent twee stromen. In de eerste stroom leveren de ziektekostenverzekeraars informatie aan bij de NZa via ZorgTTP, een zogeheten trusted third party, die de gegevens ontdoet van direct herleidbare persoonsgegevens en gegevens pseudonimiseert. De tweede stroom bevat géén direct herleidbare gegevens en pseudonimiseren is daarom ook niet nodig. Om die reden wordt deze stroom niet aangeleverd met tussenkomst van ZorgTTP.
Persoonsgegevens niet direct herleidbaar tot personen
Doordat de gegevens in de declaratiesets ontdaan zijn van direct herleidbare gegevens en/of deze gegevens gepseudonimiseerd zijn, weet de NZa niet op wie de declaratiegegevens betrekking hebben. De declaratiesets bevatten dus geen namen, BSN, volledige woonadressen of andere gegevens die direct tot zorgconsumenten herleidbaar zijn. De NZa ontvangt in plaats daarvan de vier cijfers van de postcode van de cliënt, het geboortejaar en het geboortekwartaal. Voor het overige zijn de gegevens vervangen door een pseudoniem. Dit is een code van letters en/of cijfers. Deze code wordt toegekend door ZorgTTP. Het is niet mogelijk om deze code weer om te zetten naar gegevens die weer herleidbaar zijn naar de identiteit van een betrokkene.
Wettelijke taken van de NZa
De NZa zet zich iedere dag in om de zorg toegankelijk en betaalbaar te houden, voor iedereen in Nederland. Om deze en andere wettelijke taken uit te voeren, verwerkt de NZa declaratiegegevens. De wettelijke taken vinden hun grondslag in de Wmg. Zo gebruikt de NZa deze gegevens bijvoorbeeld om regels op te stellen over de bekostiging van zorg, om wachttijden terug te dringen, om in de gaten houden of zorgverzekeraars zich houden aan hun wettelijke zorgplicht, en om te controleren of zorgaanbieders de declaratieregels volgen om misbruik van zorggeld door fraude op te sporen. De belangrijkste wettelijke taken waarvoor de NZa de declaratiegegevens verwerkt, worden hieronder nader uiteengezet en gespecificeerd.
a. Prestatie- en tariefregulering/marktontwikkeling (artikel 16 Wmg)
Een belangrijke taak van de NZa is de regulering van de zorg. Voor de NZa prestatie- en tariefregulering zijn de declaratiegegevens van belang voor onder andere de volgende doeleinden:
- Marktontwikkelingen monitoren en beoordelen of en waar beleidswijzigingen nodig zijn.
- Aanpassingen in de productstructuur/bekostiging simuleren als gevolg van beoogde wijzigingen en deze verwerken in de regelgeving (en tarieven voor de prestaties in de gereguleerde segmenten).
- Bepalen van de financiële impact op macroniveau van beoogde wijzigingen in de bekostiging.
- De effecten van uitgevoerde wijzigingen evalueren.
b. Marktonderzoek (artikel 32 en 33 Wmg)
Een deel van deze wettelijke taken omvat marktonderzoek, bijvoorbeeld in het kader van een doorontwikkeling van onze bekostiging, een kostenonderzoek of om een advies uit te brengen. Verder kan worden gedacht aan het inzicht geven in de ontwikkeling van een bepaalde zorgsector (monitoring), de marktwerking of toegankelijkheid van zorg.
c. Toezicht (artikel 16, 16a Wmg)
Een andere belangrijke wettelijke taak van de NZa is het toezicht op de zorg. Onderscheid kan worden gemaakt tussen markttoezicht en nalevingstoezicht. De declaratiegegevens worden gebruikt binnen het nalevingstoezicht. Het doel van dit toezicht wordt beschreven als het houden van toezicht op de naleving van regels. Concreet worden de declaratiegegevens gebruikt in het toezicht op de naleving van de verplichtingen uit de Wmg inzake de administratie, registratie en declaratie van tarieven en prestaties en de verplichtingen uit regelgeving die de NZa heeft opgesteld op grond van haar bevoegdheden in de Wmg.
d. Vaststelling van bijdrage en vereffeningen (artikel 56a en 56b Wmg)
Onder de wettelijke taken van de NZa valt het toekennen van een beschikbaarheidbijdrage ten behoeve van het beschikbaar houden van bij algemene maatregel van bestuur aangewezen vormen van zorg. Onder deze beschikbaarheidbijdrage valt bijvoorbeeld de beschikbaarheidbijdrage academische zorg (BBAZ). De NZa gebruikt de declaratiegegevens om topreferente cliënten te kunnen identificeren. Hiervoor is een systematiek ontwikkeld die op basis van specifieke cliëntkenmerken zoals behandeling en zorgzwaarte als topreferent worden gelabeld. Op basis van het aantal topreferente cliënten ontvangt een instelling vanaf een drempelwaarde hier per cliënt subsidie voor.
