Eind vorige week heeft de Hoge Raad uitspraak gedaan in de rechtszaak die VPHuisartsen voerde tegen de uitrol van de private opvolger van het Elektronisch Patiëntendossier: het Landelijk Schakelpunt (LSP). Ondanks de lichtpuntjes over de technische verbeteringen die LSP-beheerder VZVZ moet doorvoeren, krijgt het LSP helaas wederom ruim baan. Het blijft daarom noodzakelijk om het LSP en de implementatie van de nieuwe EPD-wet kritisch te blijven volgen.
Dit artikel verscheen eerder op www.specifieketoestemming.nl
Het arrest valt op het eerste gezicht tegen. Het volgt grotendeels het eerdere arrest van het Gerechtshof Arnhem uit maart 2016, dat stelde dat de wijze van toestemming geven in het LSP voldeed aan de wetgeving rondom privacy en het medisch beroepsgeheim. Dit vinden wij teleurstellend. Het oordeel uit 2016 was sterk gebaseerd op de goedkeuring die de Autoriteit Persoonsgegevens in 2011 gaf aan het Doorstartmodel van het LSP. De AP stelde toen, volgens Specifieke Toestemming ten onrechte, dat het geven van een eenmalige toestemming voor het breed ontsluiten van gegevens rechtmatig was. Wij vinden zo’n eenmalige generieke toestemming nog steeds zeer problematisch, wat wij ook uitgebreid hebben aangegeven bij de behandeling van de nieuwe EPD-wet.
Tegelijkertijd bevat het arrest hoopvolle punten als het gaat om verbetering van het LSP. De Hoge Raad stelt duidelijk dat de patiënt meer keuzemogelijkheden zou moeten krijgen voor het afschermen van medische gegevens dan wat de Hoge Raad “iedereen-of-niemand toestemming” noemt (Specifieke Toestemming hanteert de term “generieke toestemming”). Dit heeft echter geen gevolgen voor de huidige werking van het LSP, waarin dat nog niet mogelijk is. Kennelijk denkt de Hoge Raad dat het te ver gaat om nu te eisen dat de toegang tot gegevens wordt beperkt tot enkel het noodzakelijke. Echter, zodra dat technisch mogelijk is, dienen deze verbeteringen er volgens het arrest wel te komen, zodat er bijvoorbeeld gekozen kan worden om alleen toestemming te geven voor spoedeisende gevallen.
In onze ogen wringt dit. We vinden het lastig om de overweging te volgen dat wanneer een systeem enkel de optie geeft om meer medische gegevens te delen dan het minimaal noodzakelijke, dit niet in strijd is met de wetgeving rondom privacy (Wbp) en het beroepsgeheim (Wgbo). We hadden liever gezien dat het LSP een halt werd toegeroepen, of anders dat de toegang en toestemming in dit systeem (zoals ook één van de eisen van VPHuisartsen luidde) tot het minimum beperkt zou worden, zodat het nú al aan de wet voldoet. Door de toestemmingsformulieren aan te passen zou immers worden voorkomen dat mensen op dit moment al, tot het moment dat meer fijnmazige toestemming mogelijk is, gedwongen worden tot het geven van een – ook in de interpretatie van de Hoge Raad – te brede toestemming.
Heel veel vrijheid voor VZVZ
VZVZ zal als beheerder van het LSP nieuwe mogelijkheden moeten inbouwen om ervoor te zorgen dat enkel die gegevens toegankelijk worden die daadwerkelijk noodzakelijk zijn. Daarmee krijgt ze in onze ogen erg veel vrijheid. De vraag is hoe ze hiermee zal omgaan. VZVZ had hierover immers al toezeggingen gedaan toen deze zaak in maart 2016 door het Gerechtshof werd beoordeeld. Toen zouden er volgens de organisatie eind 2016 toestemmingsprofielen komen waarmee patiënten zelf konden inrichten welke gegevens toegankelijk worden voor welke zorgverleners. Dit is eind 2017 echter nog steeds niet het geval. De Hoge Raad verlengt daarmee in onze ogen nogmaals de tijd die VZVZ krijgt om het LSP te laten voldoen aan de eisen van noodzakelijkheid en proportionaliteit – in de tussentijd is generieke toestemming volgens de Hoge Raad rechtmatig.
