Omgaan met medische persoonsgegevens

Omgaan met medische persoonsgegevens
De mogelijkheden voor toegang tot, en uitwisseling en hergebruik van medische gegevens zijn technisch gezien vrijwel onbegrensd. Dit brengt voordelen met zich mee, zoals verbetering van kwaliteit van de zorg, maar ook de nodige risico’s. Een overzicht van het juridisch kader en enkele praktijkproblemen bij het omgaan met medische (persoons) gegevens in de ziekenhuisomgeving. Afgesloten wordt met een conclusie en enkele oplossingsrichtingen voor de geconstateerde knelpunten.
Door het digitaal opslaan en koppelen van gegevensbestanden zijn de mogelijkheden voor toegang tot, en uitwisseling en hergebruik van medische gegevens1 technisch gezien vrijwel onbegrensd. Dit geldt zowel binnen de zorginstelling als in relatie met derden in het zorgproces.2Door de koppeling met externe gegevensbestanden en uitwisseling met derden, zoals in het kader van ketenzorg, krijgen diverse personen toegang tot medische persoonsgegevens en worden de mogelijkheden tot hergebruik nog groter. Dit brengt voordelen met zich mee, zoals verbetering van kwaliteit van de zorg, meer transparantie, effectievere kwaliteitscontrole, efficiëntere ‘clinical trials’, beter toezicht en beter (financieel) inzicht voor bestuurders, zorgverze keraars en beleidsmakers. Er zijn daarbij ook de nodige risico’s, zoals het risico op verlies van en onherstelbare schade aan de gegevens, toegang door onbevoegden of inbreuken op de persoon-lijke levenssfeer van de patiënt. De Europese en Nederlandse wetgevers stellen steeds strengere eisen aan de rechtsbescherming van de patiënt en zijn persoonsgegevens.
Er zijn door bovengenoemde ontwikkelingen in de praktijk steeds meer spanningsvelden rondom de toegang tot medische gegevens, bij uitwisseling met derden en bij het gebruik ervan voor andere doelen dan waarvoor de medische gegevens oorspronkelijk zijn verkregen: ‘hergebruik’.
Juridisch kader
Het uitgangspunt voor arts en zorginstelling is dat er vertrouwelijk moet worden omgegaan met de medische gegevens van de patiënt. Dit stoelt juridisch gezien op twee principes:
• de al in 400 v.Chr. door Hippocrates opgevoerde plicht tot onder andere geheimhouding voor een arts;
• het zelfbeschikkingsrecht van de patiënt waar het gaat om de omgang met, en bescherming van zijn persoonsgegevens in het kader van het zorgproces.
De algemene rechten van de patiënt staan in de regeling van de ‘geneeskundige behandelings overeenkomst’, ook wel aangeduid als WGBO. De WGBO is geen zelfstandige wet, maar is ondergebracht in het Burgerlijk Wetboek (artikel 7:446 e.v.). Hierbij komt een verbintenis tussen twee partijen tot stand die uitgaat van onderling vertrouwen tussen patiënt en ‘hulpverlener’.
Zij dienen in onderlinge samenwerking tot een resultaat te komen, met ieder een eigen inbreng en verantwoordelijkheden. In de WGBO is dat: hulpverlening ten aanzien van de gezondheid. De patiënt dient de hulpverlener hierbij de relevante
informatie te verstrekken en moet dit vrijelijk en in vertrouwen kunnen doen. De hulpverlener legt deze informatie vast in een dossier, voegt daaraan informatie en een behandelplan toe, verleent op basis daarvan de benodigde medische hulp en dient in dat verband geheimhouding te betrach-ten.
