Vragen van het lid Kuiken (PvdA) aan de minister van Volksgezondheid, Welzijn en Sport  over problemen bij de beheerder van elektronische patiëntendossiers (ingezonden 17 februari 2011).

Antwoord van minister Schippers (Volksgezondheid, Welzijn en Sport) (ontvangen 8 maart 2011).

Vraag 1

Heeft u kennisgenomen van de berichtgeving over het faillissement van ICT bedrijf InfoTechnology dat onder meer 1,5 tot 2 miljoen elektronische patiëntendossiers (EPD’s) beheert?¹

Antwoord 1

Ja.

Vraag 2

Hoe beoordeelt u de uitspraak van de curator van InfoTechnology dat op korte termijn het doorleveren van diensten is gewaarborgd, omdat de schuldeisers het belang van de dienst zien, maar dat doorleveren op de middellange termijn afhangt van het vinden van een overnamepartner?

Antwoord 2

Gelet op de uitspraken van de curator ben ik van mening dat de continuïteit van de zorgverlening voldoende gewaarborgd is. Ik onderschrijf het belang van het op korte termijn doorleveren, gezien het belang van de dienst. Voor de middellange termijn zal dit afhangen van een eventuele overnamepartner, dan wel zullen de betreffende zorgaanbieders zelf kunnen overstappen naar een andere leverancier.

Vraag 3

Hoe beoordeelt u berichten in de media dat de Belastingdienst al weken geleden op de hoogte was van de financiële problemen bij het bedrijf, een van de grote ICT-bedrijven in de zorg? Bent u hierover geïnformeerd door de Belastingdienst? Zo nee, waarom niet? Zo ja, heeft u actie ondernomen?

Antwoord 3

Ik ben hierover niet geïnformeerd door de Belastingdienst.

Wel ben ik geïnformeerd door de IGZ over de problemen bij InfoTechnology.

Uiteraard is het voor de continuïteit van zorg van belang dat een zorgaanbieder er voor zorgt dat noodzakelijke gegevens beschikbaar zijn en blijven. Dit is echter de verantwoordelijkheid van de zorgaanbieder zelf. Daarom is het aan te bevelen dat de zorgaanbieder dit contractueel regelt met zijn leverancier.

De gebruikersverenigingen en Nictiz zullen de zorgaanbieder attenderen op het belang van het contractueel goed regelen van dergelijke zaken, zodat dit voor-komen kan worden.

Vraag 4

Kunt u garanderen dat er geen data verloren zullen gaan en geen oneigenlijk gebruik zal worden gemaakt van de dossiers? Blijft de privacy van de 1,5 tot 2 miljoen EPD’s gewaarborgd?

Antwoord 4

Zoals gezegd is dit de verantwoordelijkheid van de zorgaanbieder zelf. Voor wat betreft de privacy, zal nog steeds gelden dat er passende waarborgen getroffen moeten worden. Ik heb geen signalen dat op dit gebied problemen te verwachten zijn. De huidige wet- en regelgeving blijft natuurlijk ook van toepassing op bedrijven die failliet gaan en de zorgvuldige overdracht van gegevens is ook dan aan de orde.

Vraag 5

Is bekend om welke reden het bedrijf in financiële problemen is gekomen? Ziet u parallellen met de eerdere financiële problemen bij Famed en LHV Declaratie Direct, die net als InfoTechnology ook declaratiediensten voor de gezondheidszorg leverden?

Antwoord 5

Het is mij niet bekend wat de reden van de problemen is.

Vraag 6

Hoe beoordeelt u de uitspraken van de voorlichter van het Nationaal ICT Instituut in de Zorg (Nictiz) dat een faillissement van InfoTechnology geen acute problemen oplevert, omdat er nog geen praktijken via InfoTechnology zijn aangesloten op het Landelijk Schakelpunt (LSP) van het EPD? Was het probleem wel acuut geweest als via InfoTechnology wél zorgverleners op het LSP waren aangesloten? Hoe schat u het risico in als bedrijven die al wel op het LSP zijn aangesloten, in financiële problemen komen?¹

Antwoord 6

De dienstverlening van InfoTechnology wordt momenteel gecontinueerd. Gegevens blijven dus beschikbaar. De uitspraak doelt op de Zorg Service Provider (ZSP²)-dienstverlening van InfoTechnology. Hier maakten nog geen zorgverleners gebruik van. Het eventueel staken van deze dienstverlening heeft dus geen effect op beschikbaarheid van gegevens. Als de Application Service Provider (ASP)-dienstverlening van InfoTechnology of andere leveranciers niet gecontinueerd zou worden, zouden gegevens van zorgaanbieders die hier gebruik van maken ook niet meer beschikbaar zijn voor raadpleging via het LSP.

