27 529 Informatie- en Communicatietechnologie (ICT) in de Zorg

K BRIEF VAN DE MINISTER VOOR MEDISCHE ZORG EN SPORT

Aan de Voorzitter van de Eerste Kamer der Staten-Generaal

Den Haag, 4 oktober 2019

In de derde brief elektronische gegevensuitwisseling in de zorg¹ heb ik toegezegd uw Kamer te informeren over de uitkomsten van het onderzoek door het programma Gespecificeerde Toestemming Structureel (GTS). Het programma GTS heeft gezocht naar een zo gebruiksvriendelijk mogelijke oplossing voor de uitvoering van artikel 15a, lid 2 van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)². Via deze brief informeer ik u hierover.

Samenvatting

Deze brief gaat over gespecificeerde toestemming. Deze gespecificeerde toestemming geldt nadrukkelijk alleen voor die situaties waarin gegevens beschikbaar worden gesteld voor nog onbekend later gebruik. Als een zorginfrastructuur zo werkt is door die infrastructurele keuze gespecificeerde toestemming aan de orde. Terwijl het zorgproces daar helemaal niet om vraagt. In vrijwel alle gevallen gaat het immers om een behandelrelatie waarbinnen gegevens gewoon mogen worden uitgewisseld.

Het programma GTS heeft onderzoek gedaan naar een praktische uitwerking van gespecificeerde toestemming. Uit de eerste praktische uitwerking van de wet werden 160 toestemmingsmogelijkheden door PBLQ als juridisch optimum betiteld. Meerdere partijen, waaronder leden van de Tweede Kamer, plaatsten vraagtekens bij de haalbaarheid van dit hoge aantal toestemmingsmogelijkheden. Het programma GTS heeft daarom een alternatief scenario uitgewerkt met 28 toestemmingsmogelijkheden.

Het Adviescollege toetsing regeldruk (ATR) heeft een oordeel uitgebracht over de werkbaarheid (van de uitwerking van) gespecificeerde toestemming. De ATR concludeert dat gespecificeerde toestemming niet van een werkbare invulling is te voorzien.

Hierdoor is een complexe situatie ontstaan. Ik streef naar gegevensuitwisseling die bij voorkeur de zorg zelf volgt en niet werkt met beschikbaarstelling vooraf. Mijn ideale situatie is echter (nog) niet altijd realistisch, dus bleef invulling geven aan de wens van uw Kamer voor gespecificeerde toestemming steeds het uitgangspunt.

Het advies van de ATR maar ook onderzoek in opdracht van het Zorginstituut³ waaruit veel onrust bij zorgaanbieders blijkt over de toestemmingenregistratie noopt tot herijking. Dit leidt ertoe dat de inwerkingtreding van het artikel 15a, lid 2 van de Wabvpz op 1 juli 2020 niet haalbaar is. In de eerste helft van 2020 doe ik uw Kamer een voorstel voor de herijking van de invoering van gespecificeerde toestemming op basis van in deze brief genoemde adviezen. Ik ga tegelijkertijd verder met het zoeken naar een oplossing voor uitwisseling van informatie via een elektronisch uitwisselingssysteem specifiek voor spoedzorg. Hier kom ik aan het eind van dit jaar op terug.

De huidige situatie

Graag stel ik voorop dat elektronische uitwisseling van gegevens geen achteruitgang mag zijn ten opzichte van de huidige dagelijkse praktijk van gegevensuitwisseling. Ik vind het onwenselijk als voor het elektronisch uitwisselen van gegevens vaker toestemming moet worden gevraagd dan voor gegevensuitwisseling op papier. Ook mag zonder die toestemming geen achteruitgang optreden ten opzichte van de huidige praktijk.

Gegevensuitwisseling wanneer nodig

Ik wil dat er zoveel mogelijk gezocht wordt naar een (infrastructurele) oplossing voor gegevensuitwisseling wanneer nodig. De behandelrelatie volgens de WGBO (Wet op de geneeskundige behandelovereenkomst) vormt de basis. Zorgverleners hebben de plicht tot geheimhouding. Dit komt voort uit het medisch beroepsgeheim in de Wet BIG en de WGBO. Alleen met toestemming van de patiënt mag de zorgverlener zijn beroepsgeheim doorbreken. Deze toestemming kan de patiënt echter pas geven als hij vooraf is ingelicht over het doel, de inhoud en de mogelijke gevolgen van de gegevensuitwisseling.

