Als hete aardappel schuift AP handhavingsverzoeken vooruit
De Autoriteit Persoonsgegevens(AP) heeft de neiging besluiten inzake handhavingsverzoeken lange tijd voor zich uit te schuiven. Vooral als dat gaat om nogal principiële zaken. Zo had de AP tussen 2017 en 2019 zichtbaar moeite een beslissing te nemen rond het onrechtmatig verzamelen van ROM-gegevens uit de GGZ door de Stichting Benchmark GGZ(SBG). De AP had toen twee jaar nodig om te besluiten dat het bij de zonder toestemming verzamelde gepseudonimiseerde zorgdata toch gewoon om bijzondere persoonsgegevens ging. Zodat ze uiteindelijk tot vernietiging van die database verordonneerde. Iets wat de AP al lang moest weten omdat de EU-werkgroep van alle privacy-toezichthouders van de EU in 2014 de status van gepseudonimiseerde data duidelijk maakte. Sinds eind 2021 heb ik zelf een handhavingsverzoek lopen bij de AP. Dat gaat om het niet volgens de wet handelen door de Vereniging van Zorgaanbieders voor Zorgcommunicatie (VZVZ) ten aanzien van het Landelijk SchakelPunt(LSP).
Handhavingsverzoek
De AP zette in december 2021 een klacht van mij in november 2021 om in een handhavingsverzoek. Om zorggegevens voor gebruik via het LSP opvraagbaar te maken is een tevoren gegeven toestemming nodig. De grondslag daarvoor staat in artikel 15 Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg(Wabvpz). In artikel 15 c staat bovendien dat voor een substantiële wijziging van de werking van het systeem opnieuw toestemming gevraagd moet worden.
VZVZ breidt de functionaliteit van het LSP substantieel uit met ketenzorg(o.a. voor diabetes). Toch gebruikt VZVZ voor ketenzorg alleen de toestemming van hen die daaraan deelnemen. Terwijl ze dat aan alle cliënten/patiënten die eerder toestemming gaven voor het opvraagbaar maken van hun zorgdata via et LSP, dienen te vragen. VZVZ is zich bewust van die verplichting, want bij de rechtszaak van de Vereniging Praktijkhoudende Huisartsen tegen het LSP beloofde VZVZ dat ook te doen. Maar deed dat nimmer.
Artikel 15c Wabvpz
In dit artikel staat:
“Artikel 15c
De zorgaanbieder geeft de cliënt informatie over zijn rechten bij elektronische gegevensuitwisseling, de wijze waarop hij zijn rechten kan uitoefenen en over de werking van het elektronisch uitwisselingssysteem dat voor de gegevensuitwisseling wordt gebruikt. Indien nieuwe categorieën van zorgaanbieders aansluiten bij het elektronisch uitwisselingssysteem, of de werking van het elektronisch uitwisselingssysteem anderszins substantieel wordt gewijzigd, informeert de zorgaanbieder de cliënt over deze wijziging alsmede over de mogelijkheid om de gegeven toestemming, bedoeld in artikel 15a, aan te passen of in te trekken.”
Tweede punt
Een tweede punt in mijn handhavingsverzoek betreft het versturen van receptberichten via het LSP van een behandelend specialist van mij en anderen richting de apotheek zonder dat ik ooit toestemming gaf voor gebruik van het LSP.
VZVZ verdedigt zich door te stellen dat het gaat om push-berichtenverkeer en dat daar geen toestemming voor nodig is. Als het om het LSP-gebruik gaat hanteert VZVZ een toestemmingsformulier waarin nergens staat dat er twee soorten berichtenverkeer zijn via het LSP, namelijk de pull-berichten(het opvragen gegevens door een zorgverlener bij andere zorgverleners) en push-berichten(receptberichten van een specialist gericht naar een apotheek sturen).
Geen voortgang in voortgangsberichten
Eind 2022 vernam ik dat mijn klacht en daarmee het handhavingsverzoek voldeed aan de formele eisen uit de AVG en de Algemene wet bestuursrecht voldeed. Dat heeft vooral te maken met de ontvankelijkheid van de klacht. Begin 2023 startte het bureauonderzoek met gerichte vragen aan VZVZ. Daarna stelde de AP mij in de gelegenheid op de antwoorden van VZVZ te reageren. Dat deed ik eind januari 2023.Daarna krijg ik elke drie maanden, half september voor de derde maal, een voortgangsbericht per aangetekend schrijven dat het handhavingsverzoek zich in de fase bevindt waarin de AP beoordeelt of uit de voorhanden stukken volgt dat er sprake is van een overtreding van de AVG of daaraan gerelateerde wet-regelgeving. Steevast staat daar dan achter dat de behandeling in deze fase vertraging heeft opgelopen, vanwege veel klachten en weinig capaciteit.
Vanzelf overgaan?
Destijds bij de zaak rond de ROM-data bij SBG leek het er heel sterk op dat de AP een oordeel lang voor zich uitschoof in de hoop dat het probleem zichzelf oploste. In 2018 ontdekte het werkveld in de GGZ dat wat SBG deed niet juist was en staakten veel GGZ-instellingen de aanlevering van data. Daardoor stopte SBG met haar werkzaamheden, maar de database ging wel over naar AKWA GGZ. Deze wilde die data toch gaan gebruiken. Pas dat noopte de AP in 2019 ertoe toch te beslissen dat die data onrechtmatig verkregen waren en vernietigd moesten worden.
Krachtenspel
Rond en in de politiek arena spannen diverse partijen zich in om artikel 15 van de Wabvpz af te schaffen. VZVZ probeerde dat in 2021 richting Eerste Kamer. CDA-Kamerlid van den Berg deed dat in een opinieartikel in het Algemeen Dagblad en minister de Jonge en Kuipers drukten zich ook in die richting uit. Bij het zeer recente wetsontwerp voor de spoedzorg wil Kuipers helemaal geen toestemmingsvraag meer bij het beschikbaar stellen van zorgdata. Ook zijn er andere initiatieven om het toestemmingsgebeuren een andere vorm te geven. Maar ook daarover spreekt de AP zich nog steeds niet uit.
Doorpakken
Ik merk dat de AP weinig trek heeft om door te pakken in principiële kwesties. De vraag is dan ook of er niet sturing van buitenaf, bijv. vanuit VWS, is om geen beslissing te nemen. Het is wel heel vreemd dat bij een beperkte capaciteit die de AP zegt te hebben, ze wel van een klacht een handhavingsverzoek maakt. Om dan vervolgens met lange tanden zich aan dat verzoek te zetten. En er nu bijna 10 maanden over doet om na de onderzoeksfase een beslissing te nemen.
Het doet afbreuk aan het begrip “toezichthouder”.
W.J. Jongejan, 13 oktober 2023
Afbeelding van RÜŞTÜ BOZKUŞ via Pixabay
Recente reacties