Akwa maakt onrechtmatig verkregen ROM-data toch raadpleegbaar

illegal

Op de website van Akwa GGZ, kortweg Akwa genoemd, staat dat sinds 15 maart 2019 een geanonimiseerde dataset van ROM-data, verkregen van haar rechtsvoorganger SBG, te raadplegen is. Het gaat om data, waarvoor geen toestemming aan de patiënt gevraagd is, voor het mogen be-/verwerken. SBG beheerde de data in gepseudonimiseerde vorm. In maart 2017 gaf de toenmalige minister van VWS, Edith Schippers, in haar antwoord op Kamervragen aan dat voor het verwerken van die data een wettelijke grondslag nodig is. Het verkrijgen van expliciete toestemming van de patiënt is één van die grondslagen. Terwijl de Autoriteit Persoonsgegevens(AP) nog steeds, al meer dan 100 weken, onderzoek doet naar de rechtmatigheid van de verwerking door SBG, komt Akwa met de beschikbaarstelling van de data voor onderzoek door professionals. Ook al gaat het om anonimisatie na de aanvankelijke pseudonimisatie, het blijven onrechtmatig verkregen data, die niet hergebruikt mogen worden.  Een even opmerkelijke als juridisch aanvechtbare stap van Akwa.   

SBG

Deze afkorting stond voor Stichting Benchmark GGZ dat, volledig betaald door zorgverzekeraars, Routine Outcome Monitoring(ROM)-data verzamelde en be-/verwerkte. Die data komen uit vragenlijsten die de patiënt invult en die het mogelijk maakt het verloop van de therapie met de therapeut te evalueren. Ten onrechte zijn deze data opgevat als een bron van gegevens om de kwaliteit van de zorg te meten en te vergelijken. SBG kwam in de problemen toen in de loop van 2017 er een heftig debat ontstond over het gebruik van deze data. Aangezien het om gepseudonimiseerde data ging, dienden die beschouwd moeten worden als (bijzondere) persoonsgegevens. Dientengevolge had mede omdat SBG die data buiten de instellingen en praktijken van zorgaanbieders verwerkte, toestemming aan de patiënt gevraagd moeten worden.

Heel verhaal

Akwa zet op haar website een heel verhaal over nu raadpleegbaar gemaakte data:

“Omdat we buiten de privacy discussie over eerder verzamelde uitkomstinformatie wensen te blijven, nemen wij uitsluitend gegevens over van SBG die relevant zijn voor het benutten van uitkomstgegevens. De dataset die wij hebben overgenomen, is ontdaan van gegevens zoals pseudo BSN en de herkomstgroepering. Vervolgens hebben we onderdelen van de resterende dataset zodanig bewerkt dat de gegevens niet kunnen worden herleid naar personen, ook niet wanneer we nieuwe gegevens ontvangen.”

Dit verhaal doet helemaal niets af aan de onrechtmatige verwerving van de dataset door SBG. Akwa mag en kan daarom deze dataset ondanks de door haar gedebiteerde maatregelen gewoon niet gebruiken. Ze maakt zich schuldig aan “heling”.

 Onwillige AP

Normaal gesproken zou men verwachten dat de toezichthouder, in dit geval de Autoriteit Persoonsgegevens(AP) toeziet op een dergelijk kwalijke handelswijze. De AP lijkt echter dit gebruik stilzwijgend te faciliteren. Dat gebeurt via twee sporen. Het heeft te maken met een sinds begin 2016 lopende rechtszaak , aangespannen door de burgerrechten-vereniging Vrijbit tegen de AP en een handhavingsverzoek van een ex-GGZ patiënte bij de AP. In het eerste geval traineert de AP al een paar jaar een uitspraak over het zonder toestemming van de patiënt gebruiken van gepseudonimiseerde data. In het tweede geval is de AP al meer dan 100 weken bezig met onderzoek over de vraag over de onrechtmatigheid van de verwerking van gepseudonimiseerde ROM-data door SBG. Het lijkt erop dat de AP een uitspraak erover voor zich uit schuift tot na het bekend worden van de uitspraak in de zaak UTR 16/4199 WBP V93 van Vrijbit tegen haar.

Vrijbit

De zaak UTR 16/4199 WBP V93 gaat over de wijze waarop de Nederlandse Zorgautoriteit (NZa) de medische diagnose- en behandelgegevens (DBC’s) van de gehele Nederlandse bevolking periodiek opeist van de zorgverleners, deze zelf verwerkt in het DBC Informatie Systeem(DIS) en verstrekt aan derde partijen. De laatste zitting in deze zaak was op 15 februari 2019. De uitspraak wordt verwacht op of vlak voor 11 mei 2019.

 Oogluikend toestaan

De AP kan door dit alles met recht verweten worden oogluikend de handelswijze van Akwa toe te staan. Wat deze materie wel heel erg duidelijk maakt dat als er enorme belangen in het spel zijn de AP geneigd is de oren te laten hangen naar invloedrijke belanghebbenden bij het verzamelen van die data. Al eerder stelde ik dat het een toezichthouder onwaardig is. Des te frustrerender is het dat de AP met haar gedrag die belanghebbenden in hoge mate faciliteert. Akwa probeert grenzen te verkennen met haar in juridisch opzicht opmerkelijke actie.

W.J. Jongejan, 21 april 2019

 

 

 

 

 




Wegduikende Autoriteit Persoonsgegevens faciliteert weer massale overdracht van medische data

wegduikende

Op zaterdagochtend 30 maart 2019 verscheen op de website van het Algemeen Dagblad een artikel over het kopiëren van massale hoeveelheden patiëntendata naar servers van de Google-cloud. Enkele uren later gevolgd door een tweede artikel, genaamd: “Ook jouw medische data liggen nu bij Google”.  Dat gebeurde door het dataverwerkingsbedrijf Medical Research Data Management (MRDM), één van de grootste medische dataverwerkingsbedrijven van het land. Die kopieerde die data naar het Google Cloud Centre aan de Eemshaven te Groningen. Het gaat om gepseudonimiseerde behandelgegevens van honderdduizenden Nederlanders uit ziekenhuizen en bevolkingsonderzoeken. MRDM verzamelt en verwerkt zorgdata om er bigdata-analyse op uit te voeren. Wat hier gebeurt is al meerdere keren op andere terreinen gebeurt. Bij de verzameling van diagnosegegevens in het Diagnose BehandelCombinaties(DBC’s) in het DBC Informatie Systeem(DIS) gebeurt precies hetzelfde met gepseudonimiseerde gegevens. Ook bij het verzamelen van Routine Outcome Momitoring(ROM)-data uit de geestelijke gezondheidszorg(GGZ) gebeurt precies hetzelfde. Ik schreef er op deze website vaker over. Bij al die verwerkingen speelt de Autoriteit Persoonsgegevens(AP) een dubieuze, maar cruciale faciliterende rol.

Autoriteit Persoonsgegevens

De AP speelt die rol omdat ze oogluikend het verwerken van gepseudonimiseerde gegevens voor andere doeleinden dan waarvoor ze bedoeld zijn, zonder nadere toestemming van de patiënt, toestaat. Diverse pogingen om de AP bij de les te houden stranden op de halsstarrige houding van de AP om een beslissing te nemen over de gevolgen van de status van gepseudonimiseerde patiëntgegevens. Die pogingen zijn in gang gezet via de burgerrechtenvereniging Vrijbit in samenwerking met de Stichting KDVP en door een handhavingsverzoek aan de AP door een ex-patiënte uit de GGZ in het voorjaar van 2017. Naar het DIS doorgestuurde data zijn gepseudonimiseerd. Dat geldt ook voor de ROM-data die eerst naar de Stichting Benchmark GGZ gingen en nu naar de rechtsopvolger Akwa in samenwerking met De Nieuwe Entiteit als verwerker. Het handhavingsverzoek dat de ex-patiënte in maart 2017 deed aan de AP  hield in dat de AP gevraagd werd er op toe te zien dat de verzameling en verwerking van ROM-data gestaakt moest worden omdat zulks zonder toestemming van de patiënt gebeurde. Mede naar aanleiding van dit handhavingsverzoek startte de AP een onderzoek in juni 2017 richting SBG.