De zorgautoriteit kan ook een vereffeningbedrag vaststellen ten behoeve van het vereffenen van in rekening gebrachte zorg, betrekking hebbend op een door de NZa bepaalde periode. Dit zien we bijvoorbeeld bij de vaststelling van de budgetten voor de bijzondere tandheelkunde instellingen, de instellingen voor de jeugdtandverzorging, de ambulancezorg en de acute psychiatrische hulpverlening.
e. Verdeling budgettair kader zorg Wlz (artikel 49e Wmg)
Op grond van artikel 49e, tweede lid, Wmg verdeelt de NZa het door de minister van VWS vastgestelde bedrag dat landelijk beschikbaar is voor het verlenen van zorg in natura voor de langdurige zorg. Dit bedrag wordt verdeeld over de zorgkantoren/Wlz-uitvoerders ten behoeve van de zorginkoop voor de cliënten in de regio (zorg in natura en persoonsgebonden budget). Bij het maken van de verdeling past de NZa een model toe waarvoor de declaratiegegevens gebruikt worden.
Alleen als het echt niet anders kan en niet meer dan nodig
De NZa verwerkt de declaratiegegevens alleen als dit noodzakelijk, proportioneel en subsidiair is, oftewel alleen als het echt niet anders kan en niet meer dan nodig om onze wettelijke taken uit te voeren. Voordat de gegevens verwerkt mogen worden, wordt de verwerking getoetst op rechtmatigheid. In deze (project- of verwerking)specifieke rechtmatigheidsbeoordelingen wordt beschreven welke verwerkingen worden uitgevoerd en wat de wettelijke grondslag voor elke verwerking is. Daarnaast wordt er beschreven welke elementen noodzakelijk zijn voor die specifieke verwerking. Voor elk van de verwerkingen is nagegaan welke elementen uit de declaratiegegevens noodzakelijk zijn en wordt het gebruik ervan getoetst op proportionaliteit en subsidiariteit. Het overzicht van informatie-elementen in bijlage 1 is het resultaat van de verschillende rechtmatigheidsbeoordelingen.
Voor nagenoeg alle wettelijke taken die de NZa uitvoert, is het noodzakelijk dat de NZa declaratiegegevens verwerkt. Zonder de declaratiegegevens kan de NZa haar taken dus niet uitvoeren en evenmin bijdragen aan de betaalbaarheid en toegankelijkheid van de gezondheidszorg in Nederland. Dit algemene consumentenbelang rechtvaardigt de inbreuk op de persoonlijke levenssfeer van de zorgconsument. Daarbij treft de NZa passende organisatorisch en technische maatregelen om de inbreuk tot een minimum te beperken, zoals pseudonimisering.
De wettelijke taakuitvoering van en door de NZa raken alle zorgconsumenten in Nederland. Het is dan ook van belang dat de NZa over gegevens beschikt die representatief zijn voor deze grote groep betrokkenen, zodat het beleid dat bijvoorbeeld gebaseerd wordt op deze gegevens ten goede komt aan iedereen. Een steekproef volstaat daarnaast niet, omdat de NZa de verschillende delen van de dataset nodig heeft voor verschillende wettelijke taken. En het telkens opnieuw opvragen van een (onderdeel van een) dataset is evenmin mogelijk, omdat dit een te grote administratieve en daarmee financiële belasting is voor de individuele ziektekostenverzekeraars alsmede voor de NZa zelf.
Daarbij is het niet mogelijk om gebruik te maken van geaggregeerde of volledig anonieme gegevens. Zonder gegevens op patiëntniveau is het bijvoorbeeld niet mogelijk om te beoordelen of de bekostiging voor een bepaalde cliëntgroep, dat wil zeggen personen met eenzelfde aandoening of personen die zijn aangewezen op eenzelfde type zorg, passend is of kan worden gemaakt. Hierbij zijn kenmerken op het niveau van de zorgconsument doorslaggevend. Maar een dergelijke analyse op patiëntniveau wordt alleen uitgevoerd als dit niet anders kan. In andere gevallen vindt de analyse plaats op een hoger aggregatieniveau, bijvoorbeeld op het niveau van de zorgsector of op macroniveau.