De algemene privacyrechten zijn vastgelegd in het Europees Verdrag voor de Rechten van de Mens, het EU Handvest, de Grondwet en, voor Nederland, de Wet bescherming persoonsgegevens (Wbp). Voor de inhoud en omvang van de algemene privacyrechten verwijs ik naar de bijdrage van Rutger Alsbach en Saskia Sjardin (pagina 14) . Voor nu is relevant om te noemen dat de Wbp de ‘verantwoordelijke’ voor de verwerking van persoonsgegevens diverse verplichtingen oplegt ten aanzien van een rechtmatige omgang met persoonsgegevens en de adequate beveiliging daarvan. Onder ‘verwerking’ wordt hier verstaan: iedere handeling waarbij een medisch persoonsgegeven betrokken is. Verantwoordelijke is de (rechts)persoon die ‘doel en middelen’ van de verwerking vaststelt3, anders gezegd, degene die de feitelijke en formele zeggenschap heeft over de persoonsgegevens. In de Wbp is een algemeen verbod opgenomen voor het verwerken van gegevens die iemands gezondheid betreffen. Expliciet uitgezonderd zijn echter hulpverleners, organisaties of instellingen voor de gezondheidszorg.4
In beide regelingen (WGBO en Wbp) is het zelfbeschikkingsrecht van de patiënt het uitgangspunt. De patiënt bepaalt in beginsel wie, welke op hem betrekking hebbende gegevens waarvoor mag gebruiken. In geval van strijdigheid tussen bepalingen uit de Wbp en de WGBO gaan de bepalingen uit de WGBO voor. De bepalingen van de WGBO hebben een dwingend karakter. Er mag niet ten nadele van de patiënt van afgeweken worden.
Met het oog op het omgaan met medische persoonsgegevens zijn op grond van de WGBO de belangrijkste plichten voor de hulpverlener en/of rechten voor de patiënt:
• de dossierplicht
• de geheimhoudingsplicht (het ‘beroeps-geheim’5)
• recht op inzage en afschrift van het dossier
• het recht tot vernietiging van het dossier
Indien de patiënt een recht heeft, dan heeft de hulpverlener de plicht om uitvoering te geven aan dat recht. Het is daarom van belang om bij verwerkingen van medische persoonsgegevens steeds vast te (kunnen) stellen wie de ‘hulpverlener’ (in de zin van de WGBO) en wie de ‘verantwoordelij ke’ (in de zin van de Wbp) is.
EPD/ZIS
Voordat de rollen en verantwoordelijkheden van de verschillende betrokkenen (actoren) wor-den behandeld, zal ik kort ingaan op ‘waar’ de medische gegevens zich bevinden. Dit omdat daardoor de genoemde knelpunten in een duidelijker perspectief kunnen worden geplaatst. Medische gegevens zijn in de regel opgeslagen in een elektronische patiëntendossier (EPD) en een ziekenhuisinformatiesysteem (ZIS). Het EPD bevat meestal de medische patiëntgegevens en het ZIS bevat gegevens voor de logistieke kant, zoals patiëntplanning (poli en kliniek), medicijn informatie en de financiële afhandeling.
In de praktijk kunnen EPD’s/ZIS’en bestaan uit een verzameling van, soms wel meer dan duizend, verschillende, al dan niet onderling gekoppelde, interne en externe gegevensbestanden en applicaties, zoals ook een groot aantal diagnostische toepassingen, het datawarehouse en vaak ook decentrale EPD’s.
Zoals aangegeven is het hebben of verkrijgen van toegang tot het EPD/ZIS, of het hergebruik van de zich daarin bevindende informatie in technische zin zeer eenvoudig. Dat staat haaks op de strenge eisen die de wet-en regelgeving stelt aan de hulpverleners en verantwoordelijken ten aanzien van het (vertrouwelijk en terughoudend) omgaan met medische gegevens. Daarbij doel ik op gebruik van die gegevens in verband met het leveren van adequate en verantwoorde zorg, het beroepsgeheim, en de bescherming van de medische persoonsgegevens tegen verlies, verminking of gebruik door onbevoegden. De patiënt komt op grond van de wet-en regelgeving, recht op inzage en/of toegang in zijn medische persoonsgegevens toe, maar dat blijkt in de praktijk door de bestaande ICT-architectuur in ziekenhuizen, paradoxaal, juist op technische problemen te stuiten. Voor de toekomst ligt de uitdaging in het realiseren van minder toegang voor niet bevoegden en meer toegang voor de patiënt zelf. In het navolgende ga ik in op de meest in het oog springende juridische en praktische knelpunten.