Gepseudonimiseerde patiëntgegevens

Patiëntgegevens die gepseudonimiseerd zijn dienen te worden beschouwd als (bijzondere) persoonsgegevens. Pseudonimisatie is namelijk geen anonimisatie. Bij dat laatste is sprake van een onomkeerbaar proces. Na anonimisatie is geen herleiding tot een persoon mogelijk. In het artikel in het AD geeft de directeur van het bedrijf ook aan dat enkele werknemers die ontsleuteling kunnen toepassen. De AP heeft zelf in 2015 duidelijk gemaakt dat pseudonimisatie een beveiligingsmaatregel is die de herleidbaarheid tot het individu beperkt, maar niet voorgoed onmogelijk maakt.

Geen toestemming gevraagd

Dat verwerkte de voormalige minister van VWS Edith Schippers in een antwoord op Kamervragen in maart 2017 over het verzamelen van en verwerken van ROM-data. Zij bevestigde dat pseudonimiseren slechts een beveiligingsmaatregel is. Daarnaast zei ze dat er dus voor de verwerking van gepseudonimiseerde gegevens een wettelijk grondslag nodig is op basis van de Wet bescherming persoonsgegevens(Wbp). Het verkrijgen van expliciete toestemming van de patiënt is één van de grondslagen. Noch in het geval van de DIS-data, noch bij de ROM-data, noch bij de door MRDM verwerkte data is van die toestemmingsvraag  sprake.

Laffe houding

De AP heeft door de loop der tijd blijk gegeven van het niet eigenstandig krachtige beslissingen nemen. Ze laat haar oren hangen naar de politiek en naar grote veldpartijen zoals de zorgverzekeraars. De rechtszaak van Vrijbit en KVDP loopt al vanaf begin 2016 en wordt door toedoen van de AP telkenmale getraineerd. Het onderzoek van de AP over het verzamelen van ROM-data door eerst SBG en huidige rechtsopvolgers is na 94 weken nog steeds niet afgerond. Het handhavingsverzoek is om formele gronden afgewezen. De vraagstelster stelde ruim 100 weken na maart 2017 de AP in gebreke vanwege het niet nemen van een beslissing binnen de normaal geldende termijnen. De AP stelde dat het verzoek te moeten afwijzen omdat het onderzoek nog niet was afgerond(sic!)

Legaal?

Het bedrijf MRDM stelt dat alles volkomen legaal gebeurt. In haar persbericht staat dat het zorgdata verwerkt in opdracht van de partij die wettelijk verantwoordelijk is voor die data, met een vooraf afgestemd doel. Ziekenhuizen geven volgens MRDM opdracht om de gegevens te verwerken ten behoeve van kwaliteitsverbetering, kostenbeheersing en/of onderzoek. Daarmee haalt het bedrijf letterlijk een uitzonderingsbepaling in de AVG aan, waar in punt 52 staat dat die gronden een uitzondering kunnen zijn voor het verbod op het verwerken van bijzondere persoonsgegevens. Men gaat echter daarbij voorbij aan het feit dat voor het verwerken van bijzondere persoonsgegevens voor een ander doel dan waarvoor ze initieel vergaard zijn toestemming nodig is van de patiënt. Daar hoort de AP op toe te zien en op te handhaven.

Een Autoriteit Persoonsgegevens die wegkijkt bij kritische vragen en geen beslissing durft te nemen is de naam Autoriteit niet waardig. Ze faciliteert onwettige praktijken.

O ja: ook nu weer betalen de zorgverzekeraars grotendeels de acties van MRDM.

W.J. Jongejan, 1 april 2019.

 

 

 




Onbegrijpelijke gebeurtenis met geheime stukken in rechtszaak Vrijbit

geheim

Tijdens één van de zittingen van de rechtbank Midden-Nederland op vrijdag 15 februari 2019 in de zaken die de burgerrechtenvereniging Vrijbit tegen de Autoriteit Persoonsgegevens(AP) aanspande deed zich iets zeer opmerkelijks voor. Ik beschreef zeer recent(14 februari 2019) deze twee zaken op deze website. In dat artikel maakte ik al melding van het feit de AP na het verstrijken van elk redelijke termijn in september 2018 plotseling een flinke stapel papier  bij de rechtbank deponeerde. Daarbij de melding dat een aanzienlijk deel van deze stukken onder geheimhouding werd aangeleverd en dus niet aan de eisende partij, Vrijbit, geopenbaard mocht worden. De rechtbank blijkt deze gang van zaken geaccepteerd te hebben.  De jurist Ab van Eldijk die samen met Vrijbit voorzitter Miek Wijnberg, de eisende partij vertegenwoordigde was  echter volstrekt verbijsterd toen de AP ter zitting alsnog enige geheime stukken wilde inbrengen.

Gang van zaken

De geheime stukken bracht de AP in de zaak UTR 16/3326 WBP V97 in.  Bij deze zaak gaat om het afgewezen verzoek van Vrijbit op 3 mei 2015 aan de AP om een eind te maken aan de onrechtmatige verzameling en verwerking van medische gegevens door de zorgverzekeraars. Ter zitting meldde de voorzitter  van de rechtbank dat de onder geheimhouding door de AP ingebrachte stukken ter beoordeling waren voorgelegd aan een andere rechter in de rechtbank, belast met het beoordelen van geheime stukken. Die had geoordeeld dat het geheimhouden van deze stukken, die betrekking hadden op de kern van deze procedure, te weten de verwerking van medische persoonsgegevens bij zorgverzekeraars, gepermitteerd werd,  en niet ter beschikking gesteld behoefden te worden aan Vrijbit.

Loos gebaar

Ter zitting kreeg Vrijbit alsnog één A4-tje uitgereikt, met daarop de omschrijving van een tweetal stukken die de AP ter plekke nog aan het dossier wilde toevoegen.  Het is bevreemdend dat de rechtbank niet direct  bezwaar gemaakt heeft tegen het verzoek van de AP om op deze wijze ter zitting nieuwe stukken in te brengen. Overigens is het verzoek om geheimhouding afkomstig van  zorgverzekeraars die informatie met betrekking tot de verwerking van medische persoonsgegevens menen te kunnen aanmerken als geheime bedrijfsinformatie.

No fair trial

Op de hierboven beschreven wijze is er geen sprake van een “fair trial”. Een tegenpartij die nota bene toezichthouder is op privacy-zaken traineert gedurende enkele jaren een procedure over de systematische grootschalige verwerking van medische persoonsgegevens in strijd met de wet en verdrag. Zij meent dat in een dergelijke even gevoelige als belangrijke procedure stukken geheim gehouden kunnen worden die betrekking hebben op de (onrechtmatige) wijze waarop zorgverzekeraars medische persoonsgegevens verwerken die zijn verkregen met doorbreking van het medisch beroepsgeheim.  Van een gelijke informatiepositie van procespartijen is daarmee geen sprake meer. Als informatie over de wijze waarop medische persoonsgegevens worden verwerkt door zorgverzekeraars gemaakt wordt tot geheime bedrijfsinformatie dan wordt daarmee een vrijbrief afgegeven voor elk gebruik van beschikbare medische persoonsgegevens, omdat controle daarop tot een illusie is geworden.

