Vragen van het lid Van Gerven (SP) aan de Minister van Volksgezondheid, Welzijn en Sport over het bericht dat de privacy van patiënten slecht gewaarborgd is (ingezonden 23 april 2014).

Antwoord van Minister Schippers (Volksgezondheid, Welzijn en Sport) (ontvangen 9 september 2014). Zie ook Aanhangsel Handelingen, vergaderjaar 2013–2014, nr. 1986.

Vraag 1

Wat zegt het u dat uit gesprekken met medewerkers van de klantenservice van verschillende zorgverzekeraars, die in de tv-uitzending over patiëntgegevens getoond worden, blijkt dat de privacyverklaring bij medewerkers van zorgverzekeraars niet bekend is? Vindt u het acceptabel dat verzekerden hierdoor verkeerd worden voorgelicht over de mogelijkheid van een privacyverklaring? Kunt u uw antwoord toelichten?1

Antwoord 1

De privacyverklaring en de daaraan gekoppelde regeling zijn bekend bij alle zorgverzekeraars. Helaas is inderdaad gebleken dat niet alle medewerkers van verzekeraars goed op de hoogte waren van deze regeling. Ik verwacht van zorgverzekeraars dat zij zorgen voor een adequaat kennisniveau van hun medewerkers. Inmiddels hebben zorgverzekeraars de medewerkers waar dit relevant voor is nogmaals gewezen op het bestaan van de privacyregeling.

Vraag 2, 3 en 4

Hoe reageert u in dit verband op de uitspraak van een psycholoog in genoemde uitzending dat het haar ervaring is dat mensen «structureel voorgelogen worden» door zorgverzekeraars?

Herkent u het beeld dat zorgverleners schetsen dat zorgverzekeraars de privacyverklaring proberen tegen te werken, omdat zij deze als lastig ervaren? Kunt u uw antwoord toelichten?

Deelt u de mening dat zorgverzekeraars een privacyverklaring te allen tijde moeten respecteren? Hoe gaat u dat bewerkstelligen?

Antwoord 2, 3 en 4

Het beeld van «structureel voorliegende zorgverzekeraars» die de privacyverklaring moedwillig proberen tegen te werken herken ik niet. Wel heeft de Nederlandse Zorgautoriteit (NZa) mij laten weten dat zij enkele signalen heeft ontvangen dat zorgverzekeraars de privacyregeling niet of verkeerd toepassen. De NZa heeft daarop, en naar aanleiding van de uitzending, actie ondernomen om de zorgverzekeraars nader te informeren over de regeling en hoe zij deze moeten toepassen. In geval van signalen over individuele zorgverzekeraars zal de NZa deze aanspreken op hun handelen en indien nodig gepaste maatregelen treffen. Zorgverzekeraars hebben mij laten weten dat zij de privacyverklaring respecteren en dat dit niet ter discussie staat. Zij hebben mij bovendien laten weten dat zij nog eens kritisch naar hun processen in dit kader hebben gekeken en waar nodig aanscherping hebben doorgevoerd (bijvoorbeeld door het aanpassen van werkinstructies voor helpdeskmedewerkers).

Vraag 5

Welk doel dient de informatie die de Stichting Benchmark GGZ (SBG) verzamelt? Vindt u het acceptabel dat gedetailleerde informatie over patiënten terecht komt bij een instelling die rechtstreeks is verbonden aan zorgverzekeraars?

Antwoord 5

SBG wordt bestuurd door GGZ Nederland, het Landelijk Platform GGz (LPGGz) en Zorgverzekeraars Nederland (ZN). Het doel van de stichting is om – door het leveren van spiegel- en benchmarkinformatie – de kwaliteit en de transparantie van de geestelijke gezondheidszorg (ggz) te verbeteren. SBG is een Trusted Third Party (TTP). Dit wil zeggen dat SBG een onafhankelijke en onpartijdige organisatie is en niet – zoals u stelt – «rechtstreeks verbonden aan zorgverzekeraars».