Toestemming veronderstellen

In sommige gevallen mogen zorgverleners echter toestemming veronderstellen. Bijvoorbeeld wanneer een zorgverlener een patiënt bij een actuele hulpvraag doorverwijst naar een andere zorgverlener, die de behandeling overneemt. Ook een medisch specialist die de huisarts van zijn patiënt wil informeren, mag toestemming daarvoor veronderstellen.

Uitzonderingen WGBO

Daarnaast bevat de WGBO uitzonderingen op het verbod om informatie aan derden te verstrekken. Op grond van de artikelen 7:457 lid 1 en 450 BW kan een zorgverlener zonder toestemming van de patiënt informatie verstrekken aan medebehandelaars en vervangers.

Geplande zorg

In de derde brief elektronische gegevensuitwisseling in de zorg gaf ik aan dat we infrastructuren kunnen kiezen die de gegevensuitwisseling zoveel mogelijk beperken tot de bij de behandeling betrokken zorgverleners. Ik hecht hier veel waarde aan. Medische gegevens zijn immers bijzonder gevoelige gegevens. Daarom staan gegevensbescherming en «privacy by design» voor mij voorop. Dit sluit bovendien aan bij de door uw Kamer aangenomen motie Van den Berg/Raemakers⁴. Deze motie stelt dat de meeste zorg geplande zorg is. Bij geplande zorg kunnen zorgverleners bewust kiezen welke gegevens ze moeten delen.

Wel toestemming nodig

Er zijn ook situaties in de zorgpraktijk waarin toestemming wel nodig is, voor welke infrastructuur we ook kiezen. Denk aan een arts die oud beeldmateriaal wil opvragen bij een vorige arts om de situatie toen te vergelijken met nu. Dan moet de patiënt toestemming geven om het oude beeldmateriaal te delen met de huidige arts.

Spoedzorg

Toestemming is ook nodig voor het van tevoren raadpleegbaar maken van basisgegevens. Dan gaat het om ongeplande zorg, als iemand ooit spoedzorg nodig heeft van een nog onbekende zorgverlener. Zoals ik in de derde brief gegevensuitwisseling in de zorg al aangaf, zoek ik nog naar een specifieke oplossing voor uitwisseling van informatie bij spoedzorg. Deze zoektocht sluit aan bij Europese afspraken over gegevensuitwisseling, bedoeld voor inwoners van de Europese Unie die in een andere lidstaat ongeplande zorg nodig hebben. Zoals ik in de brief over zorginformatiedeling in internationale context⁵ heb gemeld, doen op dit moment vijf ziekenhuizen mee aan een project om patiëntgegevens uit een ander EU-land digitaal op te halen. Zodat bij spoedzorg de diagnose en behandeling veiliger, persoonsgerichter en efficiënter zijn. De vijf ziekenhuizen zijn Saxenburgh Groep, Erasmus MC, Maastricht UMC+, ZorgSaam en Spaarne Gasthuis. Met dit project sluit Nederland aan op de eHealth Digital Service Infrastructure (eHDSI).

Gespecificeerde toestemming

Wat de huidige situatie complex maakt, is dat sommige zorginfrastructuren niet pas informatie uitwisselen als er een behandelrelatie is, maar gegevens opvraagbaar maken voor nog onbekend later gebruik. Op deze infrastructuren is gespecificeerde toestemming van toepassing. Een beschrijving van de totstandkoming van gespecificeerde toestemming⁶ vindt u in de bijlagen.

De belangrijkste punten op een rij

• Gespecificeerde toestemming geldt nadrukkelijk alleen voor die situaties waarin gegevens beschikbaar worden gesteld voor nog onbekend later gebruik.