Hulpverlener / verantwoordelijke
Als men de eisen die de wet-en regelgeving stellen, zoals dossierplicht, geheimhouding, de beveiliging van persoonsgegevens et cetera, effectief wil opleggen of toebedelen aan de diverse actoren in het zorgproces, moet duidelijk vaststaan wie de ‘hulpverleners’ en ‘verantwoordelijken’ zijn. Daar mee komen we bij het eerste knelpunt. In de praktijk is dat niet of nauwelijks objectief en eenduidig vast te stellen. Hulpverleners en verantwoordelijken kunnen, juridisch gezien, namelijk zowel natuurlijk personen als rechtspersonen zijn. In het geval een arts in dienst is van een zorginstelling, is de zorginstelling hulpverlener én verantwoordelijke. Echter de arts houdt wel zijn zelfstandige plichten op grond van de WGBO en de Wet op de beroepen in de individuele gezondheidszorg (Wet BIG)) ter handhaving van het beroepsgeheim. De arts is ook in staat om doel en middelen van een bepaalde verwerking te bepalen, waarmee hij ook als verantwoordelijke in de zin van de Wbp kan worden beschouwd. Is de arts niet in dienst van een ziekenhuis6 dan zijn zowel het ziekenhuis als de arts ‘hulpverlener’ in de zin van de WGBO. 7 Wie verantwoordelijk is hangt daarbij af van de omstandigheden van het geval en het antwoord op de vraag: wie bepaalt het doel en de middelen van een bepaalde verwerking? Er is daarbij in de praktijk tevens sprake van meerdere en verschillende verwerkingen van persoonsgegevens, zoals voor het primaire zorgproces, maar ook in verband met logistiek, kwaliteitscontrole, onderzoek en de financiële afhandeling.
Door een recente wijziging in de financiering van de zorg is het antwoord op de vraag wie per verwerking hulpverlener en/of verantwoordelijke is, nog minder goed te geven. Tot 2015 verbonden artsen zich veelal via een maatschap en maakten zij afspraken met ziekenhuizen. Dit zag met name op de financiële kant van de relatie tussen arts en ziekenhuis. Hierin heeft zich vanaf dit jaar een grote verandering voorgedaan. Met de invoering van zogenaamde ‘integrale tarieven’ is de oprich ting van de zogenaamde medisch specialistische bedrijven (MSB’s) opgekomen. Dit was met name om fiscale redenen, maar de MSB’s hebben meer bevoegdheden en autonomie dan de oude maatschappen. De oprichting van MSB’s gaat daarom gepaard met zorgen over de invulling van de governance van de ziekenhuisorganisatie. Vooral het verdwijnen van de individuele toelatingsovereenkomst zou de governance met betrekking tot kwaliteit, veiligheid en het individueel aanspreken van de arts bij disfunctioneren kunnen bemoeilijken. In de praktijk wordt in de samenwerkings-en dienstverleningsovereenkomsten tussen MSB en ziekenhuis niet of nauwelijks aandacht besteed aan de omgang met medische persoonsgegevens en de verantwoordelijkheden, over en weer én ten opzichte van de patiënt. Met de komst van de MSB’s is de onduidelijkheid over wie hulpverlener of verantwoordelijke is dus toegenomen, nu er een derde ‘betrokkene’ met wie een rechtsrelatie ont staat is bijgekomen. Het knelpunt is dat vaak niet vaststaat wie nu hulpverlener of verantwoordelijke is voor een bepaalde verwerking. Indien een patiënt zijn ‘recht’ wil halen dan is niet duidelijk bij wie de vordering ingediend moet worden en/ of wie aansprakelijk is. Ook voor de toezichthouders kan dit problemen opleveren in het kader van effectief toezicht. Voor de hulpverlener, het ziekenhuis en het MSB levert deze onduidelijkheid rechtsonzekerheid op en is niet duidelijk wie toestemming moet of mag vragen voor eventueel (her)gebruik of uitwisseling van medische persoonsgegevens.
Toegang tot patiëntgegevens
Behandelrelatie
Zoals aangegeven heeft de patiënt er recht op dat zo min mogelijk personen toegang hebben tot zijn medische gegevens, althans dat hij bepaalt wie dat wel en niet mogen. Echter door de digitalisering kunnen meer personen dan ooit op een eenvoudige wijze toegang krijgen tot die gegevens. Daarmee komen we op het tweede knelpunt: hoe voldoe je aan de wet-en regelgeving en worden de rechten van de patiënt gerespecteerd ten aanzien van toegang tot zijn gegevens door anderen dan de hulpverlener?