Ingewikkeld

Eén van de punten die in deze zitting aan de orde kwam was de beperking in het onderzoek naar de zorgverzekeraars dat de AP zich zelf had opgelegd. De zaak ging erom dat er een einde wordt gemaakt aan de wijze waarop zorgverzekeraars in Nederland volgens procedures beschreven in de  Gedragscode  Zorgverzeke-raars (medische) persoonsgegevens verzamelen en verwerken op een wijze die strijdig is met nationale en internationale wetgeving ter bescherming van het recht op een privéleven en die tevens een inbreuk vormt op het medisch beroepsgeheim. Je zou dan ook verwachten dat de AP onderzoek gedaan had bij alle zorgverzekeraars en bij de overkoepelende organisatie Zorgverzekeraars Nederland. Dat was niet het geval. De AP beperkte zich tot vier zorgverzekeraars. In de rechtszaal was Zorgverzekeraars Nederland ook niet aanwezig. Wel had zorgverzekeraar Zilveren Kruis ter zitting een advocaat afgevaardigd. Hij sprak welgeteld drie korte zinnen tijdens de zitting.

Onbevredigend

De vertoonde procesgang maakte op mij een zeer onbevredigende indruk. Het beeld bleef hangen van een wegdraaiende en duikende AP, die door niet handhavend op te treden de belangen van zorgverzekeraars laat prevaleren boven de belangen van burgers, boven het belang van het medisch beroepsgeheim en het behoud van vertrouwelijkheid in de zorg.

De rechtbank probeert over zes weken de uitspraak te doen, maar de voorzitter liet weten dat gezien de ingewikkeldheid van de materie mogelijk de uitsteltermijn van nog eens zes weken in beeld komt.

W.J. Jongejan, 18 februari 2019

19 februari 2019:  wat tekstuele aanpassingen in meerdere alinea’s door informatie  verkregen van andere ter zitting aanwezigen.

 




Geheimzinnigheid Autoriteit Persoonsgegevens in principiële rechtszaken

geheime stukken

Aanstaande vrijdag 15 februari 2019 dienen in de ochtend twee zeer interessante zaken over het verzamelen en verwerken van medische gegevens bij de Rechtbank Midden-Nederland in Utrecht. Locatie: Vrouwe Justitiaplein 1. Het gaat om zeer principiële zaken bij de bestuursrechter. De burgerrechtenvereniging Vrijbit voert die al enige tijd. In beide zaken is de Autoriteit Persoonsgegevens(AP) de gedaagde partij. De procesgang duurt al vanaf 2015. De AP heeft op velerlei wijzen de procesgang ernstig vertraagd. Om 09.00u dient de zaak UTR 16/4199 WBP V93 en om 10.30u de zaak UTR 16/3326 WBP V97. Over dit onderwerp  schreef ik al eerder op 15 maart 2017. De komende zittingen zijn zeer interessant voor geïnteresseerden in de privacy van burgers en van patiënten in het bijzonder. De zaken zijn een voortzetting van de rechtszaken met dezelfde nummering die op 10 maart 2017 in Utrecht dienden. In dit artikel zal ik duidelijk maken dat het handelen van de AP een toezichthouder onwaardig is.

De zaak over het DIS

De zaak UTR 16/4199 WBP V93 gaat over de wijze waarop de Nederlandse Zorgautoriteit (NZa) de medische diagnose- en behandelgegevens (DBC’s) van de gehele Nederlandse bevolking periodiek opeist van de zorgverleners, deze zelf verwerkt in het DBC Informatie Systeem(DIS) en verstrekt aan derde partijen. Het DIS, waarvan het College Bescherming Persoonsgegevens(CBP), de rechtsvoorganger van de AP, elf jaar geleden al aangaf dat het geen tot de persoon herleidbare persoonsgegevens zou mogen bevatten. Toch grijpt de AP maar niet in, hoewel al jaren terug onomstotelijk is komen vast te staan dat het wel degelijk om persoonsgegevens gaat. Het handelt in deze kwestie om de behandeling van een beroepszaak die het gevolg is van een handhavingsverzoek dat al meer dan twee jaar geleden werd ingediend.

De zaak over de onrechtmatige gedragscode zorgverzekeraars

De zaak UTR 16/3326 WBP V97 gaat om het afgewezen verzoek van Vrijbit op 3 mei 2015 aan de AP om een eind te maken aan de onrechtmatige verzameling en verwerking van medische gegevens door de zorgverzekeraars. Die gaan tot op de dag van vandaag met de medische gegevens van hun klanten om volgens een gedragscode die strijdig is met de fundamentele rechten op bescherming van het privéleven van patiënten en medisch beroepsgeheim.

Enorme vertraging

Door toedoen van de AP hebben beide zaken een enorme vertraging opgelopen. Ook een verschoning van een rechter daags voor een zitting in december 2016 zorgde voor een uitstel van drie en een halve maand. De reden was niet direct duidelijk, maar nadien bleek dat de partner van één van de rechters een bedrijf had dat zich met de verwerking van medische data professioneel bezig hield.

Coulance rechtbank voor AP

De rechtbank gaf in haar voorlopige uitspraak van 21 augustus 2017 de AP acht weken de tijd om uitgebleven handelen(handhaven) richting NZa(zaak UTR 16/4199 WBP V93) en richting zorgverzekeraars(zaak UTR 16/3326 WBP V97) alsnog te herstellen. Na dit tijdsbestek gaf de AP aan nog 26 weken nodig te hebben voor wat de rechtbank vroeg. De rechtbank stond dit toe. Na die tijd bleek de AP nog steeds niet voldaan te hebben aan het verzoek van de rechtbank. De rechtbank bood ze een vinger, maar de AP nam meer dan een hele hand! Toen in de loop van 2018 door Vrijbit aan de rechtbank kenbaar was gemaakt dat elke redelijk termijn overschreden was, kwam de AP op 17 september 2018 opeens met een zeer uitzonderlijke actie.

Geheime stukken

De AP presenteert dan aan de rechtbank in beide dossiers(zaak UTR 16/4199 WBP V93 en zaak UTR 16/3326 WBP V97) een zes centimeters hoge stapel papieren met geheime informatie. Die stukken waren alleen ter inzage voor de rechtbank. In deze kwesties van zeer principiële aard is een dergelijke ontwikkeling toch wel erg vreemd. Blijkbaar zijn er zulke grote belangen bij de door Vrijbit gewraakte activiteiten waarop de AP zou moeten acteren dat men  voor deze werkwijze kiest.

Geen equality of arms

In de rechtsgang is het een buitengewoon groot goed dat beide partijen over dezelfde informatie beschikken en daarop hun handelen afstemmen. Als beide procespartijen niet over dezelfde documenten beschikken kan dat in strijd zijn met het recht op een eerlijk proces onder art. 6 van het Europese Verdrag van de Rechten van de mens(EVRM). Het is het principe van de “equality of arms”. Slecht s in een zeer beperkt aantal gevallen kan hier van af geweken worden als daar een omschreven wettelijke grondslag(uitspraak Raad van State) voor is.

Stuitend

Het is stuitend om te zien hoe een toezichthouder op de privacy, die de AP behoort te zijn, haar handhavende taak niet waarmaakt. Ook stuitend is de wijze waarop de procesgang eindeloos getraineerd is en de wijze waarop men uiteindelijk met processtukken aankomt die niet door de andere procespartij ingezien mogen worden.

Het is handelen dat een toezichthouder onwaardig is, slechts verklaarbaar door grote belangen die diverse partijen in de gegevensverzameling en -verwerking hebben.

