Juristen van Famed en Infomedics oneens over interpretatie AVG

In april publiceerden we al dat de twee grootste factoringmaatschappijen de AVG, de nieuwe privacywet die sinds 25 mei wordt gehandhaafd, anders interpreteren. Famed heeft nu ook een memo van een externe juridische adviseur openbaar gemaakt over de kwestie.

Infomedics
Infomedics denkt dat onder de AVG praktijkhouders expliciet toestemming moeten krijgen van hun patiënten om hun gegevens te laten verwerken door een factoringbedrijf dat het eigendom van de declaraties overneemt. Dit standpunt wordt ondersteund door prof. mr G.-J.Zwenne (hoogleraar recht en de informatiemaatschappij aan de Universiteit Leiden en advocaat bij Brinkhof te Amsterdam en in die hoedanigheid adviseur van onder andere Infomedics). Infomedics heeft zijn interne structuur zo ingericht (met een zogenaamde ‘driepartijenstructuur’) dat de arts zelf verwerkingsverantwoordelijke blijft en de factoringmaatschappij de verwerker is. Op deze manier heeft de arts volgens Zwenne geen toestemming van de patiënt nodig om medische persoonsgegevens te laten verwerken door Infomedics.

Lees het nieuwsbericht van 5 april.

Famed
Famed is daarentegen van mening dat ook onder de AVG praktijkhouders geen toestemming nodig hebben van hun patiënten om hun persoonsgegevens (die op hun declaraties staan) te laten verwerken door een factoringmaatschappij die eigenaar van de vordering is. Ook Famed heeft nu een extern juridisch adviseur een memo laten opstellen die deze visie ondersteunt, namelijk bij dhr. mr. drs. J.H.J. Terstegge CIPP/E, partner bij Privacy Management Partners te Utrecht en bestuurslid van de Vereniging Privacy Recht.

Volgens Terstegge mag Famed (medische) persoonsgegevens verwerken op grond van de artikelen 6 lid 1 sub c en 9 lid 2 sub g AVG juncto art. 38 lid 2 Wet marktordening gezondheidszorg (Wmg) en de voorschriften van de Nederlandse Zorgautoriteit (NZa). De Wmg verplicht (medische) persoonsgegevens te verwerken, zoals prestatiebeschrijvingen van geleverde zorg. Famed, en elke factoringmaatschappij die het eigenaarschap van de zorgdeclaraties overneemt, heeft dan de rol van een verwerkingsverantwoordelijke. Met een verwerkingsverantwoordelijke hoeft (in tegenstelling tot met een ‘verwerker’) geen verwerkingsovereenkomst te worden gesloten.

Terstegge is van mening dat zorgaanbieders de persoonsgegevens die nodig zijn voor de facturering zonder toestemming van de patiënt aan Famed kunnen verstrekken vanwege de zogenaamde ‘verlengde arm constructie’ in het medisch beroepsgeheim zoals vastgelegd in artikel 7:457 lid 2 Burgerlijk Wetboek. Vanwege de financiële afhandeling is Famed rechtstreeks betrokken bij de uitvoering van een behandelingsovereenkomst, waardoor Famed wordt aangemerkt als een verlengde arm van de zorgaanbieder.

De Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens heeft geen uitspraak gedaan over welke juridische interpretatie volgens haar de juiste is, of wellicht zijn beide interpretaties juist.

Omdat het veel zorgaanbieders raakt, heeft de KNMT de AP om antwoord gevraagd op de vraag of er bij factoring waarbij de factoringmaatschappij verwerkingsverantwoordelijke wordt (eigenaar wordt van de vordering) wel of geen uitdrukkelijke toestemming van de patiënt nodig is. De AP heeft volgens de KNMT laten weten dat er binnenkort meer informatie volgt.