Uit de WGBO volgt dat naast de arts/hulpverlener ook ‘direct betrokkenen in de behandelrelatie’, in verband met de behandeling, toegang (mogen) hebben tot de medische persoonsgegevens van de patiënt. Complicerende factor is dat de term behandelrelatie niet in de wet is gedefinieerd. Wie heeft toegang tot patiëntgegevens en wie mag daar toegang toe hebben?
Onderzoek en standpunt College bescherming 8 persoonsgegevens
In 2013 heeft het College bescherming persoons-gegevens (CBP) het rapport ‘Toegang tot digitale patiëntendossiers binnen zorginstellingen’ gepu bliceerd.9 Dit naar aanleiding van een controle bij negen zorginstellingen. De conclusie was: “Instellingen gaan onzorgvuldig om met de medische gegevens van hun patiënten en overtreden zo de Wet bescherming persoonsgegevens”. Volgens het CBP vloeit uit de Wbp voort dat zorgmedewerkers en administratief medewerkers van zorginstellingen alleen dán toegang mogen krijgen tot patiënt gegevens indien zij, ofwel direct een ‘behandel relatie’ hebben met de desbetreffende patiënt, of als toegang tot beheersmatige afwikkeling van de behandeling noodzakelijk is. In de praktijk hebben zorgverleners en medewerkers in een ziekenhuis toegang tot applicaties op basis van rollen en profielen. Welke patiënt men mag zien of tot welke gegevens men toegang heeft, wordt veelal afgeleid via de afdeling waar men werkt, soms via onder-linge afspraken. Dat is volgens het CBP in strijd met de Wbp. Autorisatie mag volgens het CBP pas plaatsvinden nadat is vastgesteld dat de desbetreffende medewerker daadwerkelijk betrokken is bij de behandeling van de patiënt. Dit is praktisch niet uitvoerbaar, aldus de zorginstellingen.
KNMG-richtlijnen
Artsenfederatie KNMG heeft richtlijnen gepubliceerd met betrekking tot het omgaan met medische gegevens.10 Onderdeel daarvan is de toegang tot de medische informatie. De focus ligt op gegevensbeheer en -verstrekking. In de richtlijnen staat de behandelingsovereenkomst centraal.11 Volgens de KNMG-richtlijnen wordt het ‘behandelteam’ gevormd door medische en niet-medische betrokkenen. Het behandelteam is uitvoerder van de behandelingsovereenkomst. Ieder lid van het behandelteam heeft daarmee een behandelrelatie met de patiënt en zou daarom toegang moeten hebben tot de relevante medische (persoons)gegevens.
In de KNMG-richtlijnen wordt gesproken over verschillende (soorten) dossiers: het medisch dossier en het dossier met algemene gegevens. Dit wekt de suggestie dat er een juridisch relevante scheiding is aan te brengen. Dat is echter noch op grond van de WGBO, noch op grond van de Wbp het geval. Op grond van de WGBO vallen ‘alle’ gegevens die ten behoeve van de zorgver lening worden vastgelegd onder de geheimhoudingsplicht. Het feit dat de KNMG dit onderscheid maakt, maakt de situatie nog onoverzichtelijker.
‘A priori’-vaststelling behandelteam
Het probleem met de ‘a priori’-vaststelling van een behandelteam, zoals CBP en KNMG voorstaan, is dat er in de praktijk sprake is van een fundamentele onzekerheid over wie precies aan het bed verschijnt, onderdeel van het behandelteam is, de afspraken inplant, de financiële afhandeling doet et cetera. Anders gezegd: voorafgaand aan het behandelplan staat vrijwel nooit vast wie toegang (nodig) heeft tot de medische gegevens van de patiënt in het kader van een behandelrelatie. Dit is ook niet praktisch waar het gaat om adequate en efficiënte zorg c.q. patiëntveiligheid. Het huidige wettelijk systeem van vertrouwelijkheid (beroepsgeheim) en recht op zelfbeschikking, het standpunt van het CBP, en de richtlijnen van het KNMG sluiten niet voldoende aan op de praktijk.