W.J. Jongejan, 14 februari 2019




Rupsje Nooitgenoeg NZa gaat onder druk een blaadje minder eten

rupsje nooitgenoeg

Niet zo prominent was in de nieuwsbrief van de Nederlandse Zorgautoriteit(NZa) op 23 november 2018  te zien dat binnenkort een zeer belangrijke verandering doorgevoerd wordt. De NZa maakte kenbaar dat per 15 april 2019 een wijziging plaats vindt in de inhoud van de Minimale DataSet(MDS) die zorggaanbieders in de specialistische geestelijke gezondheidszorg(GGZ) moeten aanleveren aan het DIS. Dat staat voor het Diagnose Behandel Combinatie(DBC) Informatie Systeem. Daarin slaat de NZa op persoonsniveau gegevens op over medische diagnoses en de behandeling. Ze stelt nu dat na 15 april het aanleveren van de hoofddiagnose volstaat. De informatie over diepere niveaus vraagt men dan niet meer op. Tegelijk meldt de NZa dat informatie over die diepere niveaus die de afgelopen jaren aangeleverd is niet meer voor verdere verwerking beschikbaar zal zijn. Let wel: hier schrijft de NZA niet dat die dat vernietigd worden, maar dat ze niet meer beschikbaar zijn. Het is een zeer beperkte aanpassing . Maar deze stap moet wel gezet zijn onder druk van een rechtszaak. Die betreft een eerdere weigering van de Autoriteit Persoonsgegevens om handhavend op te treden tegen de NZa inzake aanlevering van (zeer gedetailleerde) behandelinformatie op persoonsniveau bij het DIS.

Rupsje nooitgenoeg

De NZa geeft met het DIS blijk van een enorme datahonger en is een echt Rupsje Nooitgenoeg. Het zijn data die verzameld worden om beleid te ontwikkelen en ondersteunen in de zorg. Het trieste is dat er bewust voor gekozen is om op persoonsniveau centraal persoonsgegevens te verzamelen. Ook al zijn die gegevens (dubbel) gepseudonimiseerd, het blijven persoonsgegevens. Dat inzicht is de laatste paar jaar steeds duidelijker uitgekristalliseerd en vormt de basis voor verzet tegen het DIS en de ROM-data-verzameling.  Voor beleidsontwikkeling en ondersteuning is het totaal onnodig om op persoonsniveau centraal data te verzamelen. Het College Bescherming Persoonsgegevens, de rechtsvoorganger van de Autoriteit Persoonsgegevens,  stelde in 2006 al dat een dergelijke dataverzameling tot de zeer risicovolle activiteiten behoort. De hoeveelheid data die de NZa verzameld, vooral in de MDS van de specialistische GGZ is schrikbarend groot. Onder dit artikel heb ik de hele set die de NZa na 15 april 2019 nog wil hebben tegen mijn gewoonte in om een artikel beperkt te houden toch eens afgedrukt. U krijgt dan ook een indruk van de enorme administratieve last die het aanleveren van deze data met zich meebrengt.

Beperking

Wat is nu die beperking die de NZa doorvoert. Binnen de MDS diende de volledige DSM-IV diagnose gespecificeerd te worden. Daarbij gaat het om een psychiatrische diagnose die verpakt is in 5 assen: primaire symptomatologie (de ‘psychische ziekte’), achterliggende persoonlijkheidsstoornissen, (bijkomende) somatische ziekten, psychosociale en uitlokkend factoren en het niveau van functioneren( geschat op een schaal van 1 tot 100).  Het behoeft geen betoog dat zoiets een enorm gedetailleerde informatie is over een persoon. Vanaf 15 april 2019 dient alleen de hoofddiagnose, maar niet die van de andere assen aangeleverd te worden.

Rechtszaak

In 2017 diende voor de Rechtbank Midden Nederland de zaak AWB-16_4199 die de burgerrechtenvereniging Vrijbit tegen de Autoriteit Persoonsgegevens(AP) had aangespannen. Als derde partij heeft de NZa ook aan de zitting deelgenomen. De reden was de eis tot handhaving door de AP tegen het verstrekken en verwerken van gegevens door de NZa via het  DIS. De meervoudige kamer van de rechtbank deed een tussenuitspraak waarin de AP en NZa de gelegenheid werd geboden om alsnog te voorzien in maatregelen waarmee de gevolgen van de onrechtmatige verwerking van medische persoonsgegevens door het DIS zonder toestemming van de patiënt teniet zouden worden gedaan. De rechtbank deed de uitspraak onder voorzitterschap van mr. Verburg die zich tijdens de zitting uiterst kritisch tegen de AP en de NZa toonde.

Traineren

Uit welingelichte bron vernam ik dat zowel de AP als de NZa er alles aan hebben gedaan om de mediatie te traineren en geen veranderingen in hun handelen aan te brengen. Over de voorzitter van de rechtbank, mr. Verburg, werd in de loop van 2017 bekend dat die benoemd zou worden bij de Raad van State. Het is zeer waarschijnlijk dat het traineren daar deels mee te maken had, omdat men na zijn overstap op een minder kritische rechter hoopt. Daarnaast is het zo dat het handelen van de AP in meer zaken zich kenmerkt door het traineren van beslissingen. Zo wacht een handhavingsverzoek over het door de Stichting Benchmark GGZ verzamelen van ROM-data al 89 weken op een beslissing van de AP. De burgerrechtenvereniging is inmiddels het traineren zat. Het gaat voor  Vrijbit nu al om 17 maanden na de uitspraak van de rechtbank midden juli 2017. Een nieuwe zitting staat voor februari 2019 op de rol bij de rechtbank.

Eerder vertoond

Al eerder is vertoond dat een data-verzamelende instelling vlak voor een rechtszitting een aanpassing doet aangaande de gewraakte materie. Zo veranderde de Stichting Benchmark GGZ(SBG) enkele weken voor een rechtszaak van twee patiënten op 13 juli 2017  tegen SBG over ROM-data de wijze waarop een aantal cruciale data aangeleverd dienden te worden. Ook kwam twee dagen voor die rechtszaak de mededeling dat SBG begin 2019 op zou houden te bestaan en op zou gaan in een nieuw op te richten kwaliteitsinstituut voor de GGZ, thans Akwa genaamd. Het is een beproefde tactiek om de beslissing van de rechter  te beïnvloeden.

De huidige aanpassing door de NZa past in zo’n rijtje, maar is beslist onvoldoende. Het hele systeem van het DIS waarin op persoonsniveau centraal zorgdata worden verzameld is onnodig voor het doel: beleidsontwikkeling en -ondersteuning in de zorg. Dat kan even goed op basis van geaggregeerde data verkregen met geautomatiseerde rapportages gemaakt op basis van gegevens die (decentraal) bij zorgverleners aanwezig zijn.

W.J. Jongejan, 11 december 2018

12 december: enkele kleine tekstuele aanpasssingen gemaakt in alinea Rechtszaak

—————————————————————————————–

 

Minimale dataset vanaf 15 april 2019:

Identificatie zorgaanbieder

Unieke identificatie zorgaanbieder (AGB-code) 1

Patiëntgegevens (gepseudonimiseerd):

-naam cliënt

-geboortedatum

-geslacht

-postcode

-Burgerservicenummer

-unieke identificatie zorgverzekeraar (conform UZOVI-register)

-eerste inschrijfdatum

-laatste uitschrijfdatum

Hoofdbehandelaar

  • AGB-code (op persoonsniveau) en diens beroep

Verwijzer

– Het type verwijzer:

  1. verwezen patiënt vanuit de eerste lijn (o.a. huisarts, bedrijfsarts)
  2. verwezen patiënt vanuit een (andere) ggz-instelling, instelling voor medisch specialistische zorg of ggz-praktijk
  3. verwezen patiënt vanuit de crisis zorg of seh.
  4. eigen patiënt
  5. verwezen patiënt, maar verwijzer heeft geen AGB-code (bijvoorbeeld in geval van een verwijzing naar de crisis zorg, buitenlandse zorgaanbieder, bureau Jeugdzorg)
  6. zelfverwijzer
  7. bemoeizorg
  • AGB-code verwijzer (op persoonsniveau), indien er sprake is van type verwijzer genoemd onder 1 tot en met 4

Productie per cliënt

  1. Dbc-trajecten

Dbc:

-zorgtrajectnummer

-begindatum zorgtraject

-einddatum zorgtraject

-circuit

-zorgtype

-DSM diagnoseprofiel op hoofdgroepniveau1

– aantal minuten directe en indirecte patiëntgebonden tijd van iedere hoofdbehandelaar en iedere medebehandelaar en diens beroep

