Model Privacyreglement GGZ doet medisch beroepsgeheim en toestemming cliënt verdwijnen

AVG EuropaIn verband met het ingaan van de Algemene Verordening Gegevensbescherming(AVG) op 25 mei 2018 kwam GGZ Nederland, als brancheorganisatie van de werkgevers in de geestelijke gezondheidszorg(GGZ) in januari 2018 met een nieuw model privacyreglement voor de zorginstellingen. Het moet als voorbeeld dienen voor privacyreglementen, die zorginstellingen vanwege de AVG, die het gevolg is van Europese privacy-wetgeving, moeten vernieuwen. Daarin blijken de bestuurders van de zorginstellingen tot verwerkingsverantwoordelijke van persoonsgegevens gemaakt te worden. Zij kunnen dan met voorbijgaan van in hun dienst zijnde zorgverleners bepalen welke gegevens voor enig doel kunnen worden verstrekt aan een derde. Met dit model privacyreglement wordt de facto een einde gemaakt aan het medisch beroepsgeheim en komt toestemming door de patiënt volledig buiten spel te staan. Het heeft alles te maken met doorleveren van Routine Outcome Monitoring(ROM)-data aan de Stichting Benchmark GGZ(SBG) en de beoogde opvolger daarvan, het Kwaliteits Instituut voor GGZ. Omdat de hier naar doorgestuurde data gepseudonimiseerd zijn, dienen die beschouwd te worden als bijzondere persoonsgegevens en moet daarvoor expliciet toestemming door de patiënt gegeven zijn. Dat is veelal niet gebeurd en gebeurt nu ook vaak niet. Men poogt het op dit moment te omzeilen met het begrip “veronderstelde toestemming”. Daarbij heeft men de constructie bedacht dat men  toestemming verondersteld acht als het gaat om gebruik van deze data voor kwaliteitsverbetering. Men vergeet voor het gemak dat de data vanwege de verwerking wel de instelling verlaten. GGZ Nederland lijkt te denken dat met het nieuwe privacyreglement de problemen over het toestemming vragen voorbij zijn. Niets is minder waar.

Trias

Als we administratief gezien naar het privacyreglement kijken dan gaat om de relatie tussen een drietal lagen. In de eerste plaats de cliënt die een behandeling behoeft. De behandeling wordt gegeven door een therapeut in dienst van de zorginstelling. Deze therapeut is de zorgverlener, die onder contract staat bij de zorginstelling. De zorginstelling, gerepresenteerd door bestuur en directie, is de zorgaanbieder. Voor de evaluatie van de therapie tussen de individuele cliënt en de zorgverlener maken deze gebruik van scorings-/vragenlijsten, zogenaamde ROM-lijsten. Door beleidsmakers bij het ministerie van VWS, zorgverzekeraars en anderen zijn deze lijsten tot input van een gigantisch dataverwerkingssysteem verkozen, voor een doel waarvoor deze data niet bestemd waren, namelijk voor benchmarking en zorginkoop. Dat is ook te zien aan de financiering van SBG, namelijk 100 procent door de zorgverzekeraars. Toen er discussie ging ontstaan over het feit dat de door geleverde data als persoonsgegevens bestempeld moesten worden, werd opeens het doel teruggeschroefd naar, vooralsnog, alleen kwaliteitsbevordering. Dat lijkt aardig maar het blijft gaan om data die zonder expliciete toestemming van de cliënt de zorginstelling verlaten richting een verwerkende instantie: de SBG.

Plan

Wat nu in het modelprivacyreglement zich aftekent is dat instellingen vastleggen dat niet de cliënt of de zorgverlener bepaalt of persoons-/behandelgegevens van de cliënt in de vorm van ingevulde vragenlijsten de instelling verlaten, maar de zorgaanbieder, zijnde het bestuur en de directie van de zorginstelling. Daarbij wordt een beroep gedaan op artikelen in de AVG, bijvoorbeeld artikel 9 punt 2  lid h en i, van de AVG(blz L119/38). Dat gaat over argumenten als “het  beheren van gezondheidszorgstelsels”(lid h). Dit is in het model privacyreglement terug te vinden in hoofdstuk 3.2.3. De notie van de zorgbestuurder als verwerkingsverantwoordelijke is trouwens direct al te zien in de definitielijst, waarin gesteld wordt dat deze verantwoordelijke meestal de bestuurder van de zorgaanbieder(lees: instelling) is. Even de tekst doorzoeken op “verwerkingsverantwoordelijke” laat zien dat deze bevoegdheid in dit reglement alleen de zorgbestuurder toekomt.

