Juridisch medewerker
Isabella Mahieu
AVG, IT-recht, International Media Law
23 oktober 2024
Joanne van eenennaam |
- Privacy
- Rechtspraak
- Joanne van Eenennaam
Wanneer zijn persoonsgegevens gezondheidsgegevens? Hof van Justitie doet uitspraak
Op 4 oktober 2024 deed het Hof van Justitie een belangrijke en zeer verrassende uitspraak. De zaak betrof de vraag of het plaatsen van een bestelling bij een online apotheek een verwerking van bijzondere persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (“AVG”) inhoudt, of niet.
Bestelling bij een online apotheek is een verwerking van bijzondere persoonsgegevens
Het Hof van Justitie oordeelde dat in deze zaak wél sprake was van een persoonsgegeven betreffende de gezondheid, zelfs zou de bestelling niet voor de persoon die de bestelling plaatste bedoeld zijn. Het Hof van Justitie week hiermee af van het advies van de Advocaat Generaal bij het Hof van Justitie.
Hof van Justitie EU 4 oktober 2024 , C- 21/23, ECLI:EU:C:2024:846 (Lindenapotheke)
In onderstaand artikel wordt het oordeel van het Hof van Justitie toegelicht.
Waarom is het belangrijk of een gegeven een persoonsgegeven is?
De vraag of een bepaald gegeven een persoonsgegeven in de zin van de AVG is heeft zeer grote juridische gevolgen. Het is in het informatierecht namelijk zo dat informatie in beginsel ‘vrij’ is, tenzij er een specifieke wet bestaat die ten aanzien van bepaalde informatie bepaalde rechten of verplichtingen oplegt.
De Algemene Verordening Gegevensbescherming, in de volksmond ook wel ‘de privacywet’ genoemd, is een beroemd of berucht voorbeeld van een wet die concrete verplichtingen bevat ten aanzien van informatie, namelijk over persoonsgegevens. Is een bepaald gegeven géén persoonsgegeven, dan zijn de AVG en de wettelijke verplichtingen uit de AVG niet van toepassing. Is een gegeven wél een persoonsgegeven, dan dient de verwerking van dat persoonsgegeven doorgaans te voldoen aan de verwerkingsbeginselen en specifieke regels uit de AVG.
Hoe weet ik of een gegeven een persoonsgegeven is?
De AVG definieert persoonsgegevens als volgt:
“Artikel 4 onder 1 AVG
“Persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;”
Contextgevoelig en kan veranderen van kleur
Het antwoord op de vraag of een bepaald gegeven een persoonsgegeven is, is dus zeer contextgevoelig. Het is bijvoorbeeld goed mogelijk dat een bepaald gegeven op zichzelf niet voldoende is om een natuurlijke persoon zonder al te veel moeite te kunnen identificeren, maar dat een bepaald gegeven ‘in combinatie met’ andere gegevens gebruikt kan worden om een natuurlijke persoon te identificeren. Daarmee is het tóch een persoonsgegeven in de zin van de AVG, en verandert het gegeven van kleur, zelfs al lijkt het op het eerste gezicht niet om privacygevoelige informatie te gaan. Wat betekent dat de regels uit de AVG van toepassing zijn op de verwerking van die informatie.
VIN-nummer soms een persoonsgegeven en soms niet
Het Hof van Justitie oordeelde eerder ook dat feiten en omstandigheden rond een specifiek bedrijf of bepaalde organisatie relevant kunnen zijn. In de zin dat een bepaald gegeven dat voor de meeste bedrijven en organisaties géén persoonsgegeven is, maar voor een specifieke partij een persoonsgegeven kan zijn, bijvoorbeeld omdat die specifieke partij vanuit een unieke rol toegang heeft tot bepaalde andere gegevens, die deze partij kan combineren om daarmee natuurlijke personen te identificeren. Dit gold bijvoorbeeld voor het "VIN-nummer”" (vehicle identification number). De meeste bedrijven en organisaties kunnen niets opmaken uit zo’n nummer, maar een autobedrijf heeft mogelijk toegang tot andere gegevens waarmee het VIN nummer gecombineerd kan worden om een natuurlijke persoon, de eigenaar van die auto met dat VIN nummer, te identificeren:
Waarom is het belangrijk of een persoonsgegeven een gezondheidsgegeven is?
De AVG kent grofweg twee regimes,
- één voor ‘reguliere’ persoonsgegevens; en
- één strenger regime voor de zogeheten “bijzondere categorieën van persoonsgegevens”.
Bijzondere categorieën van persoonsgegevens
De bijzondere categorieën van persoonsgegevens zijn, limitatief, de volgende:
- ras of etnische afkomst,
- politieke opvatting,
- religieuze of levensbeschouwelijke overtuiging,
- lidmaatschap van een vakbond,
- genetische gegevens,
- biometrische gegevens met het oog op de unieke identificatie van een persoon,
- gegevens over gezondheid en
- gegevens met betrekking tot seksueel gedrag of seksuele gerichtheid.