Niet duidelijk wordt op welke termijn VZVZ wel wordt geacht om een gerichtere toestemming technisch mogelijk te maken, en evenmin hoe gericht die dan zal moeten zijn. Er wordt daarvoor onder meer verwezen naar de nieuwe EPD-wet die eind 2016 werd aangenomen – waarvan nota bene de implementatie van artikelen over de toestemming waarom het hier gaat, drie jaar is uitgesteld. Tot die tijd zou generieke toestemming worden toegestaan. Het is heel apart dat de Hoge Raad hierin meegaat, omdat de huidige wet generieke toestemming eenvoudigweg niet toelaat. Meer over de nieuwe EPD-wet in dit artikel.
Too big to fail
Het is volgens ons opmerkelijk hoe goed dit arrest aansluit op de plannen die voormalig minister Schippers heeft gemaakt voor de implementatie van de nieuwe EPD-wet. Beide geven ICT en zorgkoepels ruim de tijd om een specifiekere toestemmingsvorm mogelijk te maken, en gedogen in de tussentijd het feit dat patiënten enkel een “alles-of-niets-toestemming” kunnen verlenen. Het verstrekt de indruk van het LSP als een “too big to fail” systeem dat, ook wanneer het nog niet naar behoren werkt, in de lucht moet blijven.
Met de ‘gedoogperiode’ van drie jaar wordt overigens een praktisch probleem in het leven geroepen. Er zijn namelijk al flink wat patiënten die (zonder daar wellicht goed van op de hoogte te zijn) een generieke toestemming hebben verleend om hun medische gegevens via het LSP te delen met partijen die deze gegevens niet nodig hebben. Het lijkt met deze uitspraak aan die patiënten zelf om, wanneer het LSP eindelijk daarvoor is aangepast, hun eigen toestemming alsnog in te perken. En het lijkt ons onwaarschijnlijk dat VZVZ tegen die tijd alle patiënten opnieuw om toestemming gaat vragen – deze keer wel specifiek. Daarmee zullen dus veel onnodig brede toestemmingen gewoon in stand blijven, ook na de gedoogperiode.
Transparantie over plannen ‘gespecificeerde toestemming’ noodzakelijk
Van Schippers’ drie jaar uitstel is inmiddels een jaar voorbij, maar er is nog niets bekend over hoe de partijen betrokken bij de implementatie van de toestemmingsartikelen dit precies voor ogen hebben. Het kritisch volgen van dit vooralsnog besloten overleg is daarmee nog belangrijker geworden. Het is volgens Specifieke Toestemming noodzakelijk dat deze discussie niet enkel tussen VZVZ en ministerie plaatsvindt, maar dat ook publiekelijk verantwoording wordt afgelegd over de keuzes die worden gemaakt en er niet pas plannen bekend worden gemaakt als alles al in kannen en kruiken is.
Overigens is het volgens Specifieke Toestemming geen juiste oplossing om, zoals ook in dit arrest wordt voorgesteld, de patiënt middels toestemmingsprofielen de volledige regie te geven over de toegang tot diens dossier – hoe specifiek die regie ook kan worden gevoerd. Wij vinden dit namelijk een onverantwoorde verschuiving van de verantwoordelijkheid en ook van de aansprakelijkheid in sommige gevallen. We schreven daar mei 2016 al uitgebreid over.
Overige problematische aspecten die niet aan bod kwamen in dit arrest
Er wordt in deze zaak niet of onvoldoende ingegaan op wezenlijke technologische beveiligingsaspecten die het LSP een risico maken, zoals het ontbreken van ‘end-to-end beveiliging’, maar ook het centraal vastleggen van toestemmingen. Dit terwijl ze beide van wezenlijk belang zijn voor de privacy van patiënten die toestemming verlenen voor het LSP. We vinden het onbestaanbaar dat de informatie besproken in een whatsapp-groep op dit moment aan hogere beveiligingsnormen voldoet dan het systeem waarmee zorgverleners in Nederland medische persoonsgegevens moeten uitwisselen. Ook de verificatie van toestemmingen voor het LSP, of beter gezegd het gebrek daaraan, is in deze zaak niet aan bod gekomen. Meer daarover elders op onze website.
Lees ook de amicus curiae brief die voor deze cassatiezaak vanuit Privacy First en het Platform Bescherming Burgerrechten eerder is verzonden aan de Hoge Raad.
