Model Privacyreglement GGZ doet medisch beroepsgeheim en toestemming cliënt verdwijnen

AVG EuropaIn verband met het ingaan van de Algemene Verordening Gegevensbescherming(AVG) op 25 mei 2018 kwam GGZ Nederland, als brancheorganisatie van de werkgevers in de geestelijke gezondheidszorg(GGZ) in januari 2018 met een nieuw model privacyreglement voor de zorginstellingen. Het moet als voorbeeld dienen voor privacyreglementen, die zorginstellingen vanwege de AVG, die het gevolg is van Europese privacy-wetgeving, moeten vernieuwen. Daarin blijken de bestuurders van de zorginstellingen tot verwerkingsverantwoordelijke van persoonsgegevens gemaakt te worden. Zij kunnen dan met voorbijgaan van in hun dienst zijnde zorgverleners bepalen welke gegevens voor enig doel kunnen worden verstrekt aan een derde. Met dit model privacyreglement wordt de facto een einde gemaakt aan het medisch beroepsgeheim en komt toestemming door de patiënt volledig buiten spel te staan. Het heeft alles te maken met doorleveren van Routine Outcome Monitoring(ROM)-data aan de Stichting Benchmark GGZ(SBG) en de beoogde opvolger daarvan, het Kwaliteits Instituut voor GGZ. Omdat de hier naar doorgestuurde data gepseudonimiseerd zijn, dienen die beschouwd te worden als bijzondere persoonsgegevens en moet daarvoor expliciet toestemming door de patiënt gegeven zijn. Dat is veelal niet gebeurd en gebeurt nu ook vaak niet. Men poogt het op dit moment te omzeilen met het begrip “veronderstelde toestemming”. Daarbij heeft men de constructie bedacht dat men  toestemming verondersteld acht als het gaat om gebruik van deze data voor kwaliteitsverbetering. Men vergeet voor het gemak dat de data vanwege de verwerking wel de instelling verlaten. GGZ Nederland lijkt te denken dat met het nieuwe privacyreglement de problemen over het toestemming vragen voorbij zijn. Niets is minder waar.

Trias

Als we administratief gezien naar het privacyreglement kijken dan gaat om de relatie tussen een drietal lagen. In de eerste plaats de cliënt die een behandeling behoeft. De behandeling wordt gegeven door een therapeut in dienst van de zorginstelling. Deze therapeut is de zorgverlener, die onder contract staat bij de zorginstelling. De zorginstelling, gerepresenteerd door bestuur en directie, is de zorgaanbieder. Voor de evaluatie van de therapie tussen de individuele cliënt en de zorgverlener maken deze gebruik van scorings-/vragenlijsten, zogenaamde ROM-lijsten. Door beleidsmakers bij het ministerie van VWS, zorgverzekeraars en anderen zijn deze lijsten tot input van een gigantisch dataverwerkingssysteem verkozen, voor een doel waarvoor deze data niet bestemd waren, namelijk voor benchmarking en zorginkoop. Dat is ook te zien aan de financiering van SBG, namelijk 100 procent door de zorgverzekeraars. Toen er discussie ging ontstaan over het feit dat de door geleverde data als persoonsgegevens bestempeld moesten worden, werd opeens het doel teruggeschroefd naar, vooralsnog, alleen kwaliteitsbevordering. Dat lijkt aardig maar het blijft gaan om data die zonder expliciete toestemming van de cliënt de zorginstelling verlaten richting een verwerkende instantie: de SBG.

Plan

Wat nu in het modelprivacyreglement zich aftekent is dat instellingen vastleggen dat niet de cliënt of de zorgverlener bepaalt of persoons-/behandelgegevens van de cliënt in de vorm van ingevulde vragenlijsten de instelling verlaten, maar de zorgaanbieder, zijnde het bestuur en de directie van de zorginstelling. Daarbij wordt een beroep gedaan op artikelen in de AVG, bijvoorbeeld artikel 9 punt 2  lid h en i, van de AVG(blz L119/38). Dat gaat over argumenten als “het  beheren van gezondheidszorgstelsels”(lid h). Dit is in het model privacyreglement terug te vinden in hoofdstuk 3.2.3. De notie van de zorgbestuurder als verwerkingsverantwoordelijke is trouwens direct al te zien in de definitielijst, waarin gesteld wordt dat deze verantwoordelijke meestal de bestuurder van de zorgaanbieder(lees: instelling) is. Even de tekst doorzoeken op “verwerkingsverantwoordelijke” laat zien dat deze bevoegdheid in dit reglement alleen de zorgbestuurder toekomt.

Verdere verwerking

In het hoofdstuk 3.2. getiteld: “Verwerking van persoonsgegevens van cliënten in overeenstemming met de AVG” staan onder 3.2.1 tot en met 3.2.3 een aantal punten die het doorleveren van persoonsgegevens in de ogen van GGZ Nederland zouden mogen rechtvaardigen. Allereerst gaat het daarbij om de omschrijving die in artikel 9 punt 2 lid j en later ook in punt 53 van de AVG beschreven staan: “de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (“doelbinding”).” Het probleem is echter dat de genoemde redenen te vaag en te breed zijn en “wetenschappelijk” en “statistisch” niet een duidelijk omschreven en gespecificeerd doel zijn, maar een methode aangeven van verwerking.

