Voor 3-e keer onterecht opt-in-toestemming voor LSP genoteerd. Vrijbit terecht naar AP

Het is een ernstige tekortkoming aan het Landelijk SchakelPunt(LSP), dat het mogelijk is om een onterechte opt-in-toestemming te noteren zonder dat de betrokken daar direct zicht op heeft. Pas door het bekijken van het overzicht op de website van de Vereniging van Zorgaanbieders voor zorgcommunicatie(VZVZ), de verantwoordelijke voor het LSP, krijgt men er zicht op. In maart 2017 berichtte ik al over een tweetal onterechte opt-in-toestemmingen op mijn naam. Bij twee apotheken bleek genoteerd te staan dat ik medicatiegegevens via het LSP zou willen delen. Nu bleek voor de derde keer een opt-in van mij ten onrechte bij een apotheek genoteerd. Getriggerd door deze en soortgelijke meldingen via de website van Medisch Contact  en door de wijze waarop bij VZVZ telkenmale nagegaan moet worden of een onterechte toestemming genoteerd is vraagt de burgerrechtenvereniging Vrijbit de Autoriteit Persoonsgegevens handhavend op te treden. Bij de huidige stand van zaken is het zo dat VZVZ in wezen het noteren van onterechte toestemmingen faciliteert en de burger zelf belast met de controle daarop.

Derde keer

Na een kortdurende opname in een groot ziekenhuis in het centrum des lands ging ik voor ontslag naar ze politheek om de voorgeschreven medicatie af te halen. Aldaar aangekomen met mijn echtgenote werd mij gevraagd of ik bezwaar had om mijn medicatiegegevens inzichtelijk te maken voor andere apotheken, huisartsen en huisartsenposten. Het woord LSP viel daarbij totaal niet, zoals zo vaak helaas gebeurt . Op mijn vraag daaromtrent bevestigde de apothekersassistente dat het om communicatie via het LSP ging. Daarop gaf ik aan GEEN toestemming te geven. Thuis gekomen besloot ik in de avond het één en ander toch eens te checken bij VZVZ in het inzage-overzicht. Witheet zag ik daar dat de apotheek WEL een opt-in-toestemming genoteerd had. De volgende ochtend trof ik dezelfde apothekersassistente aan de telefoon die zich mijn weigering nog herinnerde. Zij vertelde het vinkje verkeerd gezet te hebben in het Apotheek Informatie Systeem(AIS). Gegeneerd zei ze het meteen te veranderen. Dat heb ik dan ook de volgende dag bij VZVZ gecheckt en het klopte.

Enorme manco’s

Aan het noteren van de toestemmingen kleven aantal grote manco’s. De toestemming wordt decentraal vastgelegd bij de zorgaanbieder, VZVZ heeft geen verificatieplicht en ook geen meldingssysteem richting burger gemaakt als een toestemming wordt vastgelegd. Het vereist dus actie van de burger zelf om na apotheek- of huisartsbezoek telkenmale te controleren of onterecht een toestemming is vastgelegd. Het opvragen van het overzicht bij VZVZ kan op drie manieren. De eerste manier is na inloggen met behulp van de DigiD en de tweede is met het invullen van een webformulier waarop persoonsgegevens plus BSN ingevuld moeten worden en dat met DigiD verzonden wordt. De derde is het uitprinten van het webformulier plus het opsturen van een kopie van een identiteitsbewijs. Daarop moetenhandtekening en BSN zichtbaar zijn. De foto mag onherkenbaar zijn gemaakt.

Vrijbit

De vereniging Vrijbit stelt zich ten doel zich grensoverschrijdend in te zetten voor het recht op privacy, vrije communicatie en toegang tot informatie. Vrijbit is een onafhankelijke organisatie. Zij maakt zich in dit geval terecht boos over het kunnen doen noteren van opt-in-toestemmingen voor datacommunicatie via het LSP tegen de wens van de burger in. Ook is Vrijbit het er absoluut niet mee eens dat bij het opvragen van een overzicht een kopie van een geldig Identiteitsbewijs wordt gevraagd door een private instelling.

Vragen aan AP

Vrijbit vraagt daarom aan de Autoriteit Persoonsgegevens om een drietal acties:  

1- Handhavend op te treden tegen de strafbare wijze waarop mensen zonder toestemming in het EPD-LSP worden opgenomen.

2- Hun zienswijze uit 2014 te herzien dat VZVZ ‘voldoende technische en organisatorische waarborgen had getroffen om te bewerkstelligen dat alleen persoonsgegevens worden verwerkt van patiënten die daarvoor toestemming hebben verleend’.

3- Te bevestigen dat VZVZ, geen eisen mag stellen inzake het ter beschikking stellen van een BSN en kopie van een geldig ID-bewijs, om uitsluitsel te kunnen geven of iemands naam ( in combinatie met geboortedatum en adresgegevens) niet voorkomt in het EPD-LSP uitwisselingssysteem.

Vrijbit maakte dit kenbaar aan VZVZ voor publicatie op de eigen website. Daarnaast vind u hier de link naar de vragen aan de AP en de minister van VWS.

 Decentrale registratie/verificatie/notificatie

Zeer problematisch is en blijft naast alle andere ernstige bezwaren van critici op het LSP het decentraal vastleggen van de toestemming door de zorgaanbieder en het ontbreken van een verificatieplicht bij VZVZ. Het ontbreken van een notificatie van het vastgelegd zijn van een toestemming maakt het noodzakelijk dat een weigerende burger herhaaldelijk, na bezoek aan een arts of apotheek, gedwongen is te kijken op de website van VZVZ of er geen toestemming is vastgelegd. Het is uitermate triest dat oogluikend door politiek en controlerende instanties toegestaan wordt dat zoiets kan en mag.

Als bij mij drie maal ten onrechte een opt-in-toestemming werd vastgelegd moeten er in Nederland minimaal vele duizenden mensen zijn waar dat ook bij gebeurd is.

W.J. Jongejan