Verdere verwerking

In het hoofdstuk 3.2. getiteld: “Verwerking van persoonsgegevens van cliënten in overeenstemming met de AVG” staan onder 3.2.1 tot en met 3.2.3 een aantal punten die het doorleveren van persoonsgegevens in de ogen van GGZ Nederland zouden mogen rechtvaardigen. Allereerst gaat het daarbij om de omschrijving die in artikel 9 punt 2 lid j en later ook in punt 53 van de AVG beschreven staan: “de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (“doelbinding”).” Het probleem is echter dat de genoemde redenen te vaag en te breed zijn en “wetenschappelijk” en “statistisch” niet een duidelijk omschreven en gespecificeerd doel zijn, maar een methode aangeven van verwerking.

Verraderlijk

Ronduit verraderlijk is de vermelding in 3.2.2 dat het doorleveren van de data toegestaan is als de gegevensverwerking noodzakelijk is voor de goede vervulling van een taak in het algemeen belang, dat elders in een wet is vastgelegd met eventuele nadere bepalingen. Dat opent de mogelijkheid dat als er maar een wetje gemaakt wordt en er zo een wettelijke basis voor de gegevensdoorlevering zou zijn, de doorlevering zo maar zou mogen. Ondanks een wettelijke basis volgens Nederlands recht moet een verstrekking van persoonsgegevens aan derden te allen tijde voldoen aan de norm van een duidelijk omschreven doel, dat niet te algemeen mag zijn, en moet er voldaan zijn aan de principes van noodzakelijkheid, proportionaliteit en subsidiariteit. Dat vloeit namelijk voort uit toetsing van elke nationale wetgeving aan datgene wat vermeld staat in het Europees Verdrag voor de Rechten van de Mens, specifiek in artikel 8 daarvan. Ik beschreef dit in een artikel op deze website op 13 maart 2018.

Besef

Zowel cliënten als individuele zorgverleners in dienst bij zorginstellingen dienen zich te realiseren wat zich thans op bestuursniveau bij hun instellingen plaats vindt. Het besef dat er onherroepelijke dingen gebeuren als men niet waakzaam en assertief is moet gaan groeien. Ongetwijfeld zullen in het kader van de inwerkingtreding van de AVG de contracten van  zorgverleners bij instellingen aangepast gaan worden en zal daarin gerefereerd gaan worden aan het privacyreglement. Cliënten zullen het nieuwe privacyreglement ter inzage krijgen en zich dienen te realiseren wat er onder dat reglement dreigt te gebeuren. Cliëntenverenigingen en beroepsverenigingen van psychotherapeuten, psychologen en psychiaters dienen tegen deze kaping van zeggenschap over patiëntgegevens in het geweer te komen.   Als cliënten en zorgverleners hun behandelcontract respectievelijk het nieuwe dienstverbandcontract ongewijzigd tekenen, dienen zij zich ervan bewust te zijn dat ze daarmee het medisch beroepsgeheim mee om zeep helpen. Daarnaast is dan ook de mogelijkheid om expliciet toestemming te kunnen geven verdwenen.

W.J. Jongejan




Overheid V.K gaat met gestrekt been in tegen bezwaren van het delen NHS-data

gestrekt been

Op 29 november 2017 schreef ik een artikel over het delen van administratieve data, afkomstig van de National Health Service(NHS), tussen de immigratiedienst van het Verenigd Koninkrijk en NHS Digital. De laatstgenoemde is het Health and Social Care Information Center van de NHS. Met het afgesloten Memorandum of Understanding maakten de betrokkenen het mogelijk dat de immigratiedienst inlichtingen krijgt over persoonsgegevens die over illegale immigranten bekend zijn in de administratie van de NHS. Maatschappelijke organisaties maken bezwaar tegen deze praktijken door onder andere het aanspannen van een rechtszaak bij het High Court. Ook de House of Commons Health Committee, de gezondheidszorgcommissie van het Lagerhuis, sprak zich duidelijk uit tegen dit NHS-data-delen en startte een eigen onderzoek. Evenals de maatschappelijk organisaties waren de parlementariërs bang voor een enorme deuk van het vertrouwen van het publiek in de NHS en bang dat er zorgmijding zou gaan optreden bij de doelgroep. Men betwijfelde in het parlement of de  overheid wel de juiste balans gevonden had tussen het publieke belang van het vertrouwen in de NHS en het belang van een effectieve immigratie controle. Vertrouwelijkheid is de hoeksteen van arts-patiëntrelatie. Die betreft niet alleen de medische data die vastgelegd zijn maar ook de persoonsgegevens die in allerlei zorgsystemen worden vastgelegd.

