Er is iets aan de hand met de miljoenen toestemmingen die in de afgelopen jaren zijn gegeven voor deelname aan het private EPD, het Landelijk Schakelpunt. Burgers ontdekken dat hun medische gegevens in het systeem staan en door verschillende partijen zijn geraadpleegd, zonder dat ze daar ooit toestemming voor gaven. De enige manier om zeker te weten dat je dossier niet via het systeem beschikbaar wordt gesteld, is door dit zelf na te vragen.
Een deel van de patiënten wier medische gegevens beschikbaar zijn gesteld in het LSP, heeft daarvoor nooit toestemming verleend. Het feit dat je nooit een toestemmingsformulier hebt ondertekend, blijkt geen garantie dat je medische gegevens niet worden gedeeld via het systeem. Dat ondervond gepensioneerd huisarts Wim Jongejan, die een stuk aan zijn ervaring wijdde op ZorgICTzorgen.nl:
“Begin 2015 had ik het al een keer gecontroleerd op de website van de Vereniging van Zorgaanbieders Voor Zorgcommunicatie, die verantwoordelijk is voor het LSP. Toen leverde die zoekactie niets op. Nu wel want van mijn echtgenote en ik bleken medicatiegegevens meerdere keren opgevraagd te zijn. Navraag bij mijn apotheek leerde mij dat men eind 2015 een mondelinge opt-in-toestemming heeft vastgelegd voor mij en mijn echtgenote terwijl wij beiden uitgesproken tegenstanders zijn. Ook de ziekenhuisapotheek had dit ten onrechte gedaan.”
Ook huisarts Chantal de Vos-van het Zandt, bestuurslid van VPHuisartsen dat al sinds 2014 een rechtszaak voert tegen de private uitrol van het LSP, kwam op deze wijze tot dezelfde ontdekking:
Geschokt melding gedaan bij AutoriteitPersoonsgegevens: ik sta in het LSP bij @infoVZVZ zonder mijn Toestemming! @VPHuisartsen @privacyfirst
— de Vos-van het Zandt (@vanhetzandt) March 22, 2017
En eind maart verscheen een ingezonden brief in Medisch Contact waar een waarnemend huisarts dezelfde ervaring beschrijft. Ook naar aanleiding van een onderzoek van Tros Radar over de beperkte kennis van burgers omtrent het LSP, verschijnen reacties van personen die zeggen geen toestemming te hebben gegeven, maar wel in het systeem staan.
Geen verificatieplicht voor opt-in toestemmingen
Er zijn verschillende manieren om als ongewenst LSP-deelnemer uit het systeem te raken. Dit kan bij de zorgverlener die verantwoordelijk is voor het (onterecht) aanmelden van de patiënt. Ook biedt VZVZ de mogelijkheid om alle toestemmingen in één keer in te trekken. Daarvoor is er een online formulier dat met DigiD kan worden ondertekend, of kan worden uitgeprint en voorzien van een aantal documenten kan worden verstuurd naar VZVZ per mail of post.
Echter, geen van deze handelingen biedt een garantie dat je definitief uit het systeem bent verwijderd. Jongejan beschrijft zijn eigen ervaring met uitschrijving als volgt: “Wanneer je bij VZVZ meldt dat je je wilt afmelden, krijg je als antwoord dat ze je verzoek aan de zorgaanbieders zullen doorgeven. Met andere woorden, het verwijderen van je gegevens is niet de taak van VZVZ, maar van de zorgverleners die je gegevens in het LSP hebben gezet. Dat is de enige bevestiging die je krijgt. Bevestiging van de betreffende zorgaanbieders krijg je niet, terwijl zij verantwoordelijk zijn voor het verwijderen of juist aanmelden van gegevens. Vijf tellen nadat ik heb gezegd dat ik eruit wil, kan ik weer opnieuw aangemeld zijn zonder dat ik op de hoogte ben gesteld.”