-totaal bestede directe en indirecte patiëntgebonden tijd per dbc

-afspraaknummer/code

Behandeling:

-begindatum dbc-traject

-einddatum dbc-traject

-afsluitreden dbc

-Gedeclareerde prijs

-declaratiedatum

Geleverd zorgprofiel binnen het dbc-traject:

-activiteiten, verrichtingen, overige deelprestaties en producten, zoals gedefinieerd in de Nadere regel gespecialiseerde ggz

-datum + tijdsduur activiteiten/producten

-beroep behandelaar

-deelfactor groepscontacten

 




Laakbare traagheid handelsmerk Autoriteit Persoonsgegevens bij principiële kwesties

AP handelsmerk

Meerdere zeer principiële zaken, waarin van de Autoriteit Persoonsgegevens(AP) als toezichthouder een beslissend oordeel gevraagd wordt, slepen zich zeer lang voort. Daarbij lijkt het erop dat de AP alle, maar dan ook alle, mogelijkheden benut om geen oordeel te hoeven vellen over principiële zaken, dan wel probeert het oordeel over een bepaalde datum poogt te tillen. Daarbij doel ik specifiek op de ingangsdatum van de Algemene Gegevens Verordening(AVG): 25 mei.  Dat is over tien dagen. Ik doel daarbij op handhavingsverzoeken over de gedragscode zorgverzekeraars, ingediend  bij de rechtsvoorganger van het AP, het College Bescherming Persoonsgegevens(CBP) in maart 2015. Daarnaast die betreffende de verwerking van medische persoonsgegevens in het DIS( DBC Informatie Systeem), ingediend in mei 2015 , maar ook die over de onrechtmatige verzameling van Routine Outcome Monitoring(ROM) gegevens, ingediend in maart 2017.

KDVP

De stichting KDVP(zet zich in  voor behoud van vertrouwelijkheid en beroepsgeheim in de zorg) levert al meerdere jaren slag met de privacy-waakhond. Eerst met het CBP en sinds 1 januari 2016 de AP. Het gesteggel over de gedragscode zorgverzekeraars dateert al van even voor 2013. De gedragscode moest reguleren hoe zorgverzekeraars met medische gegevens van hun verzekerden dienden om te gaan.  Medische gegevens mogen slechts voor strikt afgebakende doelen worden verwerkt. Informatie opgevraagd om zorgdeclaraties te controleren, mag bijvoorbeeld niet worden ingezet voor de beoordeling voor een aanvullende verzekering, contractonderhandelingen met zorgverleners of marketingdoeleinden. In plaats van nauwkeurig te specificeren waarvoor patiëntgegevens wel en niet mogen worden verwerkt, creëerde de gedragscode door haar vage formulering juist ruimte om deze gegevens voor onrechtmatige doelen te verwerken. Volgens de rechter ontbrak het in de gedragscode aan waarborgen om het illegaal gebruik van persoonsgegevens tegen te gaan. De AP trok naar aanleiding van het vonnis haar goedkeuring in. Aldus het Platform Burggerechten op 13 september 2017. Daarna kwamen de gezamenlijke zorgverzekeraars niet met een nieuwe dan wel aangepaste gedragscode. Op het handhavingsverzoek van de stichting KDVP aan de AP om hier handhavend op te treden is nog steeds geendefinitief uitsluitsel verkregen.

Vrijbit

De burgerrechtenvereniging Vrijbit spande zich ook in voor de hierboven beschreven kwestie d.m.v. een rechtszaak die in 2017 diende voor de rechtbank Midden Nederland.  De AP was daar dan ook de gedaagde partij. Daarnaast daagde Vrijbit de AP ook vanwege het plichtsverzuim van de toezichthouder om op te treden tegen de wijze waarop de Nederlandse Zorgautoriteit ( NZa) medische diagnose- en behandelgegevens (DBC) van de gehele Nederlandse bevolking verzamelt, gebruikt en verstrekt aan derden. Het verzamelen van de diagnosegegevens doet de NZa in het DBC Informatie Systeem(DIS), waarvan het CBP elf jaar geleden al aangaf dat het  geen tot een persoon herleidbare persoonsgegevens zou mogen bevatten. Deze zaken slepen zich door trainerende handelingen van de kant van de AP nog steeds voort.

ROM-data-levering

In maart 2017 richtte een ex-cliënt uit de GGZ zich tot de AP met een handhavingsverzoek. Het betrof de onrechtmatige verzameling en verwerking van ROM-data van GGZ-cliënten zonder expliciete toestemming van hen. Het verzoek vroeg om het verzamelen en verwerken van (medische en bijzondere) persoonsgegevens in de databank van SBG, zo spoedig mogelijk op te schorten en toe te zien op de vernietiging per direct van de gegevens in de SBG-databank. Ook dient toezicht plaats te vinden op hernieuwde wederrechtelijke vulling van de databank. De wettelijke termijn om binnen acht weken na indiening een besluit genomen te hebben over het verzoek tot handhaving is ondanks aansporing van de AP thans meer dan betamelijk overschreden.

Belangen

Je zou kunnen zeggen: ach wat betekenen die paar handhavingsverzoeken bij de AP nu op het geheel. Het punt is echter dat alle drie de hierboven beschreven casussen gaan over het grootschalig onrechtmatig verzamelen van medische gegevens, zijnde bijzondere persoonsgegevens door instellingen / bedrijven. Het gaat om een van overheidswege gesanctioneerde vorm van data-grabbing. Ten eerste lijkt de AP geneigd te zijn om met wat voor middelen dan ook liever geen beslissing te willen nemen en ten tweede is er een tendens om besluiten over de ingangsdatum van de AVG op 25 mei 2018 heen te tillen. Eén en ander lijkt in samenspraak, of minimaal met stilzwijgende toestemming,  te geschieden met het ministerie van VWS en de Nederlandse Zorgautoriteit(NZa). Men denkt dat op basis van artikel 9 punt 2  lid h en i, van de AVG(blz L119/38) om redenen van “het  beheren van gezondheidszorgstelsels”(lid h), respectievelijk het “waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg” (lid i) de dataverzameling gewoon in volle omvang mag doorgaan.

Misvatting

Het met de AVG in de hand proberen onrechtmatig data-verzamelen te rechtvaardigen berust echter op een juridische misrekening. Ook al is er een wettelijke regeling(AVG) actief geworden, dan nog moet deze voldoen aan de beginselen vastgelegd in artikel 8 EVRM(Europees Verdrag Voor de Rechten van de Mens). Dit betekent dat de verwerking van medische persoonsgegevens zonder toestemming van de patiënt gebaseerd dient te zijn op een wettelijke grondslag voor verwerking voor een welbepaald doel en moet voldoen aan begrippen van proportionaliteit en subsidiariteit.

Zodra de AP met een beroep op de AVG denkt weg te komen met een negatieve beslissing op genoemde handhavingsverzoeken is te verwachten dat de rechter andermaal wordt ingeschakeld om de AP tot de orde te roepen.

W.J. Jongejan, 15 mei 2018

 




IGJ schuift melding over ontbreken verificatieplicht VZVZ door naar AP

schuiver

Op 5 februari 2018 schreef ik op deze website een bijdrage met als titel “IGJ dient verificatieplicht tav toestemming delen medische data breder af te dwingen”. Het ging over de vraag van mij aan de Inspectie voor de Gezondheidszorg en Jeugd(IGJ) om de verificatieplicht die zij aan het Isala-ziekenhuis in Zwolle oplegde  breder te trekken. Daarbij vroeg ik de IGJ om stappen te zetten richting de Vereniging van Zorgaanbieders Voor Zorgcommunicatie(VZVZ) vanwege het op enige schaal plaats vinden van onterechte opt-in-toestemmingen voor het delen van medische informatie via het Landelijk SchakelPunt(LSP).  Door een verificatieplicht kan het onterecht noteren van opt-in-toestemmingen voor het delen van medische gegevens over het LSP de kop ingedrukt worden. Over het onterecht doen noteren van opt-in-toestemmingen bij apotheken voor medicatiegegevens deed de burgerrechtenvereniging Vrijbit al in de herfst van 2017 twee handhavingsverzoeken aan de Autoriteit Persoonsgegevens(AP). In een reactie op mijn verzoek aan de IGJ heeft de coördinerend specialistisch inspecteur eHealth, drs. J.W. Krijgsman, mij op 15 maart 2018 laten weten dat de IGJ mijn verzoek niet in behandeling kon nemen en doorgeschoven heeft richting de AP.

