Kan het EPD geprivatiseerd worden?

De verplichte invoering van het elektronisch patiëntendossier (EPD) is in april van dit jaar met algemene stemmen in de Eerste Kamer van tafel geveegd. De Eerste Kamer vond de beveiliging van de gevoelige patiëntengegevens onvoldoende gewaarborgd. Tien jaar voorbereiding en 300 miljoen euro leken daarmee in duigen te vallen. Maar dat valt wellicht nog mee: de scherven van het project kwamen terecht bij de stichting Nictiz, het landelijk expertisecentrum voor de ontwikkeling van ICT in de zorg. Dit instituut ziet graag een doorstart van het EPD op vrijwillige basis, uitgevoerd door een private organisatie.

Het hart van het EPD is het zogenaamde LSP: het Landelijk Schakelpunt, dat medische databases aan elkaar koppelt. Dit LSP functioneert nu al, zij het zonder wettelijke basis. Landelijk zijn er ongeveer vijftig medische databases aangekoppeld. Na het sneuvelen van het “EPD van overheidswege” heeft de minister van VWS aan Nictiz gevraagd uit te zoeken of het LSP zou kunnen worden voortgezet zonder overheidssteun. Er zou dan geen “overkoepelend EPD van overheidswege komen”, maar een private instantie zou het LSP gaan beheren.

Het Nictiz heeft dit onderzocht en kon in ieder geval constateren dat de zorgsector enthousiast is. Het College Bescherming Persoonsgegevens (CBP) is dat echter beduidend minder, zo blijkt uit een op verzoek van Nictiz opgestelde zienswijze die deze week verscheen. Doordat een specifieke wettelijke regeling er dus niet komt, zal men in het voorgestelde private systeem weer terugvallen op bestaande wetgeving: de Wet Bescherming Persoonsgegevens (WBP) en de Wet op de Geneeskundige Behandelingsovereenkomst (WGBO). Met name de WBP is streng. Gezondheidsgegevens behoren tot de categorie “bijzondere persoonsgegevens”. In beginsel is het verboden dergelijke gegevens te verwerken. Slechts in bijzondere gevallen is de verantwoordelijke voor de verwerking van dat verbod ontheven.

Allereerst kan dat wanneer de verantwoordelijke een hulpverlener, instelling of voorziening is voor gezondheidszorg of maatschappelijke dienstverlening (art. 21 WBP). Dat komt hier lastig uit, want Nictiz zou het LSP graag onder verantwoordelijkheid stellen van een op te richten “Vereniging van Zorgaanbieders voor Zorginformatieuitwisseling (VZZ)” Volgens het CBP is dat niet zo’n in artikel 21 bedoelde instelling. Vereist is namelijk dat de organisatie daadwerkelijk (ook zelf) zorg of behandeling verricht. En dat zou zo’n vereniging (of haar personeel) niet doen. De ratio van de wetgever is duidelijk: men wilde uitwisseling echt beperken tot de “handen aan het bed”, waarbij het beroepsgeheim als vangnet kan dienen.

Sprekende over dat beroepsgeheim: artikel 9, lid 4 van de WBP, bepaalt dat verwerking van persoonsgegevens niet mag plaatsvinden als daarmee een geheimhoudingsplicht (beroepsgeheim!) wordt geschonden. Dat beroepsgeheim is niet absoluut; de WGBO begrenst dit (artikel 7:457 BW). Dat artikel houdt onder andere in dat wel informatie mag worden gedeeld met een “rechtstreeks betrokkene” bij de verrichting van de behandeling. Biedt dat dan een oplossing? “Nee”, zegt het CBP: zo’n VZZ is niet een rechtstreeks betrokkene in de zin van deze wet. De wetgever heeft hier gedacht aan verpleegkundigen, medisch secretaressen en anderen met een “afgeleide geheimhoudingsplicht”. Het voorgestelde VZZ zou daar veel te ver vanaf staan.

Blijft als laatste redding voor de VZZ over: artikel 23 WBP. Dit staat verwerking van bijzondere persoonsgegevens o.a. ook toe in geval van uitdrukkelijke toestemming van de betrokkene of een zwaarwegend maatschappelijk belang. In dat laatste geval is echter wel een wet nodig of toestemming van het CBP. Welnu, die wet komt er niet en het CBP heeft zijn bedenkingen…

Alleen de uitdrukkelijke toestemming van de patiënt kan privacytechisch dus uitkomst bieden. Ook het beroepsgeheim geldt niet meer als de patiënt het goed vindt dat mededelingen worden gedaan. Dat wordt dus sjouwen met consent-formulieren (de toestemming moet in voorkomend geval natuurlijk wel bewezen kunnen worden).

Maandag brengt Nictiz verslag uit aan de minister over zijn bevindingen. De privacy aspecten zullen daarbij ongetwijfeld de nodige aandacht krijgen.