SBG ontvangt gepseudonimiseerde2 en anonieme patiëntgegevens, aangevuld met achtergrondinformatie en informatie die wordt verkregen door het routinematig meten van behandeluitkomsten via de ROM-methodiek (ROM staat voor Routine Outcome Monitoring). Deze informatie betreft zowel begin- als eindmetingen van de toestand van een ggz-cliënt, beide uitgevoerd door de behandelende zorgaanbieder aan de hand van ROM-vragenlijsten. Om ervoor te zorgen dat deze gegevens onderling beter vergelijkbaar worden, worden deze verrijkt met achtergrondinformatie van de gepseudonimiseerde cliënten, zodat de gemeten behandeluitkomsten hiervoor kunnen worden gecorrigeerd (de zogeheten casemix-correctie).

Al deze informatie wordt vervolgens door SBG verwerkt tot spiegelinformatie (op het niveau van groepen patiënten) over de effectiviteit van de geboden zorg. Door middel van een beveiligde webbased softwaretoepassing (de Benchmark Rapportage Module, BRaM) ontstaat inzicht in de geaggregeerde resultaten die gemiddeld behaald worden bij grote groepen patiënten. De BRaM toont uitsluitend spiegelinformatie aan daartoe geautoriseerde personen. Zorgaanbieders kunnen met BRaM rapportages maken op het niveau van de instelling als geheel, per locatie, per afdeling en per behandelaar. De resultaten van het eigen organisatieonderdeel kunnen daarbij worden afgezet tegen de SBG-benchmark, het landelijk gemiddelde. Voor zorgverzekeraars is – naast informatie over het landelijk gemiddelde, de SBG-benchmark – alleen informatie op instellingsniveau beschikbaar en dan alleen voor zover het ggz-instellingen betreft waarmee zij een overeenkomst tot inkoop van zorg hebben of van ggz-instellingen die hen daartoe geautoriseerd hebben.

Zorgaanbieders kunnen de door SBG geleverde spiegel- en benchmarkinformatie gebruiken om hun behandelingen en zorgprogramma’s te verbeteren en eventuele praktijkvariatie te reduceren. Een zorgaanbieder kan dit intern uitvoeren en/of in samenwerking met collega-zorginstellingen. Zorgverzekeraars kunnen deze spiegel- en benchmarkinformatie gebruiken in hun dialoog met de door hen gecontracteerde zorgaanbieder(s). Momenteel onderzoekt SBG met het LPGGz de mogelijkheden om op termijn de benchmark gegevens beschikbaar te stellen aan patiënten als keuze-informatie.

Vraag 6

Kunt u uitsluiten dat de SBG, door data te combineren, kan achterhalen welke diagnose bij een individuele patiënt is gesteld? Kunt u uw antwoord toelichten?

Antwoord 6

Het College bescherming persoonsgegevens (CBP) heeft als eis gesteld dat de gepseudonimiseerde gegevens niet indirect identificerend mogen zijn. Het CBP heeft in een brief van 10 januari 2006 en in het consultatiedocument CBP Richtsnoeren actieve openbaarmaking van maart 2008, aangegeven dat gegevens (direct of indirect) identificerend zijn als die gegevens «redelijkerwijs, zonder onevenredige inspanning» kunnen worden gebruikt om de identiteit van een persoon vast te stellen.3 SBG heeft diverse maatregelen genomen om invulling te geven aan deze eis:

  • – Het beheer van SBG-gegevens vindt plaats in een strikt beveiligde omgeving: de databestanden met patiëntgegevens staan op een streng beveiligde server in een beveiligde bunker. Periodiek toetst een onafhankelijke auditor met behulp van internationale standaarden de databeveiliging.

  • – Het gebruik van deze data door SBG-medewerkers en de levering van data aan derden is geprotocolleerd en gebonden aan strenge regels. Wie wat waarom mag zien in de database, intern en extern, is uitgeschreven en openbaar gemaakt op de website van SBG (www.sbggz.nl), onder andere in het SBG Dataprotocol. Voor interne medewerkers van SBG gelden ook regels over inzicht in en gebruik van data en gegevens, die zijn vastgelegd of voortkomen uit de individuele arbeidsovereenkomst, de verklaring omtrent het gedrag en verklaring(en) van geheimhouding.

  • – De levering van benchmarkgegevens is gereglementeerd, gebonden aan autorisaties en wordt gecontroleerd en periodiek geaudit.

  • – Ook wordt periodiek de kwaliteit van de pseudonimisering beoordeeld.