• Soms zijn dit situaties die voortkomen uit het zorgproces zelf, denk aan spoedzorg. In dat geval gaat het om het beschikbaar stellen van een set minimale gegevens voorafgaand aan een nog onbekende acute zorgbehoefte.

• Veel vaker zijn dit situaties waarin de zorginfrastructuur werkt met beschikbaarstelling vooraf. Dan is door die infrastructurele keuze gespecificeerde toestemming aan de orde. Terwijl het zorgproces daar helemaal niet om vraagt. In vrijwel alle gevallen gaat het immers om een behandelrelatie waarbinnen gegevens gewoon mogen worden uitgewisseld.

Voorbeeld beelduitwisseling

Beelduitwisseling is een goed voorbeeld. Bij verwijzing van het ene ziekenhuis naar een ander ziekenhuis mag een arts beeldmateriaal meesturen (binnen de behandelrelatie!). Nu gebeurt dit vaak omslachtig op dvd. Juist die dvd willen we de zorg uit hebben en vervangen door elektronische uitwisseling. En dan blijkt de gebruikte infrastructuur daar een stokje voor te steken. Omdat het een infrastructuur is die werkt met beschikbaarstelling vooraf. Dan moeten patiënten om in dit ene geval de dvd te vervangen door elektronische uitwisseling, toestemming geven voor alle beelduitwisseling tussen alle ziekenhuizen. Dat is een onwenselijke situatie en bovendien staat de AVG het niet toe.

Voorlopig is gespecificeerde toestemming nog wel nodig

Teruggrijpend op het voorbeeld van beelduitwisseling hierboven vind ik dat er andere infrastructurele keuzes moeten worden gemaakt. Namelijk voor systemen die niet werken met beschikbaarstelling vooraf, maar met het uitwisselen in de behandelrelatie zelf. Deze wat mij betreft ideale situatie – zoveel mogelijk werken met uitwisseling binnen de behandelrelatie en niet met beschikbaarstelling vooraf – is echter nog niet bereikt. Veel infrastructuren in de zorg – bijvoorbeeld de regionale netwerken voor beelduitwisseling – werken nu met het vooraf opvraagbaar maken van gegevens.

Onderzoeken programma GTS

Zoals ik in eerdere rapportages al heb gemeld, heb ik een subsidie beschikbaar gesteld aan zorgpartijen verenigd in de stuurgroep GTS. Met als doel dat zij met experts en partijen in de zorg onderzoeken of – en zo ja hoe – gespecificeerde toestemming werkbaar en uitvoerbaar gemaakt kan worden voor burgers en zorgaanbieders.

160 toestemmingsmogelijkheden

Het eerste onderzoek van het programma GTS – gevalideerd door PBLQ – leverde 160 toestemmingsmogelijkheden op, als juridisch optimum om invulling te geven aan het wetsartikel. In de eerste en tweede voortgangsrapportage Wet cliëntenrechten bij elektronische verwerking van gegevens⁷, die ik uw Kamer in december 2017 en december 2018 stuurde, ging ik hierop in. Meerdere partijen, waaronder zowel de stuurgroep GTS, leden van uw Kamer⁸ als ikzelf, plaatsten vraagtekens bij de uitvoerbaarheid van het hoge aantal toestemmingsmogelijkheden.

Algemeen overleg gegevensuitwisseling in de zorg

In het algemeen overleg gegevensuitwisseling in de zorg/gegevensbescherming op 30 januari dit jaar heb ik met uw Kamer van gedachten gewisseld over GTS. Samen concludeerden we dat de uitwerking van het wetsartikel weliswaar juridisch en technisch passend was, maar eenvoudiger moest om de bedoeling van het wetsartikel te halen: de cliënt de regie geven over de eigen gegevens.

Motie Van den Berg/Raemakers

Naar aanleiding van dit overleg heeft uw Kamer op 5 maart van dit jaar de motie Van den Berg/Raemakers aangenomen. De motie vraagt mij bij de inrichting van GTS recht te doen aan vier overwegingen:

• Richt de gespecificeerde toestemming zo in dat de patiënt op een eenvoudige en eenduidige manier toestemming kan geven voor het overdragen van de eigen cliëntgegevens.

