Het Europese Hof heeft uitspraak gedaan in een zaak over een Duitse online apotheek die onder meer via Amazon medicijnen zonder recept verkocht. Het Hof concludeert dat er ook dan sprake kan zijn van de verwerking van bijzondere persoonsgegevens, zoals vermeld in de AVG. Een belangrijke uitspraak, omdat nu blijkt dat er eerder sprake kan zijn van bijzondere persoonsgegevens dan velen aannemen. Let op! Bij bijzondere persoonsgegevens horen ook strengere eisen voor de verwerking ervan.

Wat ging eraan vooraf: apotheek biedt online medicijnen aan zonder recept

In Duitsland loopt een rechtszaak tussen twee apotheken. Een van beide partijen verkoopt medicijnen - ook zonder recept - op Amazon.

Daar maakt de andere apotheek bezwaar tegen, omdat dit tegen de regels van de AVG in zou gaan. De verkoop van medicijnen via het online platform, zou namelijk in strijd zijn met wettelijke vereisten die volgens de AVG gelden voor het verkrijgen van toestemming van de klant voor het verzamelen, verwerken of gebruiken van gegevens over zijn gezondheid. De apotheker vordert de staking van de online handel.

De Duitse rechtsinstanties komen er niet uit.

Relevant is hoe de gegevens die klanten van een apotheek die op een online platform als verkoper optreedt, zoals naam van de klant, afleveradres en de informatie die noodzakelijk is voor de bestelde geneesmiddelen, kunnen worden gekwalificeerd. De vraag is: zijn dit ook medische gegevens (en dus bijzondere persoonsgegevens) zoals bedoeld in de AVG?

Wat zegt de AVG over bijzondere persoonsgegevens?

Bijzondere persoonsgegevens zijn gegevens die zo privacygevoelig zijn dat het een grote(re) impact op iemand kan hebben als een organisatie deze gegevens verwerkt. Daaronder vallen onder meer gegevens over iemands ras, politieke opvattingen, seksuele gerichtheid, religie en gezondheid.

Bijzondere persoonsgegevens krijgen extra bescherming onder de AVG.

Het verwerken van bijzondere persoonsgegevens is verboden, tenzij er sprake is van een uitzondering zoals vermeld in de AVG én de gegevens verwerkt worden op basis van één van de 6 grondslagen.

Er zijn in totaal 10 uitzonderingen voor het verwerken van bijzondere persoonsgegevens. Een vijftal is alleen van toepassing als hiervoor in de nationale wet een rechtsbasis is gecreëerd.

Voor deze rechtszaak is de uitzondering ‘toestemming’ van belang. Dit is overigens ook een AVG-grondslag. Om je te kunnen baseren op deze uitzondering, moet iemand uitdrukkelijke toestemming hebben gegeven voor de verwerking van de eigen persoonsgegevens.

Dit is een verzwaarde vorm van toestemming, waaraan meer eisen worden gesteld dan aan de ondubbelzinnige toestemming zoals vereist voor de AVG-grondslag toestemming. Dit kan bijvoorbeeld middels een formulier waaronder een (elektronische) handtekening vereist is.

De vraag is of de online apotheek deze uitdrukkelijke toestemming nodig heeft, alvorens de gegevens van iemand die medicijnen zonder recept besteld te verwerken.

Prejudiciële vraag over bijzondere persoonsgegevens bij online medicijn verkoop

De rechter in Duitsland besloot prejudiciële vragen te stellen aan het Hof van Justitie van de Europese Unie over deze specifieke zaak. De vraag over bijzondere persoonsgegevens is als volgt geformuleerd:

“Zijn de gegevens die klanten van een apotheek die op een platform voor onlinehandel als verkoper optreedt, invoeren bij de bestelling van geneesmiddelen die weliswaar alleen in apotheken mogen worden verkocht maar niet uitsluitend op recept kunnen worden verkregen (naam van de klant, afleveradres en de informatie die noodzakelijk is voor de individualisering van de bestelde geneesmiddelen die alleen in apotheken mogen worden verkocht), gegevens over gezondheid in de zin van artikel 9, lid 1, van verordening (EU) 2016/679 alsook gegevens die de gezondheid betreffen in de zin van artikel 8, lid 1, van richtlijn 95/46/EG?”

Onlangs heeft het Europese Hof gereageerd op deze vraag.

Het antwoord was verrassend.

Het Hof van Justitie van de Europese Unie oordeelt over bijzondere persoonsgegevens

Het Europese Hof meent dat er in dit geval wel sprake is van bijzondere persoonsgegevens, zoals bedoeld in de AVG. Door middel van de ingevulde persoonsgegevens (al is dat enkel naam en adres) kan volgens het Hof informatie over de gezondheidsstatus van de betrokkene worden achterhaald.

Het maakt voor het Hof niet uit of de medicijnen wel of niet op recept te verkrijgen zijn. Ook niet als het mogelijk is dat de medicijnen voor een ander bestemd zijn, aangezien een recept niet nodig is. Het maakt dus niet uit dat niet met 100% zekerheid te zeggen is of de medicijnen ook echt bedoeld zijn voor degene die zijn of haar persoonsgegevens invult.

Het Hof van Justitie van de Europese Unie concludeert dan ook dat de verkoper in deze casus zijn klanten nauwkeurig, volledig en op begrijpelijke wijze moet informeren over de specifieke kenmerken en doeleinden van de verwerking van persoonsgegevens. Daarnaast moet hij om uitdrukkelijke toestemming vragen voor die verwerking.

Wat betekent deze uitspraak voor de praktijk?

Het Hof van Justitie van de Europese Unie maakt met dit oordeel duidelijk dat persoonsgegevens eerder kunnen worden gezien worden als bijzondere persoonsgegevens, dan voorheen werd aangenomen.

In deze casus deelt de betrokkene enkel naam en adresgegevens bij zijn of haar bestelling én bestelt daarbij medicijnen waarvoor een recept niet nodig is. Uit die bestelling valt volgens het Europese Hof te herleiden wat de mogelijke gezondheidssituatie is van de persoon die bestelt. Dit, terwijl een familielid of zorgverlener natuurlijk ook degene kan zijn die besteld voor een patiënt.

Volgens het Hof blijft echter zelfs als een bestelling voor een ander is geplaatst, het risico bestaan dat conclusies kunnen worden getrokken over de gezondheid van een persoon. Daarom is een hoog beschermingsniveau noodzakelijk.

Extra aandacht vereist dus indien u in een medische context persoonsgegevens verwerkt. Wilt u nagaan of deze uitspraak mogelijk gevolgen voor u heeft, neem dan contact met ons op via contact@legalz.nl of spreek direct met een van onze ervaren IT-juristen via 010 2290 646.

Blijf op de hoogte!

Op de hoogte blijven van deze en andere ontwikkelingen op het gebied van ICT Recht? Abonneert u zich dan nu op onze maandelijkse nieuwsbrief en ontvang onze blogs automatisch in uw mailbox.