Verrassing voor LSP in besluit elektronische gegevensverwerking

De minister van VWS zorgde op 14 november 2016 voor een verrassing door een op een essentieel punt aangepast ontwerp van het Besluit elektronische gegevensverwerking door zorgaanbieders naar de Eerste Kamer(EK) te sturen. Het is een ontwerp uitvoeringsbesluit dat hoort bij het wetsontwerp 33509. Na het aannemen van dit wetsontwerp op 4 oktober 2016 in de Eerste Kamer leek het stof neer te dwarrelen na een parlementaire behandeling die drie jaar duurde. Voor de duidelijkheid: het ging om de wet cliëntenrechten bij elektronische verwerking van gegevens, die een wettelijke basis moet geven aan gebruik van het Landelijk SchakelPunt(LSP). De motie Teunissen(PvdD) die op 25 oktober werd aangenomen zorgde nog voor opwinding, omdat daarmee het decentraal vastleggen van opt-in-toestemmingen mogelijk bleef. Dat is van belang  voor decentraal opererende alternatieven voor het LSP. Er lag echter ook de eerder aangenomen motie Bredenoord(D66), die de minister verplichtte om dataprotectie-by-design verder uit te werken als het uitgangspunt voor de elektronische verwerking van medische gegevens. Het LSP is met de technologie en systematiek die tien jaar geleden gewoon was nu deels verouderd. De motie Bredenoord kan dan ook gezien worden als een soort bom die tikt onder het LSP, een soort duveltje in een doosje.

Achtergrond

Dat de systematiek en de techniek van de communicatie via het LSP niet state-of-the-art is bracht de Vereniging Praktijkhoudende Huisartsen naar voren in de rechtszaak in eerste en tweede aanleg tegen de Vereniging van Zorgaanbieders Voor Zorgcommunicatie(VZVZ). VPHuisartsen stelde dat het onrechtmatig was dat de zorginfrastructuur onvoldoende veilig is ingericht. Het gerechtshof oordeelde helaas in rechtsoverweging 4.17, dat het feit dat een ander beveiligingsniveau mogelijk is en/of door VPH c.s. wenselijk wordt geacht nog niet maakt dat VZVZ onrechtmatig handelt. In de deskundigenbijeenkomst die op verzoek van de Eerste Kamer naar aanleiding van het behandelen van wetsontwerp 33509 op 5 april 2016 gehouden werd, oordeelde de Nijmeegse hoogleraar Verheul vernietigend over de opzet van het LSP. De centrale verwijsindex die het LSP gebruikt, maakt het systeem uitermate kwetsbaar, terwijl het heel goed op een betere manier te regelen is. De motie Bredenoord moet dan ook gezien worden in het licht van deze opmerkingen.

Ministerieel besluit

In de begeleidende brief bij het ontwerpbesluit elektronische gegevensverwerking door zorgaanbieders haalt de minister de deskundigenbijeenkomst van 5 april j.l. aan. Ze vermeldt dat tijdens die bijeenkomst het belang van het toepassen van zogenaamde “privacy enhancing technologies” benadrukt werd. In artikel 6 van het besluit staat:

“De zorgaanbieder als verantwoordelijke voor een zorginformatiesysteem en de verantwoordelijke voor een elektronisch uitwisselingssysteem, vergewissen zich steeds van de laatste stand van de wetenschap en techniek met betrekking tot informatiebeveiliging en de bescherming van persoonsgegevens, en verantwoorden zich over de toepassing daarvan bij de inrichting en het gebruik van hun systemen.”

 VZVZ als verantwoordelijke voor het LSP zal zich dus moeten vergewissen van de meest recente en meest betrouwbare methodieken van informatiebeveiliging en daarnaar moeten handelen. Sowieso moet VZVZ zich verantwoorden voor het toepassen ervan in het LSP.

Verantwoorden bij wie/wat?

Een zeer groot manco in het besluit is dat de minister nergens melding maakt ten overstaan van wie of welke instantie de verantwoordelijke voor een elektronisch uitwisselingssysteem, dus VZVZ, zich moet verantwoorden. Is dat de Autoriteit Persoonsgegevens of de Inspectie voor de GezondheidsZorg of een andere instantie? In de tweede plaats maakt ze geen melding van welke sancties staan op het niet implementeren van noodzakelijke state-of-the-art technieken en methodieken. Het zal nu aan de EK- leden zijn om daar nadere garanties over te krijgen en die op te doen nemen in het ontwerpbesluit.

Vervolg

Verdere schriftelijke behandeling van het ontwerpbesluit in de vaste EK-commisie voor VWS zal op 13 december starten met een inbreng voor schriftelijk overleg. Dat betekent dat de kritiek van de leden van die commissie verzameld en naar de minister gestuurd wordt. Die antwoordt vervolgens weer aan de EK. Het is nu de vraag hoe sterk de EK-leden vasthouden aan de uitwerking van de motie 33509-T, zijnde de motie Bredenoord.

Wordt vervolgd.

W.J. Jongejan