• De patiënt heeft er belang bij dat in een acute situatie zijn essentiële gegevens snel toegankelijk zijn. Denk aan ziektes waaraan een patiënt lijdt, medicijngebruik, recente labuitslagen en allergieën.

• De meeste zorg is geplande zorg en daarbij kan bewust gekozen worden welke gegevens gedeeld moeten worden met een andere zorgverlener.

• In noodsituaties mogen artsen al patiëntgegevens delen zonder toestemming van de patiënt.

Voorstel voor vereenvoudiging

In januari 2019 informeerde de stuurgroep GTS mij dat ze het volgende gingen uitwerken:

• Een beproefde methode om gespecificeerde toestemmingsmogelijkheden te bepalen.

• De eerste gespecificeerde toestemmingsmogelijkheden voor huisartsen, apotheken en ziekenhuizen die aansluiten bij de definitie van gespecificeerde toestemming in het wetsartikel en die in lijn zijn met digitale gegevensuitwisseling en beproefd door een representatief patiëntenpanel.

• Een beredeneerd overzicht van alle verwachte toestemmingsmogelijkheden, waaronder voor het medisch-specialistisch-dossier.

• Implementatieadviezen voor adoptie door patiënten.

Het resultaat is het advies «Scenario wetsartikel Gespecificeerde Toestemming, een praktisch optimum van toestemmingsmogelijkheden en adviezen voor de ontwikkeling en het gebruik van een online toestemmingsvoorziening»⁹ dat het programma mij onlangs aanbood. U vindt het advies¹⁰ in de bijlagen.

Het scenario

Het scenario bevat:

• 1. Een model met 28 toestemmingsmogelijkheden voor het beschikbaar stellen van gegevens vanuit huisartsenpraktijken, apotheken, ziekenhuizen, GGZ-instellingen, medische onderzoekscentra, wijkverpleging en tandartspraktijken aan andere behandelaars. Dat ziet er zo uit:

  

• 2. Een beschrijving van een test met een representatief patiëntenpanel. Hieruit kwam naar voren dat het aantal toestemmingsmogelijkheden voor patiënten een praktisch optimum is. Het zijn voldoende mogelijkheden om keuzes te maken die recht doen aan persoonlijke privacyvoorkeuren. Tegelijkertijd zijn het niet te veel mogelijkheden. Het risico dat de patiënt het overzicht kwijtraakt daardoor geen keuzes maakt is dus klein.

• 3. Randvoorwaarden om het toenemen van regeldruk bij zorgaanbieders en overmatige ICT-inspanningen te voorkomen:

  • Zorg voor een unieke digitale identificatie van zorgverleners.

  • Regel de wettelijke grondslag voor het gebruik van het BSN voor een online toestemmingsvoorziening.

• 4. Implementatieadviezen voor zowel gebruik door de patiënt als het werkbaar en uitvoerbaar houden van gespecificeerde toestemming.

• 5. Adviezen voor het beheer van het dynamisch toestemmingsmodel.

  • a. Zorg voor openbare publieksinformatie over elektronische uitwisseling.

  • b. Organiseer betrokkenheid van burgers bij de (door)ontwikkeling van een online toestemmingsvoorziening.

  • c. Vergroot adoptie en gebruik door het beheren van toestemmingen te relateren aan de zorgvraag.

  • d. Vergroot digitale inclusie van burgers via zorgverleners.

  • e. Voer een standaard in voor controle op elektronische uitwisseling via logging.

Advies Adviescollege toetsing regeldruk (ATR)

Het ATR heeft daarna een advies gegeven over het scenario voor gespecificeerde toestemming. U vindt het advies¹¹ in de bijlagen. De centrale vraag in het advies is of gespecificeerde toestemming voor elektronische gegevensuitwisseling in de zorg werkbaar is. Bij de behandeling van de voortgangsrapportage van het programma GTS heb ik eerder al aangegeven belang te hechten aan het oordeel van het ATR over de werkbaarheid van (de uitwerking van) gespecificeerde toestemming.

