Elke zorgaanbieder is gebonden aan een beroepsgeheim ten aanzien van alle informatie die zij in het kader van de uitoefening van haar zorgactiviteiten tot haar beschikking heeft gekregen. Als een zorgaanbieder zonder wettelijke grondslag zou meewerken aan de materiële controle, zou zij haar beroepsgeheim doorbreken én in strijd handelen met (o.a.) de Algemene Verordening Gegevensbescherming (AVG). Een zorgaanbieder mag daarom slechts aan een materiële controle meewerken wanneer de controle een wettelijke grondslag kent. Die grondslag dient gevonden te worden in de Regeling zorgverzekering (Rzv).
Op grond van artikel 7.6 van de Regeling Zorgverzekering is een verzekeraar die een materiële controle wil uitvoeren verplicht om voorafgaand aan die controle een algemene risicoanalyse uit te voeren. Op grond daarvan dient de verzekeraar vervolgens een controleplan op te stellen, waarin in ieder geval de objecten van de materiële controle en de in te zetten controle-instrumenten zijn vastgelegd. Het algemene controleplan voorziet niet in de inzet van het controle-instrument detailcontrole. Met andere woorden: de zorgverzekeraar moet eerst op andere manieren onderzoeken of ingediende declaraties al dan niet rechtmatig zijn voordat zij overgaat tot detailcontrole.
Hoewel een zorgverzekeraar dus de mogelijkheid heeft een materiële controle uit te voeren geldt bij de uitvoering van deze controles dat er zo min mogelijk inbreuk moet worden gemaakt op de persoonlijke levenssfeer van de patiënten. Zorgverzekeraars moeten daarom eerst lichtere controle-instrumenten inzetten voordat zij over mogen gaan tot de inzet van zwaardere instrumenten. Een detailcontrole is het zwaarste controle-instrument en mag dus enkel ingezet worden indien gebleken is dat andere controle-instrumenten geen soelaas bieden. In de praktijk komt het dikwijls voor dat een zorgverzekeraar direct begint met een detailcontrole en meer algemene vormen van controle dus overslaat. Dit is níet toegestaan. De zorgverzekeraar mag een detailcontrole pas uitvoeren als zij éérst minder ingrijpende vormen van controle heeft ingezet en die controlevormen onvoldoende zekerheid hebben gegeven over de juistheid van declaraties of rechtmatigheid van de verleende zorg.
Indien een zorgverzekeraar aan een zorgaanbieder laat weten dat de algemene risicoanalyse en algemene controle hebben plaatsgevonden, dan mag de zorgaanbieder van de zorgverzekeraar verlangen dat zij dit onderbouwt door inzage te geven in (de uitkomsten van) deze controles. De zorgverzekeraar zal moeten uitleggen welke controle-instrumenten ingezet zijn, wat de uitkomsten zijn geweest en of voldoende aanwijzingen zijn gevonden om te kunnen spreken van ‘onvoldoende zekerheid’ over de juistheid van de door de zorgaanbieder ingediende facturen en de rechtmatigheid van de verleende zorg. Slechts indien objectief vastgesteld is dat ‘onvoldoende zekerheid’ bestaat, kan een zorgverzekeraar de stap naar een detailcontrole zetten.
Let wel: indien voldaan is aan de voorwaarden voor een detailcontrole, betekent dit niet dat ‘dus’ alle gegevens verstrekt moeten/mogen worden die de zorgverzekeraar nodig stelt te hebben. De gegevens die de zorgverzekeraar opvraagt of wil inzien, moeten verband houden met het oorspronkelijke onderzoeksdoel. Onderzocht zal dus moeten worden waarom bij de algemene controle ‘onvoldoende zekerheid’ is verkregen en het nadere onderzoek (in de vorm van een detailcontrole) nodig is om de vereiste zekerheid te verkrijgen over het oorspronkelijke onderwerp van onderzoek. Er moet met andere worden een relatie blijven bestaan met het oorspronkelijke onderzoeksdoel.
Zolang niet voldaan is aan de vereisten die de wet stelt aan een (detail)controle mag een zorgaanbieder, gelet op haar beroepsgeheim, niet meewerken aan een aangekondigde materiële controle. Indien de zorgverzekeraar de zorgaanbieder toch probeert te dwingen tot medewerking zou overwogen kunnen worden een handhavingsverzoek neer te leggen bij de Autoriteit Persoonsgegevens. Een controle die in strijd is met de bepalingen van de Regeling zorgverzekering is namelijk, zoals opgemerkt, in strijd met de AVG.