Uitwisseling
Een en ander wordt nog complexer vanwege de toenemende toegang tot de medische gegevens door derden en/of uitwisseling van medische persoonsgegevens tussen hulpverleners (in-en extern) of bijvoorbeeld in het kader van ‘keten zorg’. Ook in het geval dat aan derden door de hoofdbehandelaar toegang wordt verstrekt tot een EPD, is er sprake van uitwisseling. Bij uitwis seling dient het bestaan van behandelrelaties, borging van het beroepsgeheim en/of toestem-ming van de patiënt gecontroleerd, geborgd en gedocumenteerd te zijn. Maar ook hier komt de vraag aan de orde: Wie is/zijn daarvoor verantwoordelijk(en)? Wie vraagt om toestemming? Is dat de hulpverlener-natuurlijk persoon, de hulpverlener-rechtspersoon (lees: het ziekenhuis)? Is dat de verstrekker of verkrijger? Wie bepaalt de omvang van de toegang? Met het wetsvoorstel Cliëntenrechten bij verwerking van persoons gegevens in de zorg en de regeling Aanvullende bepalingen verwerking persoonsgegevens in de zorg12 tracht de overheid enerzijds een duidelijk kader te creëren en anderzijds de rechtspositie van de patiënt te versterken. De belangrijkste wijzigingen zijn:
• Een verplichte ‘opt-in’ voor elektronische uit wisseling wordt wettelijk geregeld;
• Toestemming dient geborgd te zijn voor het gebruik van het uitwisselingssysteem én inzage (door de derde);
• Er dient een betrouwbare registratie te zijn van verstrekkers én raadplegers;
• Het informatierecht van de patiënt wordt vergroot;
• Een expliciet verbod voor zorgverzekeraars, bedrijfsartsen13 et cetera tot toegang tot elektronisch uitwisselingssysteem, dit op straffe van boetes tot en met 810.000 euro
Het wetsvoorstel is nog in behandeling in de Eerste Kamer. Een belangrijk nadeel hierbij is dat geen oplossing geboden wordt voor de fundamentele onduidelijkheden die er zijn ten aanzien van rollen en verantwoordelijkheden in het licht van de rechten van de patiënt.
Hergebruik
Big data, data-analyses; clinical trails
Ook in de zorg doen big data en data-analyses hun intrede. Dit in verband met kwaliteitscontrole, clinical trials (medische experimenten), het verkrijgen van beter (financieel) inzicht in de bedrijfsvoering et cetera. Het derde knelpunt is dat gegevens hierbij meer en meer worden gebruikt voor een ander doel dan waarvoor zij oorspronkelijk werden verkregen. Dat is volgens de Wbp in beginsel niet toegestaan. Het, zon-der uitdrukkelijke toestemming van de patiënt, doorgeven, kopiëren of op een andere wijze dan voor de zorg gebruiken van de gegevens is eveneens in strijd met de plichten die de arts op grond van de WGBO heeft. In het geval er sprake is van geanonimiseerde of gepseudonimiseerde data zijn de WGBO en Wbp in beginsel niet van toepassing. Echter, zodra uit de context weer natuurlijke personen (patiënten) herleid kunnen worden, is deze wet-en regelgeving weer in volle omvang van kracht. Wanneer dat het geval is, is van tevoren niet vast te stellen, maar zodra dat het geval is dient de patiënt geïnformeerd te worden en om toestemming voor hergebruik gevraagd worden. Het proces van anonimiseren/pseudonimiseren is op zichzelf ook al een verwerking van medische persoonsgegevens en een verstrekking uit het medisch dossier. Daarbij komt dat het CBP van oordeel is dat als de zorginstelling zelf de sleutel heeft van de gepseudonimiseerde data, deze data ook persoonsgegevens in de zin van de Wbp betreffen en als zodanig moeten worden behan-deld. Hier hanteert het CBP een andere ‘meetlat’ dan de praktijk. Uit verschillende kanten is binnen het zorgveld gewaarschuwd dat een te ‘ruime’ benadering van het begrip persoonsgegeven, zoals het CBP voorstaat, een doodsteek is voor het medisch onderzoek en innovatie.