Formeel

De IGJ kon bij het Isala-ziekenhuis hen aanspreken op basis van de Wet aanvullende bepalingen verwerken persoonsgegevens, en wel artikel 15a daarvan. De Wabvp bepaalt dat een zorgaanbieder gegevens van de cliënt slechts beschikbaar stelt via een elektronisch uitwisselingssysteem, voor zover de zorgaanbieder heeft vastgesteld dat de cliënt hier uitdrukkelijk toestemming voorheeft gegeven. De Wabvp richt zich expliciet op zorgaanbieders als bedoeld in de Wet kwaliteit, klachten en geschillen zorg(Wkkgz). Formeel gezien is VZVZ geen zorgaanbieder in de zin der wet, maar een be-/ verwerker van medische gegevens. Om die reden kan de IGJ niet toezien op het handelen of nalaten van de VZVZ zoals verwoord in mijn verzoek aan de IGJ.

AP

De inspecteur van de IGJ gaf terecht aan dat hij de AP de bevoegde toezichthouder acht over VZVZ. Na telefonisch overleg met mij heeft hij dan ook contact opgenomen met de AP met het verzoek aldaar de behandeling van het verzoek over te nemen. De AP heeft daartoe inmiddels met mij contact opgenomen, onder andere met het verzoek of ik mij wil voegen bij de twee handhavingsverzoeken van de burgerrechtenvereniging Vrijbit of dat ik een separaat handhavingsverzoek wil doen. Daarover zal ik ze binnenkort berichten.

Grote kans

Vrijbit is trouwens nog steeds in afwachting van een formele uitspraak van de AP over de twee hierboven genoemde handhavingsverzoeken. Daarbij is de wettelijke reactietermijn voor de AP weer eens een keer ruim overschreden. De afwijzing die de IGJ op mijn melding deed op formele gronden opent echter wel een grote kans voor Vrijbit om zich tot de IGJ te wenden met een handhavingsverzoek ten aanzien van apotheken die ten onrechte op enige schaal onterechte opt-in-toestemmingen noteren in hun systemen. De apotheken vallen immers wel onder de Wkkgz en zijn ook door hun beroepsorganisatie, de Koninklijke Nederlandse Maatschappij ter bevordering van de Pharmacie(KNMP) uitgebreid geïnstrueerd hoe ze met die wet dienen om te gaan. Omdat de apotheken onder de Wkkgz vallen zijn ze derhalve aan te spreken op een verificatieplicht op basis van de Wabvp. De IGJ kan de overtredende apotheken dwingen tot een verificatieplicht bij het vastleggen van opt-in-toestemmingen. Daardoor kan afgedwongen worden dat de burger actief per gewone post of email ingelicht wordt door de apotheek als er iets in de opt-in-status verwijderd wordt.

We gaan het zien.

W.J. Jongejan

 




IGJ dient verificatieplicht tav toestemming delen medische data breder af te dwingen

only yes is yes

De Inspectie Gezondheidszorg en Jeugd(IGZ) van het ministerie van VWS is in het najaar van 2017 begonnen met verkennende gesprekken met zorginstellingen die gebruik maken van eHealth. eHealth is het gebruik van nieuwe informatie- en communicatietechnologieën, en met name internet-technologie, om gezondheid en gezondheidszorg te ondersteunen of te verbeteren. In dat kader bezocht de IGJ o.a. het Isala ziekenhuis in Zwolle. Daar waren op het gebruik van eHealth wat opmerkingen te maken door de inspectie. Eén daarvan was op welke wijze het ziekenhuis controle uitvoert of partijen die inzage in het Elektronisch Patiënten Dossier(EPD) hebben, ook toestemming hebben gevraagd aan de patiënt. Dit acht de IGJ van zo’n belang dat het voor eind februari dit jaar verwacht dat het ziekenhuis het borgen van de toestemming goed geregeld is in een verbeterplan. In wezen komt het neer op een verificatieplicht voor de instelling van een genoteerde toestemming van de patiënt voor inzage van zijn of haar medische data door andere zorgaanbieders. Het wonderlijk is dat de IGJ zich nu hier druk om maakt maar nimmer een punt gemaakt heeft van het niet controleren van een door een zorgaanbieder genoteerde opt-in-toestemming van de patiënt om medische data via het Landelijk SchakelPunt(LSP) te doen delen. De verantwoordelijke organisatie, de Vereniging van Zorgaanbieders Voor Zorgcommunicatie(VZVZ), is nimmer door de IGJ en haar rechtsvoorganger de IGZ(Inspectie voor de GezondheidsZorg) aangesproken op het ontbreken van een verificatieplicht.

Onterechte toestemming

Ten aanzien van het LSP is in het recente verleden meermalen melding gemaakt van het onterecht noteren van opt-in-toestemmingen door zorgaanbieders. Daarbij gaat het vooral om apotheken die noteren dat iemand wel zijn medicatiegegevens wil delen, terwijl dat niet het geval is. Over deze materie is door de burgerrechtenvereniging Vrijbit bij de Autoriteit Persoonsgegevens (AP) een tweetal handhavingsverzoeken gedaan(A,B) om erop toe te zien dat dit soort praktijken stopt. De AP is met lange tanden een onderzoek gestart waarvan nog geen afloop bekend is.

VZVZ

De verantwoordelijke organisatie voor het LSP, VZVZ, stelt tot nu toe aldoor dat zij de toestemmingsvereisten voldoende duidelijk uitleggen in hun folders en voorlichtingsbijeenkomsten. Maar omdat VZVZ een systeem beheert dat onrechtmatig- dan wel helemaal niet verleende- toestemmingen als grondslag voor aanmeldingen faciliteert, zijn zij uiteraard wel degelijk aansprakelijk. Het zou de normaalste zaak van de wereld zijn als VZVZ een verificatieplicht opgelegd zou krijgen, die ze eigener beweging al lang hadden moeten effectueren. De IGJ en haar voorganger IGZ, hebben tot heden nooit enige opmerking gemaakt over deze materie, hoewel het probleem niet  onbekend geacht kan worden.

Volkomen ontoereikend

Bij VZVZ kan een iemand die wil controleren of er onterecht een toestemming ergens is genoteerd dat controleren via een website van VZVZ met het inzage-overzicht. Dat is volkomen ontoereikend. Het vereist namelijk niet een actie van VZVZ, maar van een argwanende burger. Die dan bovendien die controles regelmatig moet herhalen om te zien of er niet nadien een onterechte toestemming is genoteerd. Dat is de omgekeerde wereld.

Parallel

Nu de IGJ bij een ziekenhuis erop aandringt dat op voor haar genoegzame wijze het correct verkrijgen van toestemming om medische data te doen delen geverifieerd wordt, dient de IGJ ook bij andere organisaties toe te zien of de toestemming op rechtmatige wijze verkregen is. Zeker als het een organisatie betreft die iets beheert wat in principe alle Nederlanders aangaat. Ik heb inmiddels aan de IGJ het verzoek gedaan om de eis die ze aan het Isala ziekenhuis oplegt ook breder te trekken en daarom ook handhavend op te treden tegen VZVZ.

