Besluit van 10 juni 2020, houdende vaststelling van het tijdstip van inwerkingtreding van de artikelen 15d en 15e van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van voor Medische Zorg van 8 juni 2020, kenmerk 1679916-204602-WJZ;

Gelet op Artikel IX van de Wet van 5 oktober 2016 tot wijziging van de Wet gebruik burgerservicenummer in de zorg, de Wet marktordening gezondheidszorg en de Zorgverzekeringswet (cliëntenrechten bij elektronische verwerking van gegevens) (Stb. 2016, 373);

Hebben goedgevonden en verstaan:

Enig artikel

De artikelen 15d en 15e van artikel II, onderdeel B van de Wet van 5 oktober 2016 tot wijziging van de Wet gebruik burgerservicenummer in de zorg, de Wet marktordening gezondheidszorg en de Zorgverzekeringswet (cliëntenrechten bij elektronische verwerking van gegevens) (Stb. 2016, 373) treden in werking met ingang van 1 juli 2020.

Onze Minister voor Medische Zorg is belast met de uitvoering van dit besluit, dat in het Staatsblad zal worden geplaatst.

’s-Gravenhage, 10 juni 2020

Willem-Alexander

De Minister voor Medische Zorg, M.J. van Rijn

Uitgegeven de negentiende juni 2020

De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus

NOTA VAN TOELICHTING

De Wet cliëntenrechten bij elektronische verwerking van gegevens is op 1 juli 2017 gedeeltelijk in werking getreden (Stb. 2017, 279). De bepalingen van de Wet cliëntenrechten bij elektronische verwerking van gegevens zijn opgenomen in de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (de Wabvpz, voorheen de Wet gebruik bsn in de zorg).

In de nadere memorie van antwoord (Kamerstukken I, 33 509, nr. J) bij het wetsvoorstel cliëntenrechten bij elektronische verwerking van gegevens, is voor de inwerkingtreding van een aantal nieuwe bepalingen een groeimodel vastgelegd om zorgaanbieders drie jaar de tijd te geven zich op de inwerkingtreding voor te bereiden. Op basis van dit groeimodel treden per 1 juli 2020 de artikelen 15d en 15e van de Wabvpz in werking. In de derde voortgangsrapportage Wet cliëntenrechten bij elektronische verwerking van gegevens van december 2019 is de aanstaande inwerkingtreding van deze artikelen nogmaals aangekondigd en nader toegelicht (Kamerstukken II, 2019–2020, 27 529, nr. 209).

Artikel 15d regelt het recht op kosteloze elektronische inzage en afschrift van het dossier van een cliënt en van de gegevens van die cliënt die de zorgaanbieder via een elektronisch uitwisselingssysteem beschikbaar stelt. Naast het recht op inzage en afschrift van het papieren dossier op grond van de WGBO, geldt inmiddels op grond van artikel 15, derde lid van de AVG het recht om een afschrift in elektronische vorm te krijgen als ook het verzoek om informatie over welke persoonsgegevens worden verwerkt, langs elektronische weg is ingediend. Artikel 15d regelt specifieker dan de AVG, dat los van de vorm van het verzoek van een cliënt, zorgaanbieders moeten voorzien in zowel het geven van een elektronisch afschrift als ook in elektronische inzage. Dit laatste is een aanvulling op de AVG.

Omdat het bij gegevens over de gezondheid om bijzondere persoonsgegevens staat, is de beveiliging van deze gegevens van groot belang. Voor de informatiebeveiliging en het veilig uitwisselen van gegevens zijn op grond van het Besluit elektronische gegevensuitwisseling door zorgaanbieders de NEN-normen NEN7510 en NEN7512 van toepassing. Inmiddels zijn er zorgaanbieders die via beveiligde zorgportalen inzage in gegevens bieden en zijn er Persoonlijke GezondheidsOmgevingen (PGO’s) waarnaar zorggegevens op een veilige manier ontsloten kunnen worden. Voor online toegang tot iemands medische gegevens, moet kunnen worden ingelogd met een inlogmiddel op voldoende betrouwbaarheidsniveau. Als de Wet digitale overheid (kamerstukken I, 34 972, nr. A) in werking treedt, komt dit ook voor de zorg breed beschikbaar. Artikel 15d van de Wabvpz schrijft de vorm van digitale inzage of afschrift niet voor. Voor de informatiebeveiliging en het veilig uitwisselen van gegevens zijn wel op grond van het Besluit elektronische gegevensuitwisseling door zorgaanbieders de NEN-normen NEN7510 en NEN7512 van toepassing. Dit brengt met zich mee dat zolang een zorgaanbieder niet op een veilige manier online inzage kan bieden, de zorgaanbieder digitale inzage en afschrift op een andere manier moet faciliteren, bijvoorbeeld door inzage op de praktijk of het beschikbaar stellen van een afschrift op een beveiligde USB-stick of bijvoorbeeld via een beveiligde e-mail.

Artikel 15d, tweede lid, bevat specifieke regels voor de gegevensuitwisseling rondom zelfmedicatie. Dit recht van een cliënt is niet geregeld in de AVG en vormt dus ook een aanvulling. Op verzoek van de cliënt, verschaft de apotheker bij de afgifte van medicijnen direct op elektronische wijze inzage in zijn medicatiegegevens en stelt de apotheker op verzoek van de cliënt gegevens over zelfmedicatie beschikbaar in het elektronisch uitwisselingsysteem zodat deze gegevens beschikbaar komen voor de overige zorgaanbieders van de cliënt.

Artikel 15e regelt op wettelijk niveau waaraan logging voor gegevensuitwisseling via een elektronisch uitwisselingssysteem door zorgaanbieders moet voldoen. De AVG regelt logging niet expliciet, maar op grond van de AVG is logging in veel gevallen wel een noodzakelijke beveiligingsmethode. Voor de medische gegevens die beschikbaar zijn via een elektronisch uitwisselingssysteem is van belang dat volstrekt helder is wat de herkomst van de gegevens is, en tevens dat kenbaar is wie bepaalde informatie heeft ingezien en op welk moment. Daarom is de plicht om deze gegevens te loggen vastgelegd in artikel 15e. Daarnaast schrijft het Besluit elektronische gegevensuitwisseling door zorgaanbieders via NEN7513 voor waar logging aan moet voldoen.

De Minister voor Medische Zorg, M.J. van Rijn