Het wordt daarmee haast een actieve plicht van de ongewenste LSP-deelnemer om periodiek te checken of hij/zij niet in het LSP staat. Is er volgens Jongejan een manier om dit probleem op te lossen? “VZVZ zou een verificatieplicht moeten hebben om te checken dat er daadwerkelijk toestemming is verleend voor het LSP.” Op dit moment is het echter nog mogelijk om op basis van een mondelinge toestemming deel te nemen aan het LSP. Wanneer er dan sprake is van een onterechte opname in het LSP, is het het ‘nee’ van de patiënt versus het ‘ja’ van de zorgverlener.
Volgens toezichthouder ‘voldoende maatregelen genomen’
Het fenomeen van oncontroleerbare toestemmingen is niet uitzonderlijk en evenmin nieuw. Eenzelfde ontdekking deed privacytoezichthouder Autoriteit Persoonsgegevens in 2014, bij een steekproef die ze hield onder 149 geregistreerde Burgerservicenummers in het LSP. Daarvan kon er bij 8 registraties niet worden aangetoond dat er geïnformeerd toestemming was verleend door de patiënt.
Volgens de toezichthouder had VZVZ naar aanleiding van het onderzoek echter voldoende maatregelen genomen om dit in de toekomst te voorkomen; middels informatiebrieven en haar eigen website werden zorgverleners geïnstrueerd over het vragen van toestemming. Ook werden er voorlichtingsbrochures en toestemmingsformulieren beschikbaar gesteld aan zorgverleners.
Jongejan schrijft over de voorlichting van VZVZ: “Ze beschouwen voorlichting over de opt-in-toestemming vanuit VZVZ als voldoende en stellen dat hoe men het op de werkvloer uitvoert hen niet verweten kan worden. Maar het systeem dat VZVZ beheert, faciliteert wel de mogelijkheid om onterechte mondelinge opt-in-toestemmingen in het systeem te krijgen en heeft daar ook belang bij.” VZVZ heeft er in haar businessplannen nooit een geheim van gemaakt naar een landelijk dekkend systeem te willen toewerken, waarop alle zorgverleners en patiënten in Nederland op termijn zullen zijn aangemeld.
Het belang van het binnenhalen van zoveel mogelijk toestemmingen komt eveneens naar voren in de streefcijfers die gelden voor op het LSP aangesloten zorgverleners. Zo is er een jaarlijkse vergoeding van 25 cent per aangemelde patiënt voor de arbeidstijd en de kosten die huisartsen en apothekers maken voor de software die hen op het LSP aansluit. Daaraan is echter wel de voorwaarde verbonden dat minimaal 25% van de patiënten moet zijn aangemeld voor het LSP; kom je daar niet aan, dan kost dat je geld als zorgverlener.
Overigens lag het vereiste percentage om voor deze vergoeding in aanmerking te komen in de periode 2013-2016 nog op 50%, wat te denken geeft over de haalbaarheid van deze streefcijfers. Op de actuele regiokaart valt te zien dat op dit moment in slechts 10 van de 44 regio’s huisartsen het streefpercentage halen van 50%, wat tot 2016 de norm was.
Staat u zelf in het LSP zonder het te weten?
Daar komt u eenvoudig achter. Check op de site van VZVZ of u staat geregistreerd, en wie uw gegevens heeft geraadpleegd. Dit doet u door uw inzage-overzicht te raadplegen met uw DigiD. Beschikt u niet over een DigiD of wenst u niet digitaal inzage te plegen, dan kunt u dit formulier op de site van VZVZ uitprinten en voorzien van documenten die op deze pagina staan vermeld, per post naar VZVZ opsturen.
Om u af te melden kunt u deze pagina op de site van VZVZ bezoeken. Het formulier kunt u digitaal ondertekenen met uw DigiD, of uitprinten en voorzien van een aantal kopieën van andere documenten per mail of post versturen aan VZVZ.
Bent u van mening dat u ten onrechte bent aangemeld bij het LSP, dan kunt u daarover een melding indienen bij de Autoriteit Persoonsgegevens. Op de site van de AP is daarvoor een formulier.
Als u relevante ervaringen of opmerkingen hebt, meld het ook bij ons. Wij proberen in kaart te brengen hoe vaak dit probleem voorkomt. U kunt mailen naar info@specifieketoestemming.nl.