Voor een blijvende naleving van de Wet bescherming persoonsgegevens (Wbp) heeft SBG conform de voorschriften van het CBP4 een Functionaris voor de Gegevensbescherming in dienst. Deze is aangemeld bij het CBP en als zodanig ook terug te vinden in het openbaar register van Functionarissen voor de Gegevensbescherming op de website van het CBP. Deze functionaris houdt onafhankelijk toezicht op de (voortdurende) toepassing en de naleving van de Wbp. Tevens ziet deze functionaris toe op de algemene kwaliteit van het beleid en uitvoering inzake de bescherming van persoonsgegevens in de organisatie, onder andere met interne audits. Periodiek toetst ook een externe auditor de naleving van de werkprocedures van SBG. De bescherming voor een onafhankelijk optreden van de Functionaris voor de Gegevensbescherming en diens wettelijke taak is vastgelegd in de Wbp.

Vraag 7 en 8

Kunt u uitsluiten dat zorgverzekeraars via de SBG bij privacygevoelige gegevens van individuele patiënten kunnen? Kunt u uw antwoord toelichten?

Is het wat u betreft acceptabel dat zorgverzekeraars hun informatiehonger stillen door privacygevoelige informatie van patiënten te verzamelen via de SBG? Kunt u uw antwoord toelichten?

Antwoord 7 en 8

Verzekeraars hebben via SBG geen toegang tot privacygevoelige informatie. Ten eerste heeft SBG, zoals toegelicht bij vraag 6, diverse maatregelen genomen ter invulling van de eis van het CBP dat gegevens niet zonder onevenredige inspanning herleidbaar mogen zijn naar een persoon. Ten tweede borgt het SBG Dataprotocol dat zorgverzekeraars uitsluitend toegang krijgen tot gemiddelde uitkomstgegevens van groepen van patiënten op geaggregeerd niveau en niet tot gegevens op het niveau van individuele (gepseudonimiseerde) patiënten.

Vraag 9 en 10

Denkt u dat patiënten behoefte hebben aan transparantie in de zorg die hun privacy schendt? Kunt u uw antwoord toelichten?

Kunt u aangeven op welke wijze dit de zorg voor patiënten ten goede komt? Deelt u de mening dat het niet aan de zorgverzekeraars is om te bepalen wat goede zorg is, maar dat dit het beste kan worden bepaald door zorgverleners onderling? Deelt u daarmee de mening dat de SBG overbodig is?

Antwoord 9 en 10

Patiënten hebben belang bij de transparantie die SBG biedt en de bescherming van persoonsgegevens die daarbij hoort.

Patiënten hebben er belang bij dat zorgprofessionals systematisch en volgens een gestandaardiseerde en routinematige aanpak de effecten van hun behandelingen in kaart brengen (zoals gefaciliteerd door SBG) en systematisch en routinematig leren van elkaars ervaringen, omdat met geleerde lessen de kwaliteit van zorg kan worden verbeterd. Juist door de gestandaardiseerde aanpak van het meten van behandeluitkomsten en de doorontwikkeling van die aanpak is de verwachting dat zorgaanbieders hun behandeluitkomsten steeds beter onderling kunnen vergelijken en het steeds beter mogelijk wordt daaruit lessen te trekken. Patiënten hebben daarom een belang bij het werk van SBG en de transparantie die daarmee wordt gecreëerd.

Patiënten hebben ten algemene belang bij transparantie over de verwerking van persoonsgegevens die henzelf betreffen. Daartoe zijn waarborgen in de Wbp en de Wet op de geneeskundige behandelingsovereenkomst (WGBO) opgenomen. Met betrekking tot de verwerking van gegevens door SBG is in waarborgen voor de privacy voorzien. De informatie daarover is voor een ieder te vinden op www.sbggz.nl.