Twee belangen

Het ATR constateert dat bij de uitwisseling van (medische) gegevens in de zorg en het werken met een toestemming van de patiënt twee belangen een rol spelen:

• 1. de kwaliteit van zorg;

• 2. de privacy en mogelijkheid van de patiënt om regie te kunnen voeren over de omgang met zijn gegevens.

Risico’s voor de kwaliteit van zorg

Het ATR komt op basis van de rapporten en gesprekken met partijen uit de zorg tot de conclusie dat de introductie van gespecificeerde toestemming voor gegevensuitwisseling in de zorg risico’s voor de kwaliteit van de zorg met zich meebrengt. Kwaliteit van zorg is gediend met een goede, tijdige en zorgvuldige uitwisseling van (medische) gegevens en het ontbreken van onnodige belemmeringen. Als patiënten – bewust of onbewust – geen toestemming verlenen kunnen (medische) gegevens niet uitgewisseld worden. In het meest extreme geval kan dit leiden tot onnodig overlijden. Andere mogelijke gevolgen zijn klachten, verzekeringsclaims en tuchtrechtelijke procedures, aldus het ATR.

Aanzienlijke regeldruk

De strikte interpretatie van de regierol leidt volgens het ATR tot een aanzienlijke regeldruk voor patiënten, instellingen en professionals.

Werkbare invulling niet mogelijk

Bovendien vindt het ATR dat het laatste scenario van het programma GTS geen recht meer doet aan gespecificeerde toestemming zoals in de wet is opgenomen. De 160 toestemmingsmogelijkheden zijn teruggebracht tot 28. De mogelijkheden zijn nu minder concreet en dat maakt het voor de patiënt moeilijker om een (goede) keuze te maken. Hierdoor ontstaat een nieuwe risico. Namelijk dat in procedures bij incidenten – denk aan fouten in de behandeling of onnodig overlijden – blijkt dat het toestemmingenregister juridisch niet houdbaar is, omdat (te veel) is wegbewogen van de specificatie-eis in de wet. Dit maakt een herinrichting en hernieuwde invulling van het register noodzakelijk en dat vergt van alle partijen veel tijd en geld (en regeldruk). Het ATR concludeert dat een werkbare invulling van gespecificeerde toestemming, zoals opgenomen in de wet, niet mogelijk is.

Advies ATR

Het ATR adviseert:

• 1. een heroverweging van de wet om risico’s voor de kwaliteit van de zorg en ongewenste regeldruk te voorkomen;

• 2. een duidelijke keuze te maken tussen het belang van goede zorg en die van de regie van de patiënt over de gegevensuitwisseling;

• 3. in de wet te opteren voor een stelsel dat voor gegevensuitwisseling voor goede zorg uitgaat van vertrouwen in de (zorg)instelling en professional en waarin de uitoefening van de regierol via het inzagerecht loopt.

De ATR concludeert in het advies dat gespecificeerde toestemming, zoals opgenomen in de Wabvpz, niet van een werkbare invulling is te voorzien.

Beleidsreactie en vervolgstappen: herbezinning

Complexe situatie

Er is een complexe situatie ontstaan:

• Bij de totstandkoming van de Wabvpz werd uitgegaan van beschikbaarstelling van gegevens vooraf en dus de noodzaak tot gespecificeerde toestemming.

• Ik streef naar gegevensuitwisseling die bij voorkeur de zorg zelf volgt en niet werkt met beschikbaarstelling vooraf.

• Mijn ideale situatie is echter (nog) niet altijd realistisch, dus bleef invulling geven aan de wens van uw Kamer voor gespecificeerde toestemming steeds het uitgangspunt.

• Nu blijkt gespecificeerde toestemming lastiger dan gedacht.

• Bovendien leiden de onduidelijkheid en onzekerheid, zo blijkt uit onderzoek in opdracht van het Zorginstituut¹², tot veel onrust bij zorgaanbieders over de toestemmingenregistratie. U vindt het onderzoek¹³ in de bijlagen.

