De rechtbank oordeelt dat de HoNOS+-gegevens geen persoonsgegevens zijn in de zin van de AVG. De gegevens zijn geen direct herleidbare persoonsgegevens omdat ze anoniem zijn; het gaat enkel om scores als antwoorden op vragen en er staan geen namen, adresgegevens of bsn’s op de lijsten. En volgens de rechtbank zijn de HoNOS+-gegevens ook geen indirect herleidbare persoonsgegevens. De NZa beschikt(e), naast de HoNOS+-gegevens, weliswaar ook over gepseudonimiseerde declaratiegegevens. De rechtbank oordeelt dat de gepseudonimiseerde declaratiegegevens hooguit indirect herleidbaar zijn, wanneer zij gekoppeld worden aan informatie van derden, zoals de zorgaanbieder of zorgverzekeraar. Verder oordeelt de rechtbank dat het voor de NZa praktisch onmogelijk is om de HoNOS+-gegevens zelfstandig te herleiden tot individuen. De kans dat het de NZa lukt om de gegevens die zij heeft ontvangen met behulp van aanvullende informatie bij derden alsnog indirect te herleiden tot individuen wordt verwaarloosbaar geacht, omdat de HoNOS+-gegevens én de bijbehorende declaratiedata daarvoor dermate uniek moeten zijn dat ze aan elkaar kunnen worden gekoppeld, en die kans schat de rechtbank als zeer beperkt in. Daarnaast zijn de declaratiedata gepseudonimiseerd door hashing (een vorm van cryprografie, red.), waardoor de gegevens niet te ontsleutelen zijn door de NZa. Los daarvan heeft de NZa geen bevoegdheid om niet-gepseudonimiseerde gegevens op te vragen bij zorgverzekeraars of zorgaanbieders.