W.J. Jongejan




Aan structureel onrechtmatige aanmeldingen in LSP moet eind komen

speciaal aanbod

Onlangs kreeg ik zicht op hoe een apotheek op volkomen illegale wijze, volgens de marketingtruc ‘ja tenzij’ mensen aanmeldt alsof zij toestemming verleend zouden hebben om hun medische gegevens via het Landelijk Schakel Punt(LSP) te laten uitwisselen. De apotheek stopte dit voorjaar hiertoe een brief in de zakjes waarin afgehaalde medicijnen werden meegegeven. Daarin stond aangekondigd dat als men niet voor een bepaalde datum bezwaar aantekende, er na 14 juni 2017 voor hen het LSP zou worden aangezet onder vermelding dat zij door niet te reageren toestemming daarvoor zouden hebben gegeven. Daarnaast werden mensen ook nog eens op onrechtmatige wijze onder druk gezet dat toestemming geven in het belang van hun gezondheid is omdat er zonder aansluiting bij het LSP bijvoorbeeld in de avonduren via een dienstapotheek geen goede medicatie gegeven zou kunnen worden. Heel vilein suggereert het briefje bovendien dat men alleen maar geen toestemming bij de apotheek zou hebben staan, omdat men de klant al een poos niet aan de balie had gezien vanwege de bezorging van de medicijnen. De apotheek heeft met het sturen van deze brief en het aanmelden van mensen zich onmiskenbaar schuldig gemaakt aan het onder druk zetten van patiënten zodat zij niet in vrijheid zelf kunnen beslissen en aan het gebruik van een wettelijk verboden opt-out-constructie.

 Van Gogh-apotheek

De boosdoener is de van Gogh-apotheek in Haarlem. Door op de beschreven wijze medische gegevens van hun klanten open te zetten voor landelijke opvraging door zorgverleners waar betrokkenen geen enkele relatie mee hebben, is bovendien sprake van een grootschalig datalek van uiterst gevoelige medische persoonsgegevens. Omdat VZVZ(beheerder van het LSP) geen uniforme procedure hanteert voor het verkrijgen, registreren en loggen van aangemelde toestemmingen, valt te vrezen dat deze apotheek niet de enige is. Uit onderzoek van Burgerrechtenvereniging Vrijbit, blijkt hoe apotheken, het al dan niet daadwerkelijk verleende toestemmingen verzamelen, organiseren via regionale samenwerkingsverbanden. Volgens de Wet bescherming persoonsgegevens(Wbp) mogen mensen enkel worden aangemeld als zij daarvoor in vrijheid zonder uitoefening van druk en op grond van correcte en heldere informatie ondubbelzinnig toestemming voor hebben verleend.

Bij de doorstart van het LSP is door de voorganger van de huidige Autoriteit Persoonsgegevens(het CBP) op vragen van Nictiz (die het toenmalig door de Eerste Kamer verboden Landelijk Elektronisch PatiëntenDossier(L-EPD)-systeem) over deed aan de private partij VZVZ) duidelijk gesteld dat er sprake moest zijn van de expliciete toestemming van de patiënt via een opt-in systeem.

Geschiedenis

In 2008 had de toenmalige minister van VWS, Ab Klink, bepaald, dat de medische gegevens van iedere burger verplicht beschikbaar werden gesteld voor elektronische uitwisseling via het LSP. Pas toen er grote maatschappelijke onrust ontstond, werd er een uiterst gecompliceerde mogelijkheid aangekondigd waarbij mensen alsnog bezwaar zouden kunnen gaan maken tegen de uitwisseling van hun medische data via het Landelijk Elektronisch PatiëntenDossier(L-EPD). Toen na deze valse start van het L-EPD de Eerste Kamer de hele publieke L-EPD-invoering blokkeerde, werd het concept niet losgelaten, maar zodanig gewijzigd dat er een zogenaamde ‘private doorstart’ werd gemaakt. Daarbij kwam de verantwoordelijkheid niet langer in handen van de overheidsdienst Nictiz, maar in handen van een private partij. Deze Vereniging van Zorgaanbieders Voor Zorgcommunicatie(VZVZ), kreeg het oorspronkelijke systeem onder haar hoede met dien verstande dat de bestaande database gevuld met opt-out-toestemmingen opgeschoond diende te worden. 

 Acht miljoen mensen werden zo uit de LSP-index verwijderd en alle bezwaren van mensen die aangegeven hadden dat ze niet accepteerde      dat  hun gegevens via het EPD beschikbaar kwamen werden ongeldig verklaard.(waardoor tot op de dag van vandaag er nog steeds mensen zijn die stellig van mening zijn dat zij expliciet tegen het huidige systeem hebben geprotesteerd omdat zij in 2008, 2009 bezwaar aantekenden).

Opt-in

Cruciaal voor de private doorstart werd geacht dat het geen opt-out (ja tenzij) maar opt-in systeem zou worden. Daarmee werd gesuggereerd dat mensen enkel in het systeem zouden komen als zijzelf daar expliciet toestemming voor gaven. Door deze verschuiving werden en passant alle bezwaren tegen het systeem qua onveilige dataverwerking, het gebruik van het BSN door een partij die daar niet over mag beschikken, en onwettige constructies met betrekking tot de verantwoordelijkheid bij misbruik van medische gegevens en gevraagde generieke toestemming voor onvoorziene toepassingen, ter zijde geschoven. Feit is dat in 2014 het CBP, na een uiterst beperkt onderzoek(steekproef van 149 personen), al onrechtmatig genoteerde toestemmingen constateerde. Dat werd toen als onbelangrijk incident afgedaan omdat het niet zou gaan om mensen die geen toestemming hadden gegeven maar slechts om administratief niet correct vastgelegde toestemmingen.

Werkwijze apotheek

De brief van de van Gogh-apotheek in Haarlem is gedateerd op 22-05-2017 met als bezwaar-deadline 24-06-2017. De folder van VZVZ die hierbij werd meegestuurd lijkt een poging om de illegale toestemmingsvraag een correct tintje te geven. Maar zelfs die voorlichtingsfolder geeft geen correcte informatie. Deze werkwijze, om via een stilzwijgende opt-out procedure toestemming te veronderstellen en vervolgens te registreren en door te geven aan het LSP voor opname in de verwijsindex, is niet alleen een onrechtmatige handelswijze van de betrokken apotheker, maar maakt ook dat alle aanmeldingen van toestemming vanuit deze apotheek vanaf 14-6-2017 niet langer als rechtmatig kunnen worden beschouwd en uit de verwijsindex verwijderd dienen te worden. Daarnaast is het maar helemaal de vraag of de vreemde opt-out-constructie enkel de mensen treft die de brief bij hun medicijnen meekregen of ook voor alle andere patiënten die bij deze apotheek hun medicatie krijgen, of ook voor de familieleden van de mensen die een dergelijke brief meekregen, maar toevallig geen medicijngebruikers zijn. Vandaar dat alle klanten van deze apotheek geïnformeerd dienen te worden over de onjuiste registratie van ‘toestemming’ alsook over het opvragen van medische gegevens zoals dat heeft plaatsgevonden op basis van de ten onrechte geregistreerde toestemmingen.

Vrijbit

Burgerrechtenvereniging Vrijbit heeft aan de toezichthouder bescherming persoonsgegevens een formeel handhavingsverzoek gestuurd om hiervoor zorg te dragen. Bovenstaande gang van zaken is één van de methodieken waardoor op illegale wijze toestemmingen vergaard worden door zorgaanbieders. Het gaat met name ook op het landelijk op grote schaal voorkomen van onrechtmatige aanmeldingen door met name de apothekers. Ook hierop ziet het handhavingsverzoek evenals het eerdere handhavingsverzoek wat gebaseerd was op de praktijkvoorbeelden van individuele gevallen waarin mensen ontdekten ten onrechte te staan aangemeld.

