Je verzekering betalen met persoonsgegevens - Welkome innovatie of privacyrisico?

08/01/2025 - Het is januari, de maand waarin veel mensen net een nieuwe zorgverzekering hebben afgesloten. Wellicht is het opgevallen in de jaarlijkse zoektocht naar de beste polis tegen de scherpste premie; sommige zorgverzekeraars hanteren bedrijfsmodellen waarbij klanten premiekortingen kunnen verdienen door het delen van hun persoonsgegevens. Klanten kunnen deze kortingen verdienen door gezondheidsdoelen te halen, zoals voldoende stappen te zetten of sportlessen te volgen.

In eerste instantie lijkt dit een win-winsituatie: de klant bespaart geld en de verzekeraar loopt minder risico om hoge declaraties te moeten vergoeden. Echter, deze ontwikkeling roept diverse vragen op. Naast mogelijke ethische bezwaren tegen de handel in persoonsgegevens bestaan ook juridische onzekerheden over de rechtsgeldigheid van de verwerking hiervan. Deze blog gaat dieper in op deze verschuiving en de onderliggende dilemma’s.

Geldige toestemming

Verwerking van persoonsgegevens moet gebaseerd zijn op een verwerkingsgrondslag uit artikel 6 van de Algemene Verordening Gegevensbescherming (AVG). De verwerking van persoonsgegevens door verzekeraars om een risicoprofiel op te stellen is gebaseerd op toestemming van de verzekerde. Deze toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Dit betekent onder meer dat betrokkenen een echte of vrije keuze moeten hebben en toestemming moeten kunnen weigeren of intrekken zonder nadelige gevolgen. Wanneer sprake is van een duidelijke wanverhouding tussen partijen kan toestemming geen geldige verwerkingsgrondslag zijn. Dit roept de vraag op of commerciële druk of machtsverhoudingen het geven van vrije toestemming voor de verwerking van persoonsgegevens in ruil voor kortingen in de weg staan.

Volgens de European Data Protection Board (EDPB) is de cruciale vraag bij de beoordeling van de wanverhoudingen tussen partijen of de positie van de verwerkingsverantwoordelijke op de markt, op zichzelf of in combinatie met andere factoren, ertoe leidt dat betrokkenen het gevoel hebben geen andere realistische alternatieven te hebben. Bij verzekeringen die wettelijk verplicht zijn en waar verzekeraars een dominante marktpositie hebben is het voor verzekerden moeilijk om zonder negatieve gevolgen toestemming te weigeren. Dit kan leiden tot een wanverhouding tussen partijen.

Mogelijkheid tot een gelijkwaardig alternatief?

Betrokkenen moeten het delen van hun persoonsgegevens die niet noodzakelijk zijn voor levering van de dienst kunnen weigeren. Het Hof van Justitie van de Europese Unie oordeelde in de zaak over Meta’s pay or okay-model dat dit kan betekenen dat gebruikers tegen een passende vergoeding een gelijkwaardig alternatief aangeboden krijgen zonder gegevensverwerkingen. Dit gelijkwaardig alternatief wordt in een advies door de EDPB verder ingekleurd. Hoewel het advies in eerste instantie betrekking heeft op grote online platforms, heeft het bredere implicaties voor gegevensverwerking en toestemming in andere sectoren.

De EDPB stelt dat het aanbod van een gelijkwaardig alternatief en het nadeel dat de betrokkene ondervindt bij weigering belangrijke factoren zijn voor de rechtsgeldigheid van toestemming. Als de alternatieve versie alleen verschilt vanwege het feit dat de verwerkingsverantwoordelijke geen persoonsgegevens verwerkt, kan deze in principe als gelijkwaardig worden beschouwd. Bij verzekeringen is het verstrekken van de gegevens waarop de korting wordt gebaseerd doorgaans niet noodzakelijk voor de basisdienst (de verzekering zelf).

Echter, een gelijkwaardig alternatief aanbieden van een dienst waarbij de korting is gebaseerd op een risicoprofiel dat wordt opgesteld uit persoonsgegevens is lastig. In tegenstelling tot bijvoorbeeld behavioral advertising, waarbij geen directe relatie bestaat tussen het gedrag van de betrokkene en de afgenomen dienst, kunnen kortingen variëren per persoon en situatie. Zonder een risicobeoordeling die gebaseerd is op de verwerking van persoonsgegevens kan de verzekeraar niet vaststellen hoeveel korting de verzekerde misloopt, dus ook niet wat de prijs moet zijn van het gelijkwaardige alternatief.

De toekomst van betalen met persoonsgegevens

In onze digitale economie heeft informatie over natuurlijke personen voor marktdeelnemers vaak en in toenemende mate een met geld te vergelijken waarde. Het is dan ook te verwachten dat het aantal bedrijfsmodellen waarin consumenten de mogelijkheid krijgen te betalen met persoonsgegevens zal toenemen. Verzekeraars en andere ondernemingen moeten aan strikte eisen voldoen bij de inzet van de toestemmingsgrondslag voor het verwerken van persoonsgegevens als contractuele tegenprestatie. Deze standaard is in de praktijk waarschijnlijk niet altijd haalbaar. De machtsverhouding tussen partijen, waaronder de mate van verplichting van de aangeboden dienst, het ondervonden nadeel van de betrokkene bij het weigeren van de toestemming, de marktpositie van de onderneming en het aanbod van een eventueel gelijkwaardig alternatief spelen hierbij een rol. De uitdaging ligt in het creëren van een model waarbij consumenten niet gedwongen worden om hun privacy op te offeren voor lagere kosten, maar waarin keuzevrijheid centraal staat.