In hoeverre zitten Nederlandse zorgdata in schaduwdatabase Cosmos van Epic?

Op de website van het NRC-Handelsblad verscheen op 17 juli 2019 een openhartig artikel van een gynaecoloog in opleiding aan het Amsterdam UMC, Sabra Dahhan. De papieren versie verscheen een dag later. In dit artikel kaart zij de verzameling van zorgdata aan door Epic, leverancier van Ziekenhuis InformatieSystemen(ZIS-sen) in een grote schaduwdatabase, Cosmos, genaamd, in de Verenigde Staten. Naast aandacht ervoor kaart zij ook de discrepantie aan die bestaat tussen het gebruik van deze data door Epic en het gebruik van zorgdata door Nederlandse wetenschappelijk onderzoekers. Het is een zeer moedige poging om dit onderwerp in de media bespreekbaar te maken. Moedig, ook in juridische zin, omdat het voor zorgmedewerkers die in een ziekenhuis werken waar Epic als ZIS gebruikt wordt, eigenlijk niet goed mogelijk is om iets negatiefs te ventileren over dit systeem. Het heeft te maken met zwijgbepalingen(“gag-clauses”) in contracten tussen de leverancier en het ziekenhuis. Ik schreef hier enkele keren over, o.a. op 22 maart 2019.     

Geen geheim

Het bestaan van de schaduwdatabase Cosmos is op zich geen geheim. Over Cosmos is in 2017 op het internet informatie te vinden, toegelicht door de CEO van Epic, Judith Faulkner. Epic is gevestigd in de plaats Verona in Wisconsin(V.S.). Het is natuurlijk maar de vraag of de data daar ook fysiek opgeslagen staan. In de Nederlandse zorgwereld is het bestaan van deze schaduwdatabase niet bekend. Op het internet is er tot heden geen Nederlandstalige publicatie over te vinden.

De-identified 

Epic spreekt zelf over de opgeslagen patiëntendata als “de-identified” of “anonymous”. In een document beschrijft Epic Cosmos als:

“Cosmos is a collaborative aggregation of anonymous data across Epic customers spanning nearly 200 million patients – for research and discovery.”

Het blijft altijd de vraag of het om echte anonimiteit gaat. In Nederland gebruiken data-verwerkende instanties ook weleens de woorden “anoniem” en “zo anoniem mogelijk” als er in werkelijkheid gepseudonimiseerde data verwerkt worden.

Discrepantie

Sabra Dahhan beschrijft dat Epic door het “anomiem” zijn van de data stelt dat er geen privacy-kwesties spelen. Ze benoemt de discrepantie die er dan is tussen het de activiteiten van Epic binnen Cosmos en het traditionele wetenschappelijk onderzoek. In dat laatste moeten onderzoekers ook al zijn de data “de-identified” toestemming hebben van de patiënt. Elke stap in dat onderzoek moet gedocumenteerd en gecontroleerd worden door onafhankelijke commissies die ook toezien op de veilige dataverwerking en opslag. Veel strengere eisen dus dan bij de big-data-benadering van Epic.

Geen automatische deelname

In het artikel van Sabra Dahhan in de NRC staat nergens dat van haar opleidingsziekenhuis daadwerkelijk zorgdata opgeslagen zijn in de Cosmos-database. Het stuk ademt wel de suggestie dat zulks het geval is, maar het staat er niet expliciet.  Als ik het goede begrijp uit diverse publicaties op het internet is de opname in de COSMOS-database geen automatisme als een ziekenhuis Epic gebruikt als informatiesysteem. Zo zag ik staan:

“While this is a new release, today Epic has only convinced a small handful of customers to participate. Healthcare providers, particularly large academic medical centers, may be wary of submitting their data for others to use, even for research.”

Overhalen

Uiteraard bestaat de mogelijkheid c.q. kans dat Epic ziekenhuizen overhaalt om aan de Cosmos-database bij te dragen met zorgdata door de prijs van haar ZIS te verlagen. Daardoor kan het voor een ziekenhuis aantrekkelijk worden voor Epic te kiezen. An offer you cann’t refuse.  De facto betaalt men de prijsverlaging echter met patiëntendata. Uiteraard is bestaat er voor Epic met Cosmos een verdienmodel. De uitkomsten van data-analysen zullen uiteraard vermarkt worden en met zorggeld gekocht moeten worden.

Dapper

Het is een goede zaak, maar ook dapper van Sabra Dahhan om dit onderwerp in het NRC- Handelsblad in een opinieartikel aan te kaarten. Van het bestaan van en de omgang met dit soort databases is nauwelijks iemand hier op de hoogte. Dapper, omdat zij de kans loopt binnen het ziekenhuis juridisch en/of  arbeidsrechtelijk aangesproken te worden door bestuurders vanwege “gag-clauses” in de contracten tussen Epic en het ziekenhuis. Laten we er hen beste van hopen.

W.J. Jongejan, 19 juli 2019