Door mr. dr. Luuk Arends en mr. Ernst-Jan van de Pas
Op 4 oktober jl. nam de Eerste Kamer de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg aan. Na jarenlang soebatten krijgt de zorg daardoor voor het eerst een wettelijk kader voor elektronische uitwisseling van patiëntgegevens tussen zorgaanbieders. In de toekomst zullen cliënten bovendien de mogelijkheid krijgen om rechtstreeks inzage en afschrift van het dossier te krijgen via een elektronisch uitwisselingssysteem. In dit artikel gaan wij in op de vraag wat er voor zorgaanbieders en cliënten gaat veranderen.
Wetgeving
Al jaren wordt er gedebatteerd over een wettelijke regeling van het elektronisch patiëntendossier (EPD). In 2011 sneuvelde een wetsvoorstel dat het EPD moest gaan regelen in de Eerste Kamer. In dat wetsvoorstel zou er één elektronische “snelweg” komen voor elektronische patiëntendossiers. Via deze route konden zorgaanbieders binnen strikte kaders patiëntengegevens met elkaar uitwisselen om goede zorgverlening mogelijk te maken. Het voorstel haalde het vooral niet omdat er te veel vragen waren over de beveiliging van het systeem.
Het uitwisselingssysteem, het landelijk schakelpunt (LSP), was op dat moment al in gebruik. Veel zorgaanbieders waren er al op aangesloten, met name huisartsen, huisartsenposten en apothekers. Door het sneuvelen van het wetsvoorstel ontbrak echter een deugdelijk wettelijk kader.
De Autoriteit Persoonsgegevens schetste vervolgens hoe uitwisseling toch kon plaatsvinden. De vereniging van zorgaanbieders voor zorgcommunicatie (VZVZ) werd opgericht en zorgaanbieders moesten expliciete toestemming vragen aan patiënten voor het delen van gegevens via het LSP. Sinds 2012 gebeurt dit in de praktijk.
Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wvpz)
De Wvpz vult de Wet gebruik burgerservicenummer in de zorg aan en wijzigt de naam van die wet. De wet ziet op elektronische uitwisselingssystemen tussen zorgaanbieders, niet op systemen binnen één zorginstelling.
De wet is van toepassing wanneer een zorgaanbieder via een elektronisch uitwisselingssysteem patiëntgegevens beschikbaar stelt aan een andere zorgaanbieder. Deze kan de gegevens vervolgens raadplegen zonder verdere tussenkomst.
Op grond van de Wvpz moet de cliënt uitdrukkelijke toestemming geven om gegevens beschikbaar te stellen. Zonder toestemming mag dit niet. In de toekomst kan de cliënt specifieker aangeven welke gegevens worden gedeeld en met welke zorgaanbieders of categorieën van zorgaanbieders.
Deze toestemming moet worden vastgelegd in het dossier.
Daarnaast moet de zorgaanbieder cliënten informeren over wijzigingen in het uitwisselingssysteem, bijvoorbeeld wanneer nieuwe zorgaanbieders worden aangesloten. De cliënt kan zijn toestemming dan aanpassen of intrekken.
Recht op elektronische inzage
Cliënten krijgen het recht op elektronische inzage in hun dossier en in de gegevens die via een uitwisselingssysteem beschikbaar worden gesteld. Veel zorgaanbieders delen geen volledig dossier, maar een samenvatting, zoals het waarneemdossier van huisartsen.
Omdat technische aanpassingen nodig zijn, heeft de minister aangekondigd dat gespecificeerde toestemming pas drie jaar na inwerkingtreding verplicht wordt. Dit geeft zorgaanbieders en leveranciers tijd om systemen aan te passen.
Zorgaanbieders moeten gegevens zodanig beschikbaar stellen dat de privacy van anderen niet wordt geschaad. Dit betekent dat zorgvuldig moet worden omgegaan met bijvoorbeeld het vermelden van namen van derden in dossiers.
Cliëntenrechten
Informatieverplichtingen
De zorgaanbieder moet cliënten informeren over hun rechten bij elektronische gegevensuitwisseling. Deze informatie moet duidelijk genoeg zijn om weloverwogen toestemming te kunnen geven.
Het recht op elektronische inzage is ingrijpend. Cliënten kunnen eenvoudiger zien wat er over hen is vastgelegd. Dit betekent dat zorgverleners hun dossiervoering hierop moeten aanpassen.
De Wvpz verplicht niet dat dossiers permanent beschikbaar zijn. Zorgaanbieders mogen ervoor kiezen om gegevens op verzoek elektronisch beschikbaar te stellen, bijvoorbeeld door deze toe te sturen of tijdelijk toegankelijk te maken.
Dit biedt ruimte om toelichting te geven bij de inhoud van dossiers en misinterpretatie te voorkomen.
Logging
Cliënten krijgen het recht om inzicht te krijgen in wie hun gegevens heeft ingezien of beschikbaar heeft gesteld en wanneer dit is gebeurd.
Ook hiervoor geldt dat zorgaanbieders drie jaar de tijd krijgen om systemen hierop in te richten.
Toestemmingseis voor raadpleging
De Wvpz bevat ook een bepaling dat zorgaanbieders toestemming moeten vragen om gegevens bij andere zorgaanbieders te raadplegen. De minister heeft echter aangegeven deze bepaling voorlopig niet in werking te laten treden, omdat deze in de praktijk moeilijk uitvoerbaar is.
Beveiliging
Het elektronisch beschikbaar stellen van patiëntgegevens brengt risico’s met zich mee. Wanneer gegevens uitlekken, is niet altijd duidelijk waar dit is gebeurd. Dit kan bij de zorgverlener, maar ook bij de cliënt of andere partijen liggen.
Daarom is het belangrijk cliënten goed te informeren over de risico’s van het delen van gegevens. Ook verdient het aanbeveling om systemen zo in te richten dat gegevens zo min mogelijk worden gekopieerd.
De wetgever heeft daarnaast maatregelen genomen tegen misbruik door zorgverleners. Bij schending van het beroepsgeheim of computervredebreuk kan een zorgverlener worden uitgesloten van het beroep.
Tot slot
Of de Wvpz uitvoerbaar is, moet in de praktijk blijken. Met name het vragen van gespecificeerde toestemming en het recht op elektronische inzage zullen wennen zijn voor zowel zorgaanbieders als cliënten.
De invoering van de wet betekent dat bestaande systemen en EPD’s moeten worden aangepast. Het is verstandig om bestaande contracten met IT-leveranciers te controleren en zo nodig nieuwe afspraken te maken. Drie jaar is een korte periode voor ingrijpende technologische aanpassingen.
In vergelijking met het wetsvoorstel uit 2011 valt op dat meerdere uitwisselingssystemen mogelijk zijn. Dit maakt systemen mogelijk minder kwetsbaar, maar kan de uitwisseling complexer maken.
Of de Wvpz uiteindelijk een goede stap is, zal moeten blijken. Wel is het een belangrijke ontwikkeling dat er eindelijk een wettelijk kader komt voor elektronische uitwisseling van patiëntgegevens.
mr. dr. Luuk Arends is advocaat bij de sectie gezondheidszorg van Dirkzwager advocaten & notarissen.
mr. Ernst-Jan van de Pas is advocaat bij de sectie IE/ICT van Dirkzwager advocaten & notarissen.
