Nuanceringen bij/Reactie op Privacy EPD in handen van arts

Nuanceringen bij/Reactie op Privacy EPD in handen van arts (Heleen Croonen, MC 4
februari 2010)
1. Het artikel “Privacy EPD in handen van arts” bevat een reconstructie van de (nog
lopende) besluitvorming over het landelijke EPD op basis van documenten die via
een WOB-verzoek zijn verkregen bij het College bescherming persoonsgegevens
(CBP). Helaas wordt op sommige punten informatie weergegeven over feiten die
inmiddels door de besluitvorming en de voortschrijdende technische
ontwikkelingen zijn achterhaald.
2. Uiteraard is de privacy van patiënten met betrekking tot patiëntgegevens in lokale
en landelijke EPD’s in handen van de arts. Dat volgt met name uit het medisch
beroepsgeheim, dat overigens ook uitzonderingen kent bijvoorbeeld als patiënten
toestemming geven voor het verstrekken van patiëntgegevens, of als de
verstrekking wettelijk verplicht is.
3. Technische bescherming wordt allereerst geboden doordat de arts een UZI-pas
nodig heeft en geautoriseerd moet zijn voor de toegang tot deze gegevens van
deze patiënt. Zo heeft een arts die geen huisarts is geen toegang tot het onderdeel
Huisartswaarneemgegevens. Patiënten kunnen bovendien bepaalde gegevens
afschermen tegen raadpleging door een ieder of door categorieën of individuele
hulpverleners.
4. Zoals inmiddels blijkt uit de concept wet- en regelgeving voorziet het Landelijk
Schakelpunt (LSP) wel in een technische bescherming vooraf tegen onterechte
inzage. Wanneer een arts zich toegang wil verschaffen tot gegevens van patiënten
via het LSP wordt er bijvoorbeeld gecontroleerd of deze arts gegevens over deze
patiënt zelf heeft aangemeld bij het LSP. Dan kan immers een behandelrelatie
worden aangenomen. Is dat niet het geval, dan moet het lokale informatiesysteem
van de arts controleren of de bewuste patiënt in de patiëntenadministratie
voorkomt. Dat is een GBZ-eis (Goed Beheerd Zorgsysteem) die aan het
informatiesysteem van de arts wordt gesteld voordat die mag aansluiten op het
LSP. Ook dat betekent dat de arts een behandelrelatie heeft. Is dat niet het geval,
dan wordt de door het CBP voorgestelde pop-up optie toegepast. De arts verklaart
in een pop-up venster dat hij een behandelrelatie heeft met deze patiënt en dat de
patiënt toestemming heeft gegeven voor het raadplegen van diens gegevens. De
raadplegingen op basis van dit pop-up venster worden gelogd in een apart
logbestand dat extra streng wordt gecontroleerd.
5. De technische waarborgen die op landelijk niveau nu worden getroffen lijken
overigens een aanmerkelijke verbetering te kunnen opleveren voor de wijze
waarop de lokale toegang tot patiëntengegevens tot nu toe worden beschermd.
6. Toezicht is inderdaad een punt dat onderbelicht is gebleven. Het CBP heeft daar
terecht aandacht voor gevraagd en gepleit voor een gezamenlijk toezicht met de
IGZ. Het CBP vraagt tegelijkertijd om meer financiële en personele middelen.
Het moet natuurlijk niet zo zijn dat er voor iedere afzonderlijke wet een apart
toezichtorgaan moet komen.
7. Het is een misverstand te denken dat een arts geen toestemming moet hebben om
gegevens via het landelijke EPD te mogen raadplegen. Het wetsvoorstel bevat
uitdrukkelijk de eis van toestemming van de patiënt (art. 13f, lid 3). Dan gaat het
dus om toestemming van patiënten die niet eerder al bezwaar hebben gemaakt
tegen de mogelijkheid dat artsen bij wie zij onder behandeling zijn hun gegevens
via het landelijke EPD uitwisselen met andere artsen. De vorm waarin die
toestemming kan worden gegeven is echter vrij, zoals nu ook de toestemming
vormvrij is. Net als in andere gevallen kan een patiënt mondeling of schriftelijk
toestemming daarvoor geven.
8. Uit een juridisch onderzoek (Aansprakelijkheden rond het EPD) blijkt dat de
aansprakelijkheidsrisico’s voor artsen (civielrechtelijk, strafrechtelijk,
tuchtrechtelijk) niet wezenlijk afwijken van de reeds bestaande risico’s. Artsen
blijven verantwoordelijk voor de juistheid van hun informatie in dossiers. Artsen
houden ook altijd een onderzoeksplicht en mogen dus niet uitsluitend afgaan op
de juistheid van de gegevens die via het landelijke EPD worden geraadpleegd.
Een arts is bijvoorbeeld niet civielrechtelijk aansprakelijk als een assistent
onbevoegd diens UZI-pas gebruikt, maar wel als de arts die UZI-pas heeft laten
slingeren.
9. Het is nog niet duidelijk of met de inwerkingtreding van de “EPD-wet” ook
meteen de verplichte aansluiting voor hulpverleners op het LSP in werking zal
treden. Die kan ook later in werking treden. In de Uitgangspuntennotitie
(overeengekomen tussen VWS en veldpartijen) staat dat die verplichting pas zal
gelden als eerst ¾ van de hulpverleners vrijwillig is aangesloten op het LSP.
10. Het is natuurlijk helemaal niet zo gek dat er ook in de EPD regelgeving wordt
voortgebouwd op het vertrouwen dat bestaat tussen patiënt en arts, want als we
daar niet van op aan kunnen dan vallen de wetten en regels niet aan te slepen.