• Ik wil daarom ook nog steeds dat er voor elektronische uitwisselingssystemen één set van regels voor toestemming komt.

• Ik neem het advies van het ATR mee om te gaan naar een stelsel van vertrouwen in de (zorg)instelling en professional. Een stelsel waarin de patiënt via het inzagerecht de uitwisseling kan controleren en de regierol kan pakken.

• Dit alles leidt ertoe dat de inwerkingtreding van het artikel 15a, lid 2 van de Wabvpz op 1 juli 2020 niet haalbaar is.

Logging

Ik bezin mij momenteel op een zinvolle stap vooruit. Ik neem het advies van het ATR mee dat de patiënt in alle gevallen de mogelijkheid moet hebben om in te zien welke zorgverlener gegevens heeft verzonden en ingezien. Dit recht heeft de patiënt ook op grond van de AVG. «Logging» is daarvoor een goed instrument. Logging is het bijhouden wie welke data in een IT-systeem heeft verwerkt, verzameld, geraadpleegd, gewijzigd, gewist of verzonden. Op 10 juli van dit jaar heb ik alvast een bewaartermijn voor logging¹⁴ vastgesteld en in de Staatscourant gepubliceerd.

Stelsel van vertrouwen

Ook neem ik het advies van het ATR mee om te gaan naar een stelsel van vertrouwen in de (zorg)instelling en professional. Een stelsel waarin de patiënt via het inzagerecht de uitwisseling kan controleren en zo de regierol kan pakken.

Spoedzorg

Eerder in deze brief beschreef ik dat beschikbaarstelling van gegevens vooraf wel een logische infrastructurele keuze lijkt voor spoedzorg. De motie Van den Berg/Raemakers vraagt mij bij de inrichting van gespecificeerde toestemming hieraan recht te doen. Ik ga verder met het zoeken naar een oplossing voor uitwisseling van informatie via een elektronisch uitwisselingssysteem specifiek voor spoedzorg. Hier kom ik aan het eind van dit jaar op terug.

Inwerkingtreding artikel 15a, lid 2 niet haalbaar

Dit alles leidt ertoe dat de inwerkingtreding van het artikel 15a, lid 2 van de Wabvpz op 1 juli 2020 niet haalbaar is. In de eerste helft van 2020 doe ik uw Kamer een voorstel voor de herijking van de invoering van gespecificeerde toestemming op basis van de in deze brief genoemde adviezen. Daarbij besteed ik ook aandacht aan de implementatie in de zorgpraktijk en de wetgeving die nodig is voor een eventuele toestemmingsvoorziening die werkt op basis van het BSN.

De Minister voor Medische Zorg en Sport, B.J. Bruins

---

1 Kamerstukken II, 2018/2019 27 529, nr. 189

2 Staatsblad 2016, 373

3 https://www.zorginstituutnederland.nl/publicaties/rapport/2019/08/01/zorg-met-vertrouwen

4 Kamerstukken II 2018/2019, 27 529, nr. 172

5 Kamerstukken II 2018/2019, 27 529, nr. 160

6 Ter inzage gelegd op de afdeling Inhoudelijke ondersteuning onder griffie nr. 165680.

7 Kamerstukken II 2017/2018, 27 529 nr. 152 en Kamerstukken II 2018/2019, 27 529 nr. 167

8 Technische briefings hebben plaatsgevonden in juni 2018 (Eerste Kamer) en december 2018 (Tweede Kamer)

9 Het ontwikkelen van een toestemmingsvoorziening viel niet onder de subsidie.

10 Ter inzage gelegd op de afdeling Inhoudelijke ondersteuning onder griffie nr. 165680.

11 Ter inzage gelegd op de afdeling Inhoudelijke ondersteuning onder griffie nr. 165680.

12 https://www.zorginstituutnederland.nl/publicaties/rapport/2019/08/01/zorg-met-vertrouwen

13 Ter inzage gelegd op de afdeling Inhoudelijke ondersteuning onder griffie nr. 165680.

14 Staatscourant 2019, 38007: Logging wordt tenminste 5 jaar bewaard vanaf het moment dat de logregel wordt geschreven.