Voorafgaande toestemming van de patiënt is de meest voor de hand liggende en, met het oog op het recht op zelfbeschikking, de beste grondslag voor hergebruik. Maar hoe verkrijgt de arts/ onderzoeker voldoende ‘informed consent’ van de patiënt indien de precieze aard, omvang, diepgang van het onderzoek en de mogelijke impact op de persoonlijke levenssfeer van de patiënt vooraf gaand aan het onderzoek nog niet vaststaat? Met dit probleem worstelt de zorg in steeds grotere mate. Bij het zoeken naar oplossingen dient rekening te worden gehouden met het volgende: anonimiseren/pseudonimiseren vindt in de praktijk plaats met als doel om de ‘niet-persoonsgege vens’ te gebruiken voor ‘onderzoek’. Bijvoorbeeld onderzoek naar de kwaliteit van de zorg.14 Echter, hierdoor kan onderzoek voor kwaliteitscontrole als oneigenlijke argument gebruikt worden om gegevens beschikbaar te krijgen voor wetenschappelijk onderzoek of clinical trails. In deze gevallen is niet de feitelijke verwerking, maar de intentie bepalend. Het is een dringende noodzaak dat, bij voorkeur door de zorgsector zelf, hierover duide-lijke, in de zin van concrete en eenduidige, defini ties en (toetsbare) standaarden worden opgesteld. Een goede, werkbare en controleerbare, regeling rondom het proces van anonimisering of pseudonimisering is daarbij ook noodzakelijk.15 Dit is van belang voor alle betrokkenen.
Conclusie en oplossingsrichtingen
Er is op dit moment onduidelijkheid rondom het onderwerp ‘het omgaan met medische persoons gegevens’, zowel in praktische als in juridische zin. Het feit dat de toezichthouders (overigens ook onderling16) en het veld niet op een lijn zitten, maakt dat er niet beter op. De onduidelijkheid ziet in de eerste plaats op de vraag welke actoren in het zorgproces, welke verantwoordelijkheden hebben of ergens (bijvoorbeeld rechten en plichten uit WGBO en Wbp) op aangesproken kunnen worden. Wie is hulpverlener en wie verantwoorde-lijke? Dit is onduidelijk voor de patiënt, de hulp verlener, de zorginstelling, het MSB, maar ook voor de toezichthouder.
Op de tweede plaats hebben een onbekend aantal personen in de praktijk toegang tot de medische persoonsgegevens. Dit is in strijd met de WGBO en Wbp. De wet-en regelgeving én de voorschriften van het CBP en KNMG sluiten niet aan op de prak tijk. Een eenduidige definitie van ‘behandelrelatie’ in de zin van de WGBO ontbreekt. Mede daardoor hebben ziekenhuizen hun autorisatiestructuur, -beheer en loggings veelal niet op orde, althans is niet duidelijk hoe dit ingeregeld moet worden om te voldoen aan de wet-en regelgeving. Als een ‘a priori’-vaststelling van een behandelteam praktisch onmogelijk is, dan moet een oplossing worden gevonden die wel aansluit bij de praktijk. Uitgangspunt daarbij moet zijn dat de patiënt en zijn recht op zelfbeschikking centraal staat.
Het derde praktijkprobleem is dat hergebruik van medische gegevens meer en meer plaatsvindt, maar dat voor de juridische borging en de bescherming van de persoonlijke levenssfeer er geen goed systeem beschikbaar is. In geval van het vragen en verkrijgen van toestemming van de patiënt voor hergebruik van zijn gegevens bestaat de nodige onzekerheid. De patiënt wordt in de praktijk om toestemming gevraagd, maar waarvoor geeft de patiënt dan toestemming, en wanneer kan hij die toestemming intrekken en/of de naleving van het hergebruik binnen de gegeven grenzen ervan controleren? Een goed systeem hiervoor ontbreekt.
Er is nog een wereld te winnen. Een goede stap zou zijn wanneer de toezichthouder en de praktijk het eens worden over bepaalde kernpunten, zoals wanneer een partij een verantwoordelijke of hulpverlener is, de definitie van ‘behandelrelatie’ en ‘direct betrokken, een goede (governance)regeling over ‘informed consent’ bij uitwisseling en hergebruik en of een pseudoniem wel of geen persoonsgegeven is.