House of Commons Health Committee

In een brief op poten heeft de voorzitster van voornoemd Lagerhuis-commissie, Sara Wollaston van NHS Digital geëist dat die moet stoppen met het delen van NHS-data met het Home Office(Ministerie van Binnenlandse Zaken) en het Memorandum of Understanding met onmiddelijke ingang in te trekken. Verweten wordt ook dat er geen adequate consultatie heeft plaatsgevonden van gezondheidszorgorganisaties en de National Data Guardian(toezichthouder  elektronische data-uitwisseling) en dat men het enige advies dat gevraagd was, aan Public Health England(PHE), naast zich neer had gelegd. Dat advies luidde dat alleen al de perceptie van het data delen van NHS Digital met het Home Office(immigratieafdeling) een serieus risico zou betekenen voor de volksgezondheid. Dat omdat qua kwetsbare groepen zorg zullen gaan mijden en hun ziekten anderen in gevaar zullen brengen.

Gestrekt been

Het antwoord van de bij de overheidsdeal betrokken organisaties( Home Office, Department of Health en NHS Digital op de vraag om de uitwisseling van data te stoppen is een zeer kort en beslist ‘neen’.  Ze stellen  dat zij de vertrouwelijkheid rond NHS-data serieus nemen en het belang erkennen van het vertrouwen van het publiek in de gezondheidszorg. Daarbij wordt ook herhaaldelijk gesteld dat het om niet-klinische informatie gaat. Ze suggereren dat de Lagerhuis-commissie de basis onder de samenwerking van de bij de data-uitwisseling betrokken partijen niet goed begrepen heeft. Het gaat het Home Office om bekende immigratieregels overtredende personen en niet het opsporen van ongedocumenteerde migranten. Men vond ook het in de vorige alinea genoemde zorg van PHE dat het data-delen een serieus gevaar voor de volksgezondheid was anekdotisch onderbouwd en vroeg aan deze organisatie dit punt eens twee jaar te monitoren  zonder dat overigens de data-uitwisseling onderbroken zou worden.

Grote fout

Het vergoelijken van het uitwisselen van de data ten behoeven van het opsporen van de verblijfplaats van  illegale immigranten met NHS-data door te zeggen dat het alleen maar gaat om wat administratieve gegevens is op zich al een zeer zorgelijk verschijnsel. Het kunstmatig aanbrengen van een scheiding tussen de administratieve en de klinische data in patiëntendossiers is een ernstige fout en is het begin van een glijdende schaal. Persoonsgegevens en klinische data vormen een onlosmakelijk geheel. De volgende stap is nu al te voorzien, namelijk dat men bij de klinische data gaat spreken van data van “minor importance” en data van “major importance”, waarbij de eerste dan wel uitgewisseld met enigerlei niet-zorgorganisatie zouden kunnen worden. Wat nu gebeurt in het VK met de NHS-data is een ernstige vorm van zogenaamde function-creep. Het begrip doelbinding wordt ermee opgerekt. De data zijn verzameld i.vm. met medische behandeling van individuen en wat men nu doet(illegale immigranten opsporen) is een totaal ander doel.

Function creep

Dit is een verschijnsel wat we overal, ook in ons land zien als dat ergens voor verzameld zijn. Dan is het o,zo handig om die data die er dan toch zijn opeens te gaan gebruiken voor allerlei andere toepassingen. In de gezondheidszorg is het echter een uiterst kwalijke ontwikkeling omdat het gaat om kwetsbare individuen waarvan de betreffende informatie uiterst gevoelig is.

Er is dus alle reden om u de ontwikkelingen aan de overzijde van het Kanaal voor te houden, want morgen kan het hier gebeuren.

W.J. Jongejan

Voor dit artikel werd meerdere keren gebruik gemaakt van informatie afkomstig van de website www.theregister.co.uk.