Verraderlijk

Ronduit verraderlijk is de vermelding in 3.2.2 dat het doorleveren van de data toegestaan is als de gegevensverwerking noodzakelijk is voor de goede vervulling van een taak in het algemeen belang, dat elders in een wet is vastgelegd met eventuele nadere bepalingen. Dat opent de mogelijkheid dat als er maar een wetje gemaakt wordt en er zo een wettelijke basis voor de gegevensdoorlevering zou zijn, de doorlevering zo maar zou mogen. Ondanks een wettelijke basis volgens Nederlands recht moet een verstrekking van persoonsgegevens aan derden te allen tijde voldoen aan de norm van een duidelijk omschreven doel, dat niet te algemeen mag zijn, en moet er voldaan zijn aan de principes van noodzakelijkheid, proportionaliteit en subsidiariteit. Dat vloeit namelijk voort uit toetsing van elke nationale wetgeving aan datgene wat vermeld staat in het Europees Verdrag voor de Rechten van de Mens, specifiek in artikel 8 daarvan. Ik beschreef dit in een artikel op deze website op 13 maart 2018.

Besef

Zowel cliënten als individuele zorgverleners in dienst bij zorginstellingen dienen zich te realiseren wat zich thans op bestuursniveau bij hun instellingen plaats vindt. Het besef dat er onherroepelijke dingen gebeuren als men niet waakzaam en assertief is moet gaan groeien. Ongetwijfeld zullen in het kader van de inwerkingtreding van de AVG de contracten van  zorgverleners bij instellingen aangepast gaan worden en zal daarin gerefereerd gaan worden aan het privacyreglement. Cliënten zullen het nieuwe privacyreglement ter inzage krijgen en zich dienen te realiseren wat er onder dat reglement dreigt te gebeuren. Cliëntenverenigingen en beroepsverenigingen van psychotherapeuten, psychologen en psychiaters dienen tegen deze kaping van zeggenschap over patiëntgegevens in het geweer te komen.   Als cliënten en zorgverleners hun behandelcontract respectievelijk het nieuwe dienstverbandcontract ongewijzigd tekenen, dienen zij zich ervan bewust te zijn dat ze daarmee het medisch beroepsgeheim mee om zeep helpen. Daarnaast is dan ook de mogelijkheid om expliciet toestemming te kunnen geven verdwenen.

W.J. Jongejan

3 antwoorden
  1. Petra Jonker
    Petra Jonker zegt:

    Beste W.J.Jongejan,
    Ten eerste ben ik heel erg blij met de inhoud van uw stukken.
    Maar zou u ze alstublieft een beetje leesbaarder willen maken door alinea’s aan te brengen. Bij een werkelijke nieuwe zin naar een nieuwe regel te springen. Minder lange zinnen te maken etc. Tijdig een punt zetten en op nieuw beginnen. Kijkt u maar es naar de eerste alinea, dat is 1 groot blok van woorden.

    Ik probeer cliënten te informeren en verwijs vaak naar uw pagina’s. Maar de meeste mensen zijn na 5 regels de draad al kwijt. Dat is erg jammer omdat, zoals ik al zei, de inhoud zo belangrijk is.
    Eventueel wil ik deze pagina wel iets leesbaarder maken als voorbeeld, zodat u kan zien wat ik bedoel.

    • wjjongejan
      wjjongejan zegt:

      Beste Petra, Hartelijk dank voor uw reactie. De leesbaarheid probeer ik altijd in gedachten te houden, maar het probleem met zorgdata, privacy en bijv. de zaken rond ROM in de GGZ is dat het een abstracte materie is. Die bovendien vaak gebaseerd is op wat “jargon” te noemen is. Te veel alinea’s op een website maken een artikel visueel ook wat onrustig en op het oog langer. Ik probeer altijd in de buurt van 1 A4 in word te blijven. Ik neem uw opmerkingen ter harte en zal proberen ook zo te handelen. Met vriendelijke groet, Wim J. Jongejan

  2. Gerard Freriks
    Gerard Freriks zegt:

    De wereld lijkt op zijn kop gezet te zijn door de GGZ. Het beroepsgeheim wordt uitgehold.
    Naar mijn stellige overtuiging heeft elk stuk data in een patiëntendossier een auteur, die meestal een zorgverlener is. Het zijn de werkaantekeningen van die zorgverlener zoals verkregen in een gesprek met de patiënt. Voor dat gesprek geldt dat de informatie onder het beroepsgeheim valt. Slechts met toestemming van de patiënt kunnen gegevens gedeeld worden met derden.
    Dat houdt naar mijn overtuiging in dat die werkaantekeningen ook onder het individuele beroepsgeheim vallen zodat de zorginstelling als dienstverlener als dataverwerker gekenmerkt moet worden. Zorgverleners moeten daarom een contract afsluiten met de dienstverlener/zorginstelling.

    Ik zie borginstellingen zich gaan gedragen als de Facebooks, Twitters, en Google van deze tijd.
    De borgverlener levert de data en de borginstelling gaat aan de haal, c.q. de overheid eigent het zich toe zonder zeggenschap, controle, van de patiënt en zorgverlener.

    Wat is de opvatting van de KNMG?

Reacties zijn gesloten.