Het zorgveld zou maximaal gebruik moeten maken van de periode tot 1 januari 2016 (datum inwerkingtreding Wet meldplicht datalekken, zie de bijdrage van Alsbach en Sjardin op pagina 14) om het vragen en verkrijgen van toestemming van concrete afspraken te maken voor oplossingen voor de geconstateerde praktijkproblemen.   
 
KADER: nkele oplossingsrichtingen
 
Macro-/mesoniveau
• Op macro-/mesoniveau zouden er door het zorgveld duidelijke richtlijnen en standaarden dienen te worden vastgesteld die oplossingen bieden voor de problematieken op het gebied van: toegang/autorisaties, het behandelteam, hergebruik en uitwisseling van medische persoonsgegevens. Bij voorkeur zijn dit ‘open standaarden’.
Microniveau
• Op microniveau dient het ziekenhuis de gegevensverwerkingen en juridische grondslagen van de verwerkingen binnen haar organisatie te inventariseren en te rubriceren naar: gebruik, uitwisseling, opslag (inclusief archivering) en hergebruik. Hiervoor zou een contextafhanke-lijke en data/cliëntcentrische benadering moeten worden gekozen.
• Bij gebrek aan richtinggevende rechtspraak en duidelijke richtlijnen dienen zorginstellingen, artsen en MSB’s in goed onderling overleg vast te stellen en vast te leggen wie welke verantwoordelijkheden / rechten en plichten heeft uit hoofde van de WGBO en Wbp en de patiënt hierover ondubbelzinnig te informeren. Zorginstellingen dienen regelingen vast te stellen en te implementeren rondom autorisaties en toestemming. Ten aanzien van autorisaties geldt dat de autorisatiestructuur voor toegang tot patiëntgegevens dient aan te sluiten bij de dagelijkse realiteit van de zorg, zodat snel-le en adequate behandeling van de patiënt geborgd is, met het zelfbeschikkingsrecht van de patiënt als uitgangspunt.
Ten aanzien van toestemming geldt, dat de patiënt steeds voorafgaand en op een juis te, begrijpelijke en volledige wijze dient te worden geïnformeerd over zijn rechten en plichten in verband met de WGBO en dat de daarop verkregen toestemming wordt gedocumenteerd en aantoonbaar wordt gerespecteerd en nageleefd.
• In overleg met de EPD-leveranciers die nen deze maatregelen technisch mogelijk gemaakt te worden. Zorginstellingen zouden, in het kader van efficiënte, hier samen in moeten optrekken.
• Maatregelen voor loggings en documentatie ten behoeve van controle, zowel intern als door patiënt en toezichthouder, zijn, tot slot, essentieel.
 

Peter Kits (peter.kits@hvglaw.nl) is advocaat  en hoofd van de sectie Intellectueel Eigendom, ICT&Privacy bij Holland Van Gijzen Advocaten en  Notarissen. Daarnaast is hij voorzitter van de Stichting Verantwoorde Omgang Medische Gegevens en doceert hij over dit onderwerp aan de Universiteit Utrecht.

De auteur dankt Leon Haszing MSIT RE en dr. Ewald Bollen voor hun waardevolle bijdragen (op persoonlijke titel).
 
[1] Medische gegevens zijn onder te verdelen in gegevens die tot een natuurlijk persoon (zoals de patiënt) te herleiden zijn en geanonimiseerde of gepseudonimiseerde gegevens (niet direct tot een natuurlijk persoon herleidbaar).
[2] De relatie met ICT-leveranciers blijft hier buiten beschouwing.
[3] In het geval de verantwoordelijke een of meer verwerki ngen laat uitvoeren door een derde die niet onder zijn gezag staat, dan is die derde een ‘bewerker’ en dient er een ‘bewerkersovereenkomst’ tussen verantwoordelijke en bewerker tot stand te komen. Dit wordt in de praktijk steeds relevanter door uitbesteding van ICT aan derden, maar blijft hier verder buiten bespreking.