De NZa zorgt ervoor dat er niet meer gegevens worden verwerkt dan nodig. Voor informatie-elementen die niet langer noodzakelijk zijn, geldt dat deze ook niet langer worden uitgevraagd bij de individuele ziektekostenverzekeraars. Verder is de toegang tot de verschillende datasets beperkt tot die personen voor wie de toegang aantoonbaar noodzakelijk is. Dit kan per declaratieset verschillen.
Verdere verwerking van de gegevens door de NZa
De NZa mag gegevens die zij rechtmatig heeft verzameld gebruiken voor alle aan haar opgedragen taken. Dit volgt uit artikel 69, tweede lid, Wmg. Hiermee wordt voorkomen dat de NZa telkens opnieuw gegevens moet vorderen bij bijvoorbeeld ziektekostenverzekeraars die zij reeds in huis heeft. Zoals uitgelegd zal dit namelijk een onevenredige administratieve en daarmee financiële belasting inhouden voor zowel de ziektekostenverzekeraars als de NZa zelf.
Dit betekent echter niet dat de NZa zomaar gegevens verwerkt voor andere doeleinden dan waarvoor deze zijn verkregen. Voorafgaand aan elke verdere verwerking wordt de rechtmatigheid hiervan getoetst door middel van een (project- of verwerking)specifieke rechtmatigheidsbeoordeling. Zo worden declaratiegegevens niet verder verwerkt voor een eventuele andere wettelijke taak als het de NZa op grond van de Wmg en de Regeling categorieën persoonsgegevens Wmg niet is toegestaan medische persoonsgegevens te verwerken voor deze wettelijke taak.
De NZa verzamelt en gebruikt persoonsgegevens om de zorg toegankelijk en betaalbaar te houden, en dus voor haar eigen wettelijke taken. Dit betekent dat wij deze gegevens niet delen met anderen, tenzij de wet dit toestaat. Zo deelt de NZa gegevens met andere toezichthouders, zoals de Inspectie Gezondheidszorg en Jeugd (IGJ), het Zorginstituut Nederland en de Autoriteit Consument en Markt (ACM). Sommige (overheids)partijen zijn verenigd in het Informatie Knooppunt Zorgfraude (IKZ). Binnen het IKZ worden zorgfraudesignalen met elkaar gedeeld. De NZa draagt door het delen van deze signalen bij aan het tegengaan van zorgfraude.
De NZa beoordeelt per geval welke gegevens gedeeld mogen worden en deelt deze gegevens alleen wanneer een partij kan aantonen dat zij de gegevens echt nodig hebben om hun wettelijke taken uit te voeren. Als de wet aanvullende waarborgen voorschrijft, dan gaat de NZa na of partijen deze waarborgen ook daadwerkelijk treffen.
Informatieplicht, privacyverklaring NZa en FAQ
In de keten van zorgaanbieder naar ziektekostenverzekeraars naar NZa rust op zowel de zorgaanbieder, de ziektekostenverzekeraars en de NZa een informatieplicht op grond van de AVG. Zij dienen informatie beschikbaar te stellen voor betrokkenen over de verwerking van persoonsgegevens binnen hun organisatie.
Nu bij de NZa de in de onderhavige regeling genoemde gegevens niet direct bij de betrokkene op wie de gegevens betrekking hebben worden verzameld, dienen deze betrokkenen op grond van artikel 14 AVG te worden geïnformeerd. Hierop gelden een aantal uitzonderingen. Het is voor de NZa praktisch onmogelijk om alle betrokkenen te informeren. Zoals aangegeven ontvangt de NZa alleen gepseudonimiseerde gegevens, waardoor niet kan worden gezien wie moet worden geïnformeerd (artikel 14, vijfde lid, onderdeel b, AVG). Daarnaast volgt de gegevensverwerking uit lidstatelijk recht (artikel 14, vijfde lid, onderdeel c, AVG). Ondanks de uitzonderingen tracht de NZa om betrokkenen zo goed mogelijk van informatie te voorzien.
De wijze waarop de NZa omgaat met de rechten van betrokkenen (zoals de cliënt van een zorgaanbieder) is ook vastgelegd in haar privacyverklaring. Deze is te vinden op de website van de NZa. In deze verklaring is te lezen dat een betrokkene zich kan beroepen op zijn of haar rechten uit hoofde van de AVG, alsmede wat deze rechten inhouden én hoe een betrokkene zich op deze rechten kan beroepen.
Tevens heeft de NZa op haar website een FAQ geplaatst met vragen en antwoorden over de verwerking van persoonsgegevens door de NZa1.