Verwerking bijzondere categorieën van persoonsgegevens in beginsel verboden, tenzij
De verwerking van persoonsgegevens is beginsel toegestaan, op voorwaarde dat de verwerkingsbeginselen en regels uit de AVG in acht worden genomen. De verwerking van bijzondere categorieën van persoonsgegevens is in beginsel verboden, tenzij een uitzondering op het verbod van toepassing is in een specifieke situatie.
“Artikel 9 lid 1 AVG
Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.”
De uitzonderingen op het verbod zijn beperkt, zoals "met de uitdrukkelijke toestemming van het data subject". Is géén uitzondering van toepassing, maar zijn toch bijzondere categorieën van persoonsgegevens verwerkt, dan is dit een zeer ernstige schending van de AVG waarop hoge boetes en/of aansprakelijkheidsclaims staan.
Hoe weet ik of een persoonsgegeven een gezondheidgegeven is?
In de Lindenapotheke-zaak ging het om klanten van een online apotheek in Duitsland. Via de online apotheek kon men onder andere medicijnen bestellen. De online apotheek vroeg daarbij niet om uitdrukkelijke toestemming om gezondheidsgegevens te mogen verwerken. De uitdrukkelijke toestemming van het data subject (= natuurlijke persoon op wie de persoonsgegevens betrekking hebben) is één van de uitzonderingen op het verbod om bijzondere categorieën van persoonsgegevens te verwerken.
Argument waarom géén sprake
Het voornaamste argument waarom hier géén sprake zou zijn van bijzondere categorieen van persoonsgegevens, met betrekking tot de gezondheid, was dat uit een bestelling niet blijkt dat bepaalde medicijnen of andere medische hulpmiddelen ook voor de persoon die de bestelling plaatst bedoeld zijn.
Immers een zorginstelling, of naaste van een patient, kan ook de bestelling plaatsen voor iemand anders. Uit de bestelling zou dus geen informatie met betrekking tot de gezondheid ontleend konden worden. De naam en het bezorgadres van de besteller zijn geen bijzondere persoonsgevens, maar reguliere persoonsgegevens die niet onder het strengere regime vallen. De Advocaat Generaal bij het Hof van Justitie adviseerde om een klantgegevens van online apothekers niet als gezondheidsgegevens te beschouwen.
Hof van Justitie oordeelde anders
Het Hof van Justitie van de EU ging echter de andere kant op en volgde het advies van de Advocaat Generaal niet. Het Hof van Justitie van de EU oordeelde dat een ruime definitie van wat gezondheidsgegevens zijn geldt, mede omdat een hoog niveau van bescherming is geboden voor dit type gegevens. Zelfs als de bestelling voor een ander is geplaatst blijft het risico dat conclusies kunnen worden getrokken over de gezondheidstoestand van een natuurlijke persoon bestaan en is een hoog beschermingsniveau geboden.
Reactie op de uitspraak
Critici wijzen erop dat deze uitspraak tot gevolg zal hebben dat in de gezondheidscontext steeds vaker om uitdrukkelijke toestemming zal moeten worden gevraagd en daarbij de administratiedruk wordt opgevoerd, zonder dat patiënten hier noodzakelijkerwijs beter worden van meer toestemmingsformulieren.
Voorstanders juichen de bevestiging van het Hof van Justitie toe dat wettelijk gezien een hoog niveau van bescherming geldt binnen de gezondheidscontext en dat hoge niveau van bescherming geborgd wordt. In een bijzondere privacy-context die in zulke hoge mate gevoelig is als de gezondheid is dat volgens de voorstanders passend.
In de praktijk voldoet vrijwel enkel de geïnformeerde expliciete toestemming om verwerking van persoonsgegevens omtrent gezondheid rechtmatig te laten zijn. Wie werkt met gezondheidsgegevens doet er dus goed aan te controleren of dat wel mag en zo niet ofwel om expliciet toestemming te vragen, dan wel te stoppen met die mogelijk verboden verwerkingen.
Vragen?
Vraagt u zich af wat deze uitspraak voor u of uw organisatie betekent? Hebt u vragen op het gebied van privacy- of gegevensbeschermingsrecht? Hebt u vragen over de do’s en don’ts van de verwerking van bijzondere persoonsgegevens, zoals gezondheidsgegevens? Neem vandaag nog contact op met onze IT & privacyjuristen. Zij staan u graag te woord.
Advies
Heeft u vragen en wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail ons direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T. +31(0)70-3819281
E. info@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Archief
Juridisch medewerker
Femke Prinsen
Internationaal handelsrecht, Intellectuele Eigendom en IT-recht