Overigens zijn de ROM-vragenlijsten geheel en alleen ontwikkeld door ggz-professionals en niet door verzekeraars. Ggz-professionals bepalen dus hoe de behandeluitkomsten moeten worden gemeten en welke vragenlijsten daarvoor worden gebruikt, en niet de verzekeraars. SBG heeft een Wetenschappelijke Raad ingesteld die is belast met het toezicht op het wetenschappelijk kader waarbinnen SBG opereert. In de Wetenschappelijke Raad zitten alleen beroepsbeoefenaars, geen zorgverzekeraars. De Wetenschappelijke Raad bewaakt onder andere het gebruik van gevalideerde en/of bewezen methoden en technieken. Deze Wetenschappelijke Raad laat zich over het gebruik van meetinstrumenten (vragenlijsten) aanvullend adviseren door Expertraden, met experts uit het hele veld. Het bestuur en directie van SBG zijn gehouden aan de adviezen van de Wetenschappelijke Raad voor zover deze direct dan wel indirect betrekking hebben op het wetenschappelijke kader waarbinnen de stichting opereert. (Meer informatie over de Wetenschappelijke Raad en de Expertraden is te vinden op www.sbggz.nl)

Ik beschouw de opvattingen van zowel de Nederlandse Patiënten Consumenten Federatie5 (NPCF) als die van het LPGGz6 als ondersteuning van mijn beleid om transparantie in de zorg te bevorderen. Daarover zijn ook in de bestuurlijke akkoorden, waar beiden medeondertekenaar van zijn, duidelijke afspraken gemaakt. Met de betrokkenheid van het LPGGz zelf bij SBG, bestaat een goede waarborg dat het belang van de patiënt bij de activiteiten van SBG wordt meegenomen. Het LPGGz hecht hierbij veel waarde aan bescherming van de privacy en verwacht dat SBG continu voldoet aan de eisen van het CBP.

Vraag 11

Hoe reageert u op de uitspraak van professor J. van Os dat de database van SBG een «geldverslindend datakerkhof is»? Kunt u in dat verband aangeven hoeveel geld zorgverzekeraars hebben geïnvesteerd in de database van SBG?

Antwoord 11

Ik deel die mening niet. Zoals toegelicht ben ik van mening dat SBG maatschappelijk relevante doelen dient.

Het jaarlijks budget van Stichting Benchmark GGZ bedraagt 2 miljoen euro. Bij de oprichting van SBG zijn de kosten als volgt verdeeld: het benchmarken wordt gefinancierd door de zorgverzekeraars, de zorgaanbieders financieren het verzamelen van de onderliggende ROM-gegevens en de correcte aanlevering ervan aan SBG.

Vraag 12 en 13

Deelt u de mening van professor Van Os dat je alleen data mag verzamelen als patiënten dat goed vinden en wanneer daar iets maatschappelijk nuttigs mee gebeurt? Deelt u voorts zijn mening dat dit in het geval van de database van SBG niet het geval is? Kunt u uw antwoord toelichten?

Hoe reageert u op de uitspraak van professor Van Os dat de dataverzameling door SBG onethisch en onwettig is? Op basis van welk wetsartikel rechtvaardigt de SBG het verzamelen van deze privacygevoelige informatie? Is dat in uw ogen gerechtvaardigd? Kunt u uw antwoord toelichten?

Antwoord 12 en 13

Ik ben met professor dr. Van Os van mening dat gegevens alleen verzameld moeten worden als daar maatschappelijk iets nuttigs mee gebeurt. Op het maatschappelijke nut van de gegevensverzameling in het kader van ROM door SBG ben ik reeds uitvoerig ingegaan.

De gegevensverzameling van SBG geschiedt in verschillende onderscheiden stappen:

  • a. Eerst verzamelt de behandelaar, samen met zijn patiënt, de ROM-gegevens.

  • b. Bij de zorgaanbieder wordt het BSN versleuteld door middel van een zogenaamde Privacy Verzend Module (PVM). Daardoor zijn de gegevens niet meer herleidbaar tot de patiënt en er is dan ook geen sprake meer van persoonsgegevens als bedoeld in de Wbp.

  • c. Daarna levert de zorgaanbieder de (door de versleuteling niet meer tot de persoon van de patiënt herleidbare) ROM-gegevens aan bij ZorgTTP. Er worden geen andere gegevens meegezonden die direct kunnen herleiden tot de individuele patiënt.

  • d. ZorgTTP versleutelt nogmaals het reeds door de zorgaanbieder versleutelde BSN van de patiënt.

  • e. ZorgTTP levert de dubbel versleutelde gepseudonimiseerde gegevens aan SBG.