VZVZ

VZVZ poogt zich er altijd uit te draaien door te stellen dat zij de toestemmingsvereisten voldoende duidelijk uitleggen in hun folders en voorlichtingsbijeenkomsten. Maar omdat VZVZ een systeem beheert dat onrechtmatig- dan wel helemaal niet verkregen- toestemmingen als grondslag voor aanmeldingen faciliteert, zijn zij uiteraard wel degelijk aansprakelijk. Dit geldt zowel voor het runnen van een systeem waarbij mensen er niet van op aan kunnen dat hun medische gegevens niet ter beschikking worden gesteld aan partijen waar zij geen toestemming voor gaven, als voor de manier waarop de controle hierop systematisch onmogelijk wordt gemaakt. VZVZ voelt wel nattigheid, want in de nieuwsbrief van juli 2017 is een apart stukje aan dit onderwerp besteed. Daarin refereert men aan de recente belangstelling voor verkregen toestemmingen naar aanleiding van de voorbeelden van mensen die onterecht in het systeem bleken te ‘zitten’ en berichtgeving van het tv programma Radar waaruit blijkt dat een substantieel deel van de bevolking geen idee heeft of zij staan aangemeld( en dus wie er over hun medische gegevens kunnen beschikken). Het VZVZ-toestemmingsformulier is inmiddels na jaren zodanig aangepast dat daarop nu wel wordt vermeld dat het over het LSP gaat, maar de informatie blijft te sturend om in vrijheid gegevenstoestemming mogelijk te maken.

Marketing-truc

Aan het op illegale wijze vullen van de LSP-index met vermeende toestemmingen moet een einde komen. Daarbij moet de AP niet schuwen om overtreders aan te pakken voor overtreden van de wet aangaande toestemmingsvereisten en daarmee en het grootschalig en structureel faciliteren van grootschalige datalekken aangaande uiterst gevoelige medische persoonsgegevens. Uiteraard dient ook de hoofdverantwoordelijke VZVZ te worden aangepakt en worden gedwongen om paal en perk te stellen aan de huidige illegale praktijken. Zowel door het verwijderen van ( mogelijk) onterechte toestemmingen. Als door het verplicht aanbrengen van systeemwijzigingen waardoor het onmogelijk wordt om onterechte aanmeldingen te kunnen doen.

W.J. Jongejan




Hautaine Autoriteit Persoonsgegevens hanteert omkering bewijslast

crimescene

Op 4 augustus 2017 publiceerde ik een artikel over de gang van de burgerrechtenvereniging Vrijbit naar de Autoriteit Persoonsgegevens(AP). Vrijbit deed een verzoek aan de AP om handhavend op te treden naar aanleiding van gefundeerde berichten, dat van burgers onterechte opt-in-toestemmingen voor delen van medicatiegegevens bij apotheken genoteerd zijn. Daarbij gaat het om het opvraagbaar maken van medicatiegegevens via het Landelijk SchakelPunt(LSP). De reactie van de AP op dit verzoek laat duidelijk zien dat men een omkering van de bewijslast hanteert bij de benadeelde burger. Details over de onterechte notering van de opt-in-toestemming eist men van de meldende burger, terwijl het veel meer in de rede ligt dat de zorgaanbieder, die de onterechte toestemming in diens ICT-systeem vastlegt, dat zou moeten doen of de Vereniging van Zorgaanbieders Voor Zorgcommunicatie(VZVZ). Op de website van VZVZ is met de nodige moeite een inzage-overzicht van opt-in-toestemmingen en bevragingen te vinden.

Vereisten

Het inzage-overzicht is nogal weggestopt op de website van VZVZ. Via het tabblad “Zorgconsument”, vervolgens het tabblad “Toestemming” en daarna onderin de webpagina de hyperlink “Inzage-overzicht” kom je bij de mogelijkheid om dit overzicht aan te vragen. Dat kan door inloggen met DigiD, maar ook door een onlineformulier in te vullen, dit uit te printen met meezending van een kopie van paspoort, Nederlandse identiteitskaart, Nederlands rijbewijs, bromfietsbewijs (categorie AM) of vreemdelingendocument. Bij een modern rijbewijs (formaat bankpas) en een nieuwe identiteitskaart (geldig vanaf maart 2014) is een kopie nodig van de voor- en achterkant. Zichtbaar moeten daarop zijn de volledige naam, het Burgerservicenummer(BSN), de handtekening, de geboortedatum en de geldigheidsdatum van het document. Het aparte is dat een private organisatie als VZVZ niet het recht heeft om dergelijke kopieën van identiteitsbewijzen te vragen. De overheid hanteert regels daarvoor. Eén van de onderdelen van het handhavingsverzoek van Vrijbit is dan ook dat VZVZ geen eisen mag stellen inzake het ter beschikking stellen van een BSN en kopie van een geldig ID-bewijs, om uitsluitsel te kunnen geven of iemands naam ( in combinatie met geboortedatum en adresgegevens) niet voorkomt in het EPD-LSP uitwisselingssysteem.

Details

Wat de AP van een benadeelde burger wil is een schermafdruk van het inzage-overzicht met daarop de gegevens uit de rubriek “Gegevens beschikbaar gesteld”:  de instelling, voor welke gegevens(medicatiegegevens of huisartsendata) en de datum. Dat vereist het maken van een schermafdruk en het uitprinten daarvan. Op de webpagina ontbreekt een knop “Print”, zodat de burger zelf maar moet zien hoe hij/zij dit afdrukt. De AP lijkt ook akkoord te gaan met de naam van de instelling en de datum zonder schermafdruk maar heeft een voorkeur voor de schermafdruk . Het probleem bij een onterecht genoteerde opt-in-toestemming is dat de benadeelde vaak zo boos is dat die onmiddellijk de betrokken apotheek belt. Die haalt dan het vinkje bij de opt-in-toestemming weg, waarna in het overzicht bij VZVZ geen gewraakte zorgaanbieder meer staat. Ik heb door navraag bij de apotheek begrepen dat apotheeksystemen geen logging hebben van toestemmingsverleningen.  Na ongedaan maken is de onterechte toestemming daar dan niet meer te achterhalen. Naar mij weten zijn huisartsinformatiesystemen ook zo ingericht, zonder logging dus. Ik kan me echter niet voorstellen dat een organisatie als VZVZ geen historie van vastgelegde toestemmingen zou hebben.

Weigering na te denken

De AP weigert bij mijn echtgenote de onterechte opt-in-toestemming te noteren, omdat er pas een schermafdruk gemaakt is, nadat de apotheek verontwaardigd gebeld was. Daardoor ontbreekt de informatie die de AP wenst te hebben. In het overzicht van bevragingen van het LSP is bij haar wel te zien dat één bevraging succesvol is geweest. De bevraging lukt alleen als de apotheek die een onterechte opt-in-toestemming heeft genoteerd bevraagd werd door een andere.  Aangezien zij van slechts twee apotheken gebruikt maakt is dus duidelijk door wie de onterechte opt-in-toestemming was vastgelegd. Het niet in behandeling nemen is gewoon een weigering om logisch na te denken.

Hautain

Midden in de zomervakantie geeft de AP in een reactie aan Vrijbit aan dat deze binnen twee weken met aanvullende informatie moet komen. Dat komt nogal hautain over, want de AP hanteert zelf, als zij aangesproken wordt in rechte, meestal met opmerkingen dat ze 6 weken tot een half jaar nodig hebben om aanvullende stukken te produceren. Een rechtszaak is daar zelfs om verzet.

Omkering bewijslast

Wat de AP doet in deze kwestie, is het op een heel hinderlijke manier omdraaien van de bewijslast. Het melden van een onterechte inschrijving moet er niet toe leiden dat de burger tot in detail zelf de bewijslast moet leveren. VZVZ heeft bovendien het opvragen en bekijken van een inzage-overzicht op subtiele wijze lastig gemaakt.

W.J. Jongejan