image_pdfimage_print
21 apr 2019

Akwa maakt onrechtmatig verkregen ROM-data toch raadpleegbaar

illegal

Op de website van Akwa GGZ, kortweg Akwa genoemd, staat dat sinds 15 maart 2019 een geanonimiseerde dataset van ROM-data, verkregen van haar rechtsvoorganger SBG, te raadplegen is. Het gaat om data, waarvoor geen toestemming aan de patiënt gevraagd is, voor het mogen be-/verwerken. SBG beheerde de data in gepseudonimiseerde vorm. In maart 2017 gaf de toenmalige minister van VWS, Edith Schippers, in haar antwoord op Kamervragen aan dat voor het verwerken van die data een wettelijke grondslag nodig is. Het verkrijgen van expliciete toestemming van de patiënt is één van die grondslagen. Terwijl de Autoriteit Persoonsgegevens(AP) nog steeds, al meer dan 100 weken, onderzoek doet naar de rechtmatigheid van de verwerking door SBG, komt Akwa met de beschikbaarstelling van de data voor onderzoek door professionals. Ook al gaat het om anonimisatie na de aanvankelijke pseudonimisatie, het blijven onrechtmatig verkregen data, die niet hergebruikt mogen worden.  Een even opmerkelijke als juridisch aanvechtbare stap van Akwa.    Lees verder

09 apr 2019

Zorgdata verwerken, MRDM en gepseudonimiseerde data

big data

Recent zorgde een bericht in het Algemeen Dagblad op 30 maart 2019 voor flink wat rumoer. Het zorgdata verwerkende bedrijf Medical Research Data Management(MRDM) blijkt deze data opgeslagen te hebben in de Google Cloud(locatie Eemshaven). Het gegeven dat het om gepseudonimiseerde data gaat, die volgens de vigerende wet- en regelgeving gewoon als bijzondere persoonsgegevens beschouwd moeten worden maakt het één en ander nog interessanter. Binnen MRDM heeft men zelf ook wel door dat er sprake is van bijzondere persoonsgegevens. Op 17 mei 2018 hield het bedrijf een informatiebijeenkomst gegevensbescherming  waarin dit onderwerp en de relatie tot de Algemene Verordening Gegevensverwerking(AVG) ter sprake kwam. Sprekers waren onder andere de “zorg”-jurist Theo Hooghiemstra en zijn confrater Evert-Ben van Veen, directeur van het bedrijf MedLaw. Bij het doorspitten van de positie van het bedrijf MRDM stuitte ik op een kluwen van zorg-data-verwerkende bedrijven die plotseling de Value Based HealthCare(VBHC) hoog in het vaandel hebben staan. Lees verder

04 apr 2019

Forse boete AP voor MENZIS i.v.m. onvoldoende toezicht op inzage medische dossiers

forrse boete

Waar iedereen eigenlijk aldoor bang voor was, blijkt echt gebeurd te zijn. Een zorgverzekeraar geeft personen binnen de organisatie die niet bevoegd zijn inzage in medische dossiers. In het zojuist verschenen jaarverslag over 2018 van de zorgverzekeraar Menzis is te lezen dat men in dat jaar een boete van 50.000 euro van de Autoriteit Persoonsgegevens(AP) kreeg. Het ging om de constatering in 2017 door de AP dat er binnen Menzis onvoldoende toezicht was op wie toegang had tot medische persoonsgegevens EN het onvoldoende snel doorvoeren van verbeteringen op advies van de toezichthouder. Het bericht over de boete staat enigszins weggemoffeld in het jaarverslag 2018 en is niet op de website rechtstreeks zichtbaar. Daarnaast lijkt de Autoriteit Persoonsgegevens Menzis ook publicitair te sparen

Lees verder

03 apr 2019

Juridische overwegingen bij medische data door MRDM en opslag bij Google Cloud

juridische

Op 1 april 2019 schreef ik op deze website een artikel over een bericht van het Algemeen Dagblad op 30 maart. Het betrof de verwerking van massale hoeveelheden medische data in gepseudonimiseerde vorm door het bedrijf Medical Research Data Management (MRDM) en de opslag van die data op de Google Cloud op de locatie Eemshaven. Inmiddels is de politiek ook wakker geschud, hebben Kamerleden van D66 en SP vragen gesteld en heeft minister Bruins opdracht gegeven aan de Autoriteit Persoonsgegevens onderzoek te doen. Er zitten interessante juridische kanten aan deze materie, voornamelijk van principiële aard. Niet alleen gaat het dan over het feit dat de data in de Google Cloud nu opgeslagen staan, maar ook over de positie van MRDM en de data-verzamelende zorginstellingen. De jurist Theo Hooghiemstra, kind aan huis bij het Ministerie van VWS, en in allerlei gremia betrokken bij data-uitwisseling, blijkt geen zwart/wit antwoord te kunnen geven of de in de Google Cloud opgeslagen data wel veilig zijn.