  • f. SBG verwerkt de gepseudonimiseerde gegevens.

Op de verschillende onderscheiden stappen zijn verschillende wettelijke kaders van toepassing:

Ad a

Het bij de intake diagnostisch classificeren van de cliënt en het gedurende de behandeling periodiek gegevens verzamelen over de uitkomst van de behandeling, maken beide deel uit van het reguliere klinische proces. Voor het verzamelen van die (ROM-)gegevens is geen expliciete toestemming nodig van de patiënt. De verwerking van gezondheidsgegevens valt onder artikel 21, eerste lid, aanhef en onder a, juncto artikel 21, tweede lid, van de Wbp. Wel moet de behandelaar op grond van de WGBO de patiënt bij aanvang van de behandeling melden welke gegevens waarom worden vastgelegd en wat de behandelaar met die gegevens doet.

Ad b

De behandelaar versleutelt het BSN met het oog op de aanlevering van gegevens aan SBG. De versleuteling maakt geen deel uit van de behandeling van de patiënt. Omdat het om de verwerking van persoonsgegevens gaat moet er een grondslag zijn in de Wbp. De verwerking van persoonsgegevens is op grond van artikel 8, aanhef en onder a, Wbp toegestaan indien de patiënt daarvoor toestemming heeft verleend.

Ad c en d

De behandelaar levert de niet meer tot de patiënt herleidbare gegevens aan bij ZorgTTP. Omdat er geen sprake meer is van persoonsgegevens in de zin van de Wbp is de wet niet van toepassing op de versleuteling door ZorgTTP.

Ad e en f

Op de verstrekking van de door de zorgaanbieder en ZorgTTP gepseudonimiseerde gegevens aan SBG en de verwerking van die gegevens door SBG is de Wbp niet van toepassing (omdat er geen sprake meer is van persoonsgegevens als bedoeld in de Wbp).

Medisch wetenschappelijk onderzoek met patiënten mag alleen worden uitgevoerd als er een juiste balans is tussen het belang van de onderzoeksvraag en de belasting die de procedures van het onderzoek voor de patiënt met zich meebrengt. Dit wordt getoetst door een van de elf (11) Medisch Ethische Toetsing Commissies die Nederland heeft. Er is ook een overkoepelend orgaan, de Centrale Commissie Mensgebonden Onderzoek (CCMO).

SBG heeft, samen met professor dr. Van Os, de vraag of de gegevensverzameling door SBG onder de Wet Medisch-wetenschappelijk Onderzoek met mensen (WMO) valt en METC-plichtig is, voorgelegd aan de CCMO. De vraag is vorig najaar besproken in een plenaire vergadering van de CCMO. Het standpunt van de commissie is dat het hier geen wetenschappelijk onderzoek betreft en de dataverzameling en -analyse daarom niet onder de Wet Medisch-wetenschappelijk Onderzoek met mensen (WMO) vallen.

Ik ben het dus oneens met de uitspraak van professor dr. Van Os dat de dataverzameling door SBG onethisch en onwettig is.

Vraag 14

Is het voorgaande voor u reden om de SBG te bewegen te stoppen met het verzamelen van data over patiënten? Zo ja, per wanneer? Zo nee, waarom niet?

Antwoord 14

Nee, ik ondersteun de missie en doelstellingen van SBG, zoals toegelicht in de voorgaande antwoorden, waarbij ik wel wil onderstrepen dat een adequate waarborging van de privacy van patiënten van groot belang is en blijft.

Vraag 15

Hoe reageert u op de uitspraak van de plaatsvervangend voorzitter van het College Bescherming Persoonsgegevens (CBP) dat het DBC-informatiesysteem (DIS) een van de meest risicovolle databases van het land is, omdat jaarlijks alle gegevens van patiënten in Nederland daarin worden ondergebracht? Hoe reageert u voorts op zijn uitspraak dat dit meer dan genoeg gegevens zijn om – als je kwaad zou willen – te herleiden waar het om gaat? Wat vindt u ervan dat het CBP zich afvraagt of het DIS nog wel privacyproof is?

