Model Privacyreglement GGZ doet medisch beroepsgeheim en toestemming cliënt verdwijnen

In verband met het ingaan van de Algemene Verordening Gegevensbescherming(AVG) op 25 mei 2018 kwam GGZ Nederland, als brancheorganisatie van de werkgevers in de geestelijke gezondheidszorg(GGZ) in januari 2018 met een nieuw model privacyreglement voor de zorginstellingen. Het moet als voorbeeld dienen voor privacyreglementen, die zorginstellingen vanwege de AVG, die het gevolg is van Europese privacy-wetgeving, moeten vernieuwen. Daarin blijken de bestuurders van de zorginstellingen tot verwerkingsverantwoordelijke van persoonsgegevens gemaakt te worden. Zij kunnen dan met voorbijgaan van in hun dienst zijnde zorgverleners bepalen welke gegevens voor enig doel kunnen worden verstrekt aan een derde. Met dit model privacyreglement wordt de facto een einde gemaakt aan het medisch beroepsgeheim en komt toestemming door de patiënt volledig buiten spel te staan. Het heeft alles te maken met doorleveren van Routine Outcome Monitoring(ROM)-data aan de Stichting Benchmark GGZ(SBG) en de beoogde opvolger daarvan, het Kwaliteits Instituut voor GGZ. Omdat de hier naar doorgestuurde data gepseudonimiseerd zijn, dienen die beschouwd te worden als bijzondere persoonsgegevens en moet daarvoor expliciet toestemming door de patiënt gegeven zijn. Dat is veelal niet gebeurd en gebeurt nu ook vaak niet. Men poogt het op dit moment te omzeilen met het begrip “veronderstelde toestemming”. Daarbij heeft men de constructie bedacht dat men  toestemming verondersteld acht als het gaat om gebruik van deze data voor kwaliteitsverbetering. Men vergeet voor het gemak dat de data vanwege de verwerking wel de instelling verlaten. GGZ Nederland lijkt te denken dat met het nieuwe privacyreglement de problemen over het toestemming vragen voorbij zijn. Niets is minder waar.

Trias

Als we administratief gezien naar het privacyreglement kijken dan gaat om de relatie tussen een drietal lagen. In de eerste plaats de cliënt die een behandeling behoeft. De behandeling wordt gegeven door een therapeut in dienst van de zorginstelling. Deze therapeut is de zorgverlener, die onder contract staat bij de zorginstelling. De zorginstelling, gerepresenteerd door bestuur en directie, is de zorgaanbieder. Voor de evaluatie van de therapie tussen de individuele cliënt en de zorgverlener maken deze gebruik van scorings-/vragenlijsten, zogenaamde ROM-lijsten. Door beleidsmakers bij het ministerie van VWS, zorgverzekeraars en anderen zijn deze lijsten tot input van een gigantisch dataverwerkingssysteem verkozen, voor een doel waarvoor deze data niet bestemd waren, namelijk voor benchmarking en zorginkoop. Dat is ook te zien aan de financiering van SBG, namelijk 100 procent door de zorgverzekeraars. Toen er discussie ging ontstaan over het feit dat de door geleverde data als persoonsgegevens bestempeld moesten worden, werd opeens het doel teruggeschroefd naar, vooralsnog, alleen kwaliteitsbevordering. Dat lijkt aardig maar het blijft gaan om data die zonder expliciete toestemming van de cliënt de zorginstelling verlaten richting een verwerkende instantie: de SBG.

Plan

Wat nu in het modelprivacyreglement zich aftekent is dat instellingen vastleggen dat niet de cliënt of de zorgverlener bepaalt of persoons-/behandelgegevens van de cliënt in de vorm van ingevulde vragenlijsten de instelling verlaten, maar de zorgaanbieder, zijnde het bestuur en de directie van de zorginstelling. Daarbij wordt een beroep gedaan op artikelen in de AVG, bijvoorbeeld artikel 9 punt 2  lid h en i, van de AVG(blz L119/38). Dat gaat over argumenten als “het  beheren van gezondheidszorgstelsels”(lid h). Dit is in het model privacyreglement terug te vinden in hoofdstuk 3.2.3. De notie van de zorgbestuurder als verwerkingsverantwoordelijke is trouwens direct al te zien in de definitielijst, waarin gesteld wordt dat deze verantwoordelijke meestal de bestuurder van de zorgaanbieder(lees: instelling) is. Even de tekst doorzoeken op “verwerkingsverantwoordelijke” laat zien dat deze bevoegdheid in dit reglement alleen de zorgbestuurder toekomt.

Verdere verwerking

In het hoofdstuk 3.2. getiteld: “Verwerking van persoonsgegevens van cliënten in overeenstemming met de AVG” staan onder 3.2.1 tot en met 3.2.3 een aantal punten die het doorleveren van persoonsgegevens in de ogen van GGZ Nederland zouden mogen rechtvaardigen. Allereerst gaat het daarbij om de omschrijving die in artikel 9 punt 2 lid j en later ook in punt 53 van de AVG beschreven staan: “de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (“doelbinding”).” Het probleem is echter dat de genoemde redenen te vaag en te breed zijn en “wetenschappelijk” en “statistisch” niet een duidelijk omschreven en gespecificeerd doel zijn, maar een methode aangeven van verwerking.

Verraderlijk

Ronduit verraderlijk is de vermelding in 3.2.2 dat het doorleveren van de data toegestaan is als de gegevensverwerking noodzakelijk is voor de goede vervulling van een taak in het algemeen belang, dat elders in een wet is vastgelegd met eventuele nadere bepalingen. Dat opent de mogelijkheid dat als er maar een wetje gemaakt wordt en er zo een wettelijke basis voor de gegevensdoorlevering zou zijn, de doorlevering zo maar zou mogen. Ondanks een wettelijke basis volgens Nederlands recht moet een verstrekking van persoonsgegevens aan derden te allen tijde voldoen aan de norm van een duidelijk omschreven doel, dat niet te algemeen mag zijn, en moet er voldaan zijn aan de principes van noodzakelijkheid, proportionaliteit en subsidiariteit. Dat vloeit namelijk voort uit toetsing van elke nationale wetgeving aan datgene wat vermeld staat in het Europees Verdrag voor de Rechten van de Mens, specifiek in artikel 8 daarvan. Ik beschreef dit in een artikel op deze website op 13 maart 2018.

Besef

Zowel cliënten als individuele zorgverleners in dienst bij zorginstellingen dienen zich te realiseren wat zich thans op bestuursniveau bij hun instellingen plaats vindt. Het besef dat er onherroepelijke dingen gebeuren als men niet waakzaam en assertief is moet gaan groeien. Ongetwijfeld zullen in het kader van de inwerkingtreding van de AVG de contracten van  zorgverleners bij instellingen aangepast gaan worden en zal daarin gerefereerd gaan worden aan het privacyreglement. Cliënten zullen het nieuwe privacyreglement ter inzage krijgen en zich dienen te realiseren wat er onder dat reglement dreigt te gebeuren. Cliëntenverenigingen en beroepsverenigingen van psychotherapeuten, psychologen en psychiaters dienen tegen deze kaping van zeggenschap over patiëntgegevens in het geweer te komen.   Als cliënten en zorgverleners hun behandelcontract respectievelijk het nieuwe dienstverbandcontract ongewijzigd tekenen, dienen zij zich ervan bewust te zijn dat ze daarmee het medisch beroepsgeheim mee om zeep helpen. Daarnaast is dan ook de mogelijkheid om expliciet toestemming te kunnen geven verdwenen.

W.J. Jongejan