Lees verder

01 apr 2019

Wegduikende Autoriteit Persoonsgegevens faciliteert weer massale overdracht van medische data

wegduikende

Op zaterdagochtend 30 maart 2019 verscheen op de website van het Algemeen Dagblad een artikel over het kopiëren van massale hoeveelheden patiëntendata naar servers van de Google-cloud. Enkele uren later gevolgd door een tweede artikel, genaamd: “Ook jouw medische data liggen nu bij Google”.  Dat gebeurde door het dataverwerkingsbedrijf Medical Research Data Management (MRDM), één van de grootste medische dataverwerkingsbedrijven van het land. Die kopieerde die data naar het Google Cloud Centre aan de Eemshaven te Groningen. Het gaat om gepseudonimiseerde behandelgegevens van honderdduizenden Nederlanders uit ziekenhuizen en bevolkingsonderzoeken. MRDM verzamelt en verwerkt zorgdata om er bigdata-analyse op uit te voeren. Wat hier gebeurt is al meerdere keren op andere terreinen gebeurt. Bij de verzameling van diagnosegegevens in het Diagnose BehandelCombinaties(DBC’s) in het DBC Informatie Systeem(DIS) gebeurt precies hetzelfde met gepseudonimiseerde gegevens. Ook bij het verzamelen van Routine Outcome Momitoring(ROM)-data uit de geestelijke gezondheidszorg(GGZ) gebeurt precies hetzelfde. Ik schreef er op deze website vaker over. Bij al die verwerkingen speelt de Autoriteit Persoonsgegevens(AP) een dubieuze, maar cruciale faciliterende rol.

Lees verder

18 feb 2019

Onbegrijpelijke gebeurtenis met geheime stukken in rechtszaak Vrijbit

geheim

Tijdens één van de zittingen van de rechtbank Midden-Nederland op vrijdag 15 februari 2019 in de zaken die de burgerrechtenvereniging Vrijbit tegen de Autoriteit Persoonsgegevens(AP) aanspande deed zich iets zeer opmerkelijks voor. Ik beschreef zeer recent(14 februari 2019) deze twee zaken op deze website. In dat artikel maakte ik al melding van het feit de AP na het verstrijken van elk redelijke termijn in september 2018 plotseling een flinke stapel papier  bij de rechtbank deponeerde. Daarbij de melding dat een aanzienlijk deel van deze stukken onder geheimhouding werd aangeleverd en dus niet aan de eisende partij, Vrijbit, geopenbaard mocht worden. De rechtbank blijkt deze gang van zaken geaccepteerd te hebben.  De jurist Ab van Eldijk die samen met Vrijbit voorzitter Miek Wijnberg, de eisende partij vertegenwoordigde was  echter volstrekt verbijsterd toen de AP ter zitting alsnog enige geheime stukken wilde inbrengen.

Lees verder

14 feb 2019

Geheimzinnigheid Autoriteit Persoonsgegevens in principiële rechtszaken

geheime stukken

Aanstaande vrijdag 15 februari 2019 dienen in de ochtend twee zeer interessante zaken over het verzamelen en verwerken van medische gegevens bij de Rechtbank Midden-Nederland in Utrecht. Locatie: Vrouwe Justitiaplein 1. Het gaat om zeer principiële zaken bij de bestuursrechter. De burgerrechtenvereniging Vrijbit voert die al enige tijd. In beide zaken is de Autoriteit Persoonsgegevens(AP) de gedaagde partij. De procesgang duurt al vanaf 2015. De AP heeft op velerlei wijzen de procesgang ernstig vertraagd. Om 09.00u dient de zaak UTR 16/4199 WBP V93 en om 10.30u de zaak UTR 16/3326 WBP V97. Over dit onderwerp  schreef ik al eerder op 15 maart 2017. De komende zittingen zijn zeer interessant voor geïnteresseerden in de privacy van burgers en van patiënten in het bijzonder. De zaken zijn een voortzetting van de rechtszaken met dezelfde nummering die op 10 maart 2017 in Utrecht dienden. In dit artikel zal ik duidelijk maken dat het handelen van de AP een toezichthouder onwaardig is.