[4] Art 21 Wbp “Het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door: hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening voor zover dat met het oog op een goede behandeling of verzorging van de betrokkene, dan wel het beheer van de betreffende instelling of beroepspraktijk noodzakelijk is”.
[5] Het beroepsgeheim van de arts volgt ook uit de Wet op de beroepen in de individuele gezondheidszorg: “Een ieder is verplicht geheimhouding in acht te nemen ten opzichte van al datgene wat hem bij het uitoefenen van zijn beroep op het gebied van de individuele gezondheidszorg als geheim is toevertrouwd, of wat daarbij als geheim te zijner kennis is gekomen of wat daarbij te zijner kennis is gekomen en waarvan hij het vertrouwelijke karakter moest begrijpen.” Dit strekt zich uiteraard ook uit tot de ICT-middelen waar hij zich van bedient.
[6] Artsen verbonden aan Universitair Medische Centra zijn ‘in dienst’. In de algemene ziekenhuizen zijn slechts 5 tot 10 procent van de artsen in loondienst.
[7] In geval de arts en het ziekenhuis beide hulpverlener zijn brengt het hulpverlenerschap van het ziekenhuis niet met zich mee dat het mag treden in de aangelegenheden die in de vertrouwelijke sfeer tussen de patiënt en arts moeten blijven. Kortom, de arts moet de vertrouwelijkheid waarborgen en het ziekenhuis moet ervoor zorgen dat dat mogelijk is. De zorginstelling heeft de plicht om de hulpverlener die (ICT-) omgeving te bieden die ervoor kan zorgen dat hij aan zijn verplichtingen uit de WGBO kan voldoen: dossierplicht, afschrift/inzage, vernietiging en geheimhouding.
[8] Toezicht wordt gehouden door het CBP en de Inspectie voor de Gezondheidszorg (IGZ). In een convenant hebben het CBP en IGZ vastgelegd dat het IGZ toeziet op de kwaliteit van de zorg en het CBP op de toepassing en naleving van de Wbp. https://cbpweb.nl
[9] https://cbpweb.nl/sites/default/files/downloads/mijn_privacy/ rap_2013-patientendossiers-binnen-zorginstellingen.pdf
[10] http://knmg.artsennet.nl/Publicaties/KNMGpublicatie/71228/ Richtlijnen-inzake-het-omgaan-met-medische-gegevens-2010.htm
[11] Dit ziet dus met name op gebruik van de gegevens in het zorgproces en niet op hergebruik voor onderzoek of onderwijs. Tevens wordt hierin de Wbp niet mede als uitgangspunt genomen.
[12] Zie www.rijksoverheid.nl: “Nadere regels voor technische en organisatorische maatregelen bij elektronische gegevensuitwisseling tussen zorgaanbieders”.
[13] NB: In de praktijk is er ook nog een verschil in de geheimhoudingsplicht bij het niet vrijwillig aangaan van een behandel relatie, zoals bij medische keuringen en verzuimbegeleiding. In deze gevallen is er formeel geen sprake van een behandelrelatie volgens de WGBO bij gebreke van vrije artsenkeuze.
[14] Zie bijvoorbeeld: http://www.clinicalaudit.nl
[15] Ik doel hierbij op de situatie dat de zorginstelling deze handeling zelf verricht. Dit in tegenstelling tot uitbesteding aan een derde, bijvoorbeeld Zorg TTP (https://www.zorgttp.nl/index.php/pages/ page)
[16] Een goed voorbeeld hiervan is de discussie over het ‘terugleveren’ van individuele diagnoses van de spoedeisende hulp (SEH) aan ambulancecentrales (RAV). Het IGZ verplichtte de RAV’s dit in te regelen. Het CBP keurde dit goed, maar op grond van voorwaarden die praktisch onhaalbaar waren. Het ministerie van VWS heeft vervolgens het op individuele basis terugkoppelen van diagnoses verboden.
 

Tag

Onderwerp



Niet gevonden? Vraag het de redactie!

Heeft u het antwoord op uw vraag niet gevonden, of bent u op zoek naar specifieke informatie? Laat het ons weten! Dan zorgen we ervoor dat deze content zo snel mogelijk wordt toegevoegd, of persoonlijk aan u wordt geleverd!

Stel uw vraag