Op 3 september 2018 besprak ik op deze website de contractuele verplichting in het contract van zorgverzekeraar VGZ voor vrijgevestigde zorgaanbieders in de GGZ om ROM-data aan te leveren. Mede naar aanleiding van deze berichtgeving kwam VGZ op 4 september met een persbericht  en een reactie op Twitter waarin het lijkt of  men een draai van 180 graden maakt. De formulering van dit bericht is zeer vreemd. Die verwijst naar een aanvullende bepaling in het contract die verwijst naar ‘vigerende wet- en regelgeving’, maar die niet meegestuurd is naar de zorgaanbieders. Het online magazine SKIPR maakt het daarna nog aparter door te stellen dat VGZ per ongeluk in de contracten voor vrijgevestigde ggz-aanbieders voor 2019 de verplichting opgenomen had om ROM-data van patiënten aan te leveren. Het lijkt er nu op dat VGZ niet het contract herziet, maar alleen een addendum met de verwijzing naar ‘vigerende en wet- en regelgeving’ alsnog via de website van VECOZO aan de desbetreffende zorgaanbieders ter beschikking gaat stellen.

Gedraai

In artikel 5 van het contract dat vrijgevestigde zorgaanbieders in de GGZ van VGZ aangeboden kregen staat klip en klaar(art. 5 lid 6) de verplichting ROM-data aan de Stichting Benchmark GGZ(SBG) aan te leveren. Na reuring door publiciteit over de verplichting in dit contract komt VGZ met genoemde draai in haar persbericht. Daarin zegt VGZ dat ze in afwachting van de landelijke discussie over ROM en privacy toch geen actief verzoek doen aan vrijgevestigde zorgaanbieders in de GGZ. Ze zegt geen consequenties te verbinden aan het niet-aanleveren zolang er geen landelijke afspraken overgemaakt zijn. De zorgaanbieder had hiernaar moeten raden want de clausule die niet meegestuurd was rept alleen over ‘vigerende wet- en regelgeving. Maar waar doelt VGZ hier eigenlijk op?

Autoriteit Persoonsgegevens

ROM-data dienen vooralsnog als bijzondere persoonsgegevens beschouwd te worden die ondanks pseudonimisatie toch als indirect herleidbaar dienen te worden beschouwd. Ondanks anderhalf jaar denkwerk na het stellen van ruim veertig vragen aan de ROM-data verwerkende instantie SBG heeft de Autoriteit Persoonsgegevens(AP) daar geen uitspraak over gedaan. Bij bijzondere persoonsgegevens is “informed consent” van de patiënt een vereiste, maar dat wordt door een aantal zorginstellingen niet nageleefd. GGZ Nederland heeft als werkgeversorganisatie in de GGZ met een aantal andere stakeholders  daar de juridische rammelende  en aanvechtbare constructie van de “veronderstelde toestemming” voor bedacht. Zolang de AP geen uitspraak heeft gedaan blijft er officieel onduidelijkheid.

Geïnstitutionaliseerde GGZ

Bij de zorgverleners die werkzaam zijn in de grote GGZ-instellingen ligt het probleem gecompliceerder. Daar heeft GGZ Nederland een Model Privacyreglement voor gemaakt waarin de bestuurders van zorginstellingen tot verwerkingsverantwoordelijke gemaakt worden die beslissen tot aanlevering en de zorgverlener buiten spel wordt gezet.

Slimmigheidje?

De verplichting in het contract zetten en toe te zeggen dat die verplichting hangende de landelijke discussie over ROM-data toch niet gehandhaafd wordt, lijkt op een “slimmigheidje” van VGZ. Zij kan als eind 2019 of later de AP een uitspraak doet over de indirecte herleidbaarheid van gepseudonimiseerde ROM-data en de verwerking door SBG alsnog met terugwerkende kracht tot begin 2019 die data opeisen bij de zorgaanbieder. Zolang de bepalingen van het contract niet zijn aangepast en VGZ op basis van een niet meegestuurde clausule nu een uitweg bedenkt is het aanleveren met terugwerkende kracht  mogelijk.

Downplaying

Het is aardig om de berichtgeving van en namens VGZ nauwkeurig te volgen. Op de website SKIPR heette op 5 september het artikel nog “VGZ verplicht zorgaanbieders per abuis om ROM-gegevens te leveren”(zie link in eerste alinea). Nu komt deze link uit op een licht aangepast artikel met als kop “VGZ maakt foutje in contract voor vrijgevestigde ggz-aanbieders”. Nu heet het in de eerste regels zo te zijn dat slechts in een klein deel van de naar zorgaanbieders gestuurde contracten de clausule die rept over ‘vigerende wet- en regelgeving’ ontbrak. Dat zorgaanbieders maar moesten raden wat VGZ daarmee bedoelde staat uiteraard niet vermeld.

Uiteindelijk denk ik dat VGZ gewoon geprobeerd heeft het hierboven beschreven contract te doen tekenen en niet ingecalculeerd heeft dat er wel eens uitgebreide reuring over kon gaan ontstaan.

W.J. Jongejan, 6 september 2018