Lees verder

25 jan 2019

Schaamteloze juridische redenatie IGJ beperkt recht benadeelde burger

shame on you

Opt-in-toestemming voor het Landelijk SchakelPunt(LSP) is voor mij tot drie maal toe buiten mijn wil genoteerd.  Op deze website heb ik meerdere keren u op de hoogte gehouden over de pogingen om er voor te zorgen dat toezichthouders toezien op een correcte handelswijze en handhaven. Dat laatst gebeurt niet. Zowel de Autoriteit Persoonsgegevens(AP) als de Inspectie Gezondheidszorg en Jeugd(IGJ) hebben een broertje dood aan die activiteiten. Naar analogie van een handhavingsopdracht van de IGJ aan het Isala-ziekenhuis in Zwolle vroeg ik de IGJ om handhavend op te treden tegen apotheken die onterecht opt-in-toestemmingen van bezoekende patiënten noteren. Eerder deed ik dat bij de AP in samenspraak met de burgerrechtenvereniging Vrijbit. Bij de afhandeling van de verzoeken blijkt hoe beide controlerende instanties (waakhonden?) eigenlijk geen hand uitsteken. Ze doen zoveel mogelijk moeite om het verzoek van de burger af te wijzen en hem/haar te ontmoedigen. De wijze van handelen is op zijn zachtst gênant te noemen en beperken de burger in hoge mate zijn recht te halen. De controlerende instanties laten de verdenking dan ook op zich dat zij het wederrechtelijk handelen faciliteren dan wel sanctioneren.

Lees verder

16 jan 2019

Waakhond Autoriteit Persoonsgegevens vertoont extreem egelgedrag

egelherder

Wat doet een egel als er gevaar dreigt? Hij zet zijn stekels op en rolt zich op als bescherming tegen de boze buitenwereld. Precies dat gedrag vertoont de Autoriteit Persoonsgegevens(AP) met heikele kwesties zoals de verwerking van medische gegevens. Op 8 januari 2019 ontving de ex-patiënte uit de geestelijke gezondheidszorg(GGZ) die 93 weken voordien een handhavingsverzoek deed bij de AP, het bericht dat haar handhavingsverzoek was afgewezen. De AP gaf, na in gebreke stelling door de verzoekster om binnen een redelijke termijn tot een beslissing te komen, aan dat het onderzoek nog niet afgerond was en daarom het handhavingsverzoek afwees.  Het verzoek betrof de vraag om handhavend op te treden tegen het onrechtmatig verzamelen en verwerken van (medische en bijzondere) persoonsgegevens door de Stichting Benchmark GGZ(SBG) aangezien die gegevens in hoofdzaak verwerkt worden zonder toestemming van de patiënt. Meer in het bijzonder was gevraagd de verwerking van de gegevens op te schorten en toe te zien op directe vernietiging van de gegevens die opgeslagen zijn in de databank van SBG. Voor degenen die het nog niet begrepen hadden vertel ik hier dan maar dat het gaat om de Routine Outcome Monitoring(ROM) data. Even op deze website zoeken onder de categorie of de tag “ROM” laat meer dan zestig artikelen zien.

Lees verder

03 jan 2019

Webwinkel Vilans, kenniscentrum voor langdurende zorg, gehackt

hacked

Op donderdag 3 januari 2019 hebben klanten van de webshop van Vilans bericht gekregen dat de database van de webshop gehackt geweest is. Vilans is een vrij grote grotendeels gesubsidieerde organisatie die stelt  kenniscentrum te zijn voor de langdurende zorg en als doel heeft om deze zorg te vernieuwen en te verbeteren. Ze ondersteunt vooral zorgprofessionals die in de online-webshop rapporten en brochures kunnen bestellen. Ook particulieren kunnen er bestellingen doen. In het bericht dat klanten per email kregen is te lezen dat een hack heeft plaatsgevonden, ontdekt is en het gat gedicht is. Op de website van Vilans en op het Twitter-account is niets te lezen over de hack.  Persoonsgegevens zijn door de hacker buitgemaakt. Vilans waarschuwt dat die informatie gebruikt kan worden voor phishing mail en raadt aan om het wachtwoord voor de webshop te wijzigen. Zoals zo vaak met dit soort berichten is het interessant om niet alleen te kijken naar datgene wat men meldt staat maar ook naar wat er niet in staat

Lees verder