Antwoord 15

Het is een feit dat het DIS een zeer omvangrijke database is die gegevens bevat die – indien deze tot identificeerbare individuen herleidbaar zouden zijn, wat niet zo is – privacybelastend zouden zijn. Mijn ambtsvoorgangers, ikzelf en medewerkers van het Ministerie van VWS zijn zich – met het CBP – altijd zeer bewust geweest van dat risico en van het feit dat er daarom altijd adequate (technische en organisatorische) maatregelen nodig zijn om dit risico te beheersen.7

In aanloop naar de instelling van het DIS, heeft mijn ambtsvoorganger in 2005 advies gevraagd aan het CBP over het toepassen van pseudonimisering van medische persoonsgegevens voordat ze het DIS bereiken en voordat ze worden opgeslagen in het DIS. Bij pseudonimisering van persoonsgegevens worden de identificerende kenmerken van personen op een zodanige manier (vooraf) versleuteld en omgezet in een pseudo-identiteit, dat de werkelijke identiteit van de betreffende personen niet meer te achterhalen is. Direct identificerende gegevens worden dubbel versleuteld (oftewel dubbel gepseudonimiseerd) vóórdat ze worden opgeslagen in het DIS: de eerste versleuteling wordt uitgevoerd door de zorgaanbieder die de gegevens aanlevert en de tweede versleuteling door een externe, onafhankelijke organisatie, ZorgTTP (Zorg Trusted Third Party) genaamd. De pseudonimisering is zo ingericht dat deze onomkeerbaar is en daarmee dus niet meer herleidbaar tot individueel identificeerbare personen.

Het CBP heeft in een brief van 10 januari 2006 op het voornoemde adviesverzoek gereageerd. Het CBP bevestigde – zoals ook in de uitzending van Zembla werd aangehaald – dat het DIS «een van de meest risicovolle verwerkingen in Nederland» is en dat «dit maakt dat bij de verdere uitwerking van de pseudonimisering van het DIS de hoogst denkbare maatstaven dienen te worden gehanteerd». Het CBP gaf toen aan dat de destijds aan het CBP voorgelegde aanpak bij het DIS «een correcte toepassing van de pseudonomiseringsoplossing» beschrijft.

Het CBP heeft daarnaast ook als eis gesteld dat de gepseudonimiseerde gegevens niet indirect identificerend mogen zijn. Gegevens zijn volgens het CBP (direct of indirect) identificerend als die gegevens «redelijkerwijs, zonder onevenredige inspanning» kunnen worden gebruikt om de identiteit van een persoon vast te stellen.

Het DIS heeft aan deze eisen van het CBP invulling gegeven door diverse technische en organisatorische maatregelen te nemen, te weten:

  • – De bestanden met medische gegevens en de bestanden met overige gegevens worden in het DIS gescheiden opgeslagen.

  • – Het gebruik van DIS-gegevens door DIS-medewerkers en de uitlevering van DIS-gegevens aan derden is geprotocolleerd en aldus gebonden aan strenge regels.

  • – Elk gebruik van DIS-bestanden wordt gelogd, zodat altijd kan worden nagegaan wie DIS-gegevens voor welk doel heeft gebruikt.

  • – Uitleveringen van DIS-gegevens aan derden worden gecontroleerd en geaudit door een externe auditor.

  • – Het beheer van DIS-gegevens vindt plaats in een strikt beveiligde omgeving die jaarlijks door een onafhankelijke auditor wordt getoetst. Bij deze audit worden alle internationale standaarden betrokken die gelden voor de beveiliging van dergelijke gegevens. De auditor heeft op basis hiervan de afgelopen jaren steeds een positief oordeel gegeven.

  • – Daarnaast wordt in een andere periodieke, externe audit de kwaliteit van de pseudonimisering beoordeeld in het licht van voortschrijdende technologische ontwikkelingen. Ook op basis van de huidige technologische stand van zaken is de onafhankelijke auditor van mening dat DIS voldoet aan de voorwaarden die het CBP heeft gesteld.

Vraag 16

Schrikt u ervan dat het CBS in staat is de identiteit van de persoon achter de gepseudonimiseerde gegevens van het DIS te achterhalen?