Vraag 7

Controleert Nictiz bij verlening van het (Zorg Service Provider)-keurmerk (ZSP) ook of bij afsluiten van ICT-contracten afspraken over continuïteit worden vastgelegd en afspraken wat er met de data en diensten gebeurt bij faillissement? Zo nee, waarom niet? Zo ja, was dit ook bij InfoTechnology het geval? Zo nee, waarom niet?

Antwoord 7

Nictiz controleert of aan de eisen wordt voldaan om te zorgen voor veilige uit-wisseling van gegevens en continuïteit in geval van technische storingen. Nictiz beoordeelt op dit moment niet of er afspraken gemaakt zijn over de continuïteit van de dienstverlening bij faillissement. De zorgaanbieder is verantwoordelijk voor de zorgverlening richting de patiënt, Nictiz draagt zorg voor waarborgen ten aan-zien van een veilige uitwisseling via het landelijk schakelpunt, daar valt dit niet onder. Wel zullen Nictiz en de gebruikersverenigingen de zorgaanbieders attenderen op het belang van het contractueel goed regelen van dergelijke zaken, zodat dit voorkomen kan worden. Voorts wordt nagegaan of dergelijke eisen moeten worden toegevoegd aan de Goed beheerd zorgsysteem (GBZ³)-eisen.

Vraag 8

Als InfoTechnology wordt overgenomen door een bedrijf dat het ZSP-keurmerk niet heeft of krijgt, hoe is dan de privacy geregeld? Wat zijn dan de gevolgen voor de zorgverleners die hun ICT-diensten hebben ondergebracht bij InfoTechnology?

Antwoord 8

Als InfoTechnology wordt overgenomen door een bedrijf zonder ZSP-keurmerk wil dat niet zeggen dat de privacy niet geregeld is. Het zal echter voor de betrokken zorgaanbieders niet mogelijk zijn om dan aan te sluiten op het Landelijk Schakel-punt, daar is immers een leverancier met een ZSP-keurmerk voor nodig.

Vraag 9

Welke mogelijkheden ziet u voor een nieuw keurmerk voor application service providers (asp’s), waarnaar Nictiz nu een haalbaarheidsstudie doet? Aangezien het ZSP-keurmerk blijkbaar geen garantie is dat bedrijven omvallen, zal een nieuw keurmerk deze garantie dan wel geven? Wat zal de waarde zijn van een nieuw keurmerk?

Antwoord 9

Garanties voor het niet failliet gaan van bedrijven zijn niet te geven. Ook een nieuw keurmerk kan deze waarborgen niet bieden. Ik ben dan ook van mening dat de oplossing gevonden dient te worden in de contractuele afspraken die zorg-aanbieders met leveranciers maken. Zorgaanbieders zijn verantwoordelijk voor de verlening van de zorg aan de patiënt. Zij dienen te waarborgen dat deze zorg niet in gevaar komt. Het verdient dan ook de aanbeveling dat zorgaanbieders in hun contracten met leveranciers afspraken maken over de continuïteit bij faillissementen. Nictiz onderzoekt of contractuele borging van de continuïteit van dienstverlening in geval van faillissement onderdeel kan en moet uitmaken van de GBZ-eisen.

---

1 Onder meer Haarlems Dagblad, Werknemers Hillegoms ICT bedrijf Infotechnology in onzekerheid, 11 februari 2011

http://www.computable.nl/artikel/ict_topics/beleid/3776502/2379250/nictiz-onderzoekt-noodzaak-keurmerk-asps.html

2 Marktpartij die een beveiligde verbinding aanbiedt tussen GBZ en LSP en die de beheerder van het GBZ inhoudelijke ondersteuning geeft. Ook kunnen extra diensten aan de gebruikers worden geleverd.

3 Zorginformatiesysteem dat voldoet aan de eisen voor aansluiting op het landelijk schakelpunt (LSP).