Wanhoopsdaad directie SBGGZ in aanloop naar kort geding

Op donderdag 13 juli 2017 om 09.00u dient voor de rechtbank Midden-Nederland het kort geding van de groep Stop benchmark met ROM tegen de Stichting Benchmark GGZ(SBG). De inzet ervan is om het verwerken door de SBG van patiëntgegevens(ROM-data) voor het benchmarken(vergelijken van zorgaanbieders) te doen stoppen. Reden voor dat laatste is het feit dat de gegevens veelal zonder toestemming van de patiënt verzameld zijn door de SBG. Zelfs de minister van VWS moest erkennen dat de data illegaal verzameld waren. Kort voor de aanvang van het geding kwam er op 3 juli een opvallende melding van de directeur van de SBG, Maarten Erenstein, aan zorgaanbieders in de GGZ, maar ook op de eigen website over de door de SBG verzamelde data. Gemeld wordt dat de Aansluitvoorwaarden aangepast worden en dat we wijzigingen in de Minimale Data Set aangebracht zijn. De mogelijkheid van het koppelen van data uit de SBG-database met andere databases wordt geschrapt. Daarnaast meldt Erenstein in de brief dat een aantal nummerreeksen die in de data die aangeleverd worden nu onomkeerbaar versleuteld en gerandomiseerd worden. Het gaat om cijferreeksen die eventueel het identificeren van individuele patiënten mogelijk zouden kunnen maken uit de dubbel gepseudonimiseerde data. Het zijn zuiver defensieve handelingen met het oog op het komende kort geding die de directeur nu aan werkveld kenbaar maakt. Hij geeft er echter wel zonneklaar mee aan dat hij tot nu toe wederrechtelijk data verzamelde die herleidbaar waren tot individuele personen en nu opeens de brave jongen wil uithangen. Ik denk dat de rechter deze move wel zal doorzien.

Koppeling
Door een uitspraak van de artikel 29 werkgroep van Europese privacy-toezichthouders in april 2014 dienen (dubbel)gepseudonimiseerde persoonsgegevens met medische informatie toch beschouwd te worden als bijzondere persoonsgegevens. Door het intelligent koppelen van databases als die van de SBG aan andere databases is het niet al te moeilijk om data te herleiden tot individuen. Op basis daarvan schreef ik op 24 mei 2016 op dit medium al een artikel met als boodschap dat de SBG-database net zo “lek “is als de DIS(DBC-Informatie-Systeem)database. Naar eigen zeggen heeft de SBG tot heden nog geen koppeling uitgevoerd, terwijl de mogelijkheid om het te doen reglementair aanwezig was. Door de veelheid van data die in de Minimale Data Set staan die aangeleverd moeten worden is de kans erg groot dat er identificerende informatie in diverse velden staat. De koppelingsmogelijkheid stond overigens in de Algemene Voorwaarden van de SBG. Nu is die mogelijkheid geschrapt.

Cijferreeksen
De reeksen waar het in de aan de SBG aangeleverde data om gaat zijn het koppelnummer (identificerende interne unieke code van een cliënt), het zorgtrajectnummer en het DBC-behandeltrajectnummer. Ik publiceerde daar op 21 mei j.l. over. Die nummers zijn evengoed identificerende data zoals de naam, adres, woonverband, postcode en geboortedatum. Nu kondigt de directeur van de SBG een week voor het dienen van het kort geding dus aan deze cijferreeksen onomkeerbaar te versleutelen en te randomiseren.
De SBGGZ die een eigen beveiligingsfunctionaris heeft had eigenstandig al veel eerder, na publicatie van het rapport van de Europese artikel 29 werkgroep daarvan kennis kunnen nemen en actie ondernemen. Men heeft gewacht tot er rumoer in het veld ontstond. Nu komt men wen week voor het kort geding met de voorgenomen maatregel.

MDS
In de data die minimaal aangeleverd moeten worden zijn per 1 juli ook wijzigingen aangebracht. Ze worden op de website van SBG uitgelegd. Zo blijkt er nu opeens bij de velden postcode en geboorteland expliciet vermeld te worden dat deze data versleuteld en geaggregeerd worden aangeleverd door de versleutelende instantie ZorgTTP. Blijkbaar wil men nu opeens voorkomen dat over die datavelden discussie ontstaat. Postcode en geboorteland kunnen zeer behulpzaam zijn bij pogingen in een grote data-brei gegevens te herleiden tot een individu.

Terugwerkende kracht
Op dezelfde webpagina over de MDS staat dat een wat cryptische passage. Men stelt het randomiseren uit te voeren in de SBG-database in alle zorgtrajecten waarbij die nummerreeksen geen functie meer hebben. Blijkbaar blijven de nummerreeksen die wel een functie hebben ongerandomiseerd. Dat maakt de maatregel niet erg consequent. Het is inmiddels gebeurd voor alle afgesloten zorgtrajecten tot 1 juli 2016. Herstellen of aanleveren van data voor deze datum zal niet meer mogelijk zijn voor deze afgesloten zorgtrajecten. Niet duidelijk is of de SBG deze wijzigingen ook doorvoert bij haar backups. Een backup terugzetten van de database waar die bewerking niet is uitgevoerd is dan een koud kunstje.

Zorgverzekeraars
Opvallend stil is het in het kamp der zorgverzekeraars, die wel toch voor honderd procent de financiers zijn van de SBG. Ik denk niet dat zij erg gelukkig zijn met een instantie die ze jaarlijks 25 miljoen euro kost, nu maar zeer beperkt data verwerkt en uitgebreid in de media aandacht krijgt en waartegen komende week een kort geding dient. Niet bepaald een ideale investering.

Drieletter-afkortingen
Helaas neemt in de zorg met het toenemen van de invloed van cijferaars en managers het jargon toe. Daarbij horen ook de in de Verenigde Staten zeer populaire afkortingen van drie letters. In dit korte artikel komt u er al meerdere tegen. Een ten opzichte van dit punt kritische Amerikaan noemde dat soort afkortingen FTA’s. Omdat niemand die afkorting kende gaf hij desgevraagd antwoord: “ They are Fucking Three-letter Acronyms”.

W.J.Jongejan