Antwoord 16

Het Centraal Bureau voor de Statistiek (CBS) is de enige ontvanger van DIS-gegevens die op wettelijke grondslag koppelingen mag leggen tussen DIS-gegevens en andere gegevensbestanden. Alleen op deze manier kan het CBS statistieken maken over de relatie tussen enerzijds het zorggebruik en anderzijds bevolkingskenmerken, zoals inkomenspositie of woonsituatie. Het CBS heeft daarvoor in 2006 expliciet akkoord gekregen van het CBP. Het CBP heeft dat gedaan met de wetenschap dat daarmee aan het CBS als enige afnemer de sleutel wordt verstrekt «waarmee de (aan CBS verstrekte) pseudo-identiteiten alsnog kunnen worden geïdentificeerd.»8 Het CBP deed dit in verband met de wettelijke positie van het CBS. Het aanvullende privacyrisico achtte het CBP gering omdat het CBS reeds het wettelijk recht heeft persoonsgegevens op te vragen en de wet het CBS verbiedt deze verder te verspreiden en openbaar te maken op individueel niveau. De juridische kaders waarbinnen het CBS met privacygevoelige informatie om mag gaan zijn geregeld in de CBS-wet9 en de Wbp.

Gedurende het hele proces waarmee DIS-gegevens aan andere gegevens worden gekoppeld blijven identificerende persoonsgegevens (BSN en geboortedatum) versleuteld. CBS-medewerkers die statistische werkzaamheden uitvoeren hebben daarom géén toegang tot de identificerende persoonsgegevens in relatie tot DIS-bestanden.

Vraag 17

Wat vindt u ervan dat het DBC-DOT-systeem, dat afgeleid is van betalen per verrichting, eerst de zorgkosten opjaagt, daarna de financiering van ziekenhuizen zo ingewikkeld maakt dat accountants geen goedkeurende verklaring willen afgeven over de jaarrekeningen en nu de privacy van patiënten in gevaar brengt? Maakt dit dat u het faillissement van de betaling per verrichting en het DBC-DOT-systeem erkent? Zo ja, wat betekent dat? Zo nee, waarom niet?

Antwoord 17

Gelet op de context van uw vraag, beperk ik mij in de beantwoording tot uw opmerking dat het DBC-systeem de privacy van patiënten in gevaar zou brengen en dat dit het faillissement van het DBC-systeem zou betekenen. Het CBP en de rechter hebben bepaald dat het huidige DBC-systeem, inclusief de daarbij behorende regelgeving, géén onevenredige inbreuk doet op de privacy van patiënten. In het najaar van 2005 is het CBP akkoord gegaan met het gebruik van de huidige diagnose-informatie op DBC-niveau in het declaratieverkeer in de somatische zorg, onder de uitdrukkelijke voorwaarde dat op de middellange termijn het aantal DBC’s zou worden teruggedrongen door indikking of vergroving (dit is met de DOT-operatie gebeurd). Daarnaast is de privacy van patiënten binnen het DIS en bij het CBS beschermd door de hiervoor genoemde risico-beheersende maatregelen. Het College van Beroep voor het bedrijfsleven heeft in twee uitspraken in relatie tot de ggz geoordeeld dat de vermelding van diagnose-informatie op de declaratie niet onrechtmatig is, mits wordt voldaan aan bepaalde voorwaarden (LJN: BN3056 en BV8297). Met de huidige regelgeving wordt aan die voorwaarden voldaan. Ik ben het dan ook niet eens met uw conclusie.

X Noot
2

Pseudonimisering van persoonsgegevens houdt in dat de identificerende kenmerken van personen op een zodanige manier worden versleuteld en omgezet in een pseudo-identiteit, dat de werkelijke identiteit van de betreffende personen niet meer te achterhalen is.

X Noot
3

Zie ook de memorie van toelichting bij de Wet bescherming persoonsgegevens; Kamerstukken II, 25 892, nr. 3

X Noot
7

Om misverstanden te voorkomen merk ik op dat het DIS geen elektronisch patiëntendossier is. Het DIS bevat wel informatie over de diagnose (gekoppeld aan een pseudoniem), dit is echter niet op het gedetailleerde niveau zoals dat in het medisch dossier is opgenomen.

X Noot
8

Daarbij wordt tussen DIS en het CBS nogmaals versleuteld met als effect dat het onmogelijk is om met behulp van sleutelinformatie bij het CBS de versleuteling van DIS te kraken.

Naar boven