Wat is oordeel van AP over gekopieerde huisartsdatabases waard?
Op 19 juli 2023 publiceerde NRC op de voorpagina het artikel over massaal gekopieerde volledige huisartsdatabases bij VIP Live van het bedrijf Calculus in het kader van ketenzorg. Ketenzorg vindt plaats in het kader van een aantal chronische ziekten zoals diabetes mellitus, astma, COPD en hert- en vaatziekten. Andere typen zorgverleners dan huisartsen, zoals diëtiste, opticien, longfunctielaborante etc kunnen dan gegevens die in het huisartsdossier inzien. Het artikel in NRC beschrijft hoe hele praktijkdatabases zonder toestemming van de patiënt op grote schaal gekopieerd worden naar het ICT-systeem van VIP Live. Na invullen van de zorgdata door de niet huisarts zijnde zorgverleners kopieert men die gemuteerde databases terug richting huisartsdatabases. Huisartsen die, terecht, met dat kopiëren grote moeite hadden zwengelden het in 2018 aan bij de Autoriteit Persoonsgegevens(AP). Die gaf in 2019 een oordeel, waar nogal wat kanttekeningen bij te maken zijn.
Wat schreef de AP in 2019?
De AP liet op 29 april 2019 in enkele zinnen weten:
“De AP schrijft een gesprek te hebben gehad met Calculus Software B.V. en de zorggroep. Die informatie, vormt momenteel geen aanleiding om een onderzoek te starten”.
Als de huisartsen die de melding bij de AP zeggen die brief in een kluis te bewaren omdat ze denken gevrijwaard te zijn indien er ooit een rechts- of tuchtzaak van komt. Bijvoorbeeld als een patiënt die niet in ketenzorg is klaagt over het feit dat zijn zorgdata ook op een ander systeem staat.
Wat zegt Calculus?
Desgevraagd laat de leiding van Calculus over het kopiëren etc van de huisartsdatabases in het NRC-artikel?
“Moeten artsen dan toch niet de patiënten om instemming vragen of hen op zijn minst informeren? „Dat hoeft niet”, leest een antwoord van Calculus op de zorgen van de artsen uit die tijd. „U heeft het recht om de gegevens te (laten) verwerken voor uzelf, bijvoorbeeld voor kwaliteitscontrole, verantwoording en managementdoeleinden.”
Koude kermis
De huisartsen die de melding bij de AP deden komen echter van een koude kermis thuis als ze denken dat voormelde brief van de AP heb vrijwaart van juridische claims. De AP schrijft namelijk dat hun oordeel geen stempel van goedkeuring vormt. In het NRC-artikel staat:
“De AP, normaliter uiterst terughoudend in het bespreken van individuele gevallen, laat NRC weten dat uit onderzoek bleek dat de gegevens van de huisartsen niet met externen worden gedeeld en dat de data versleuteld worden opgeslagen: alleen de betrokken huisarts kan erbij. Dat de huisartsen lang op antwoord moesten wachten komt doordat de toezichthouder aan „vele andere zaken” werkte „met beperkte capaciteit”. In het schrijven kan overigens geen goedkeuring gelezen worden, want „een stempel van goedkeuring” geeft de AP nooit.”
Proportionaliteit
Als de AP naar dit soort constructies kijkt dient ze een aantal juridische te onderzoeken. Dat zijn de doelbinding, de noodzakelijkheid, de proportionaliteit(gaat het gebruikte middel niet te ver) en de subsidiariteit(kan het ook met minder ingrijpende middelen). Met name ten aanzien van de proportionaliteit heeft de AP een enorme steek laten vallen. Immers, het mee kopiëren van de zorgdata van hen die niet in ketenzorg zitten, is niet te billijken. Binnen de VIP Live omgeving gebeurt niets mee. Men kan dus niet stellen dat daar argumenten als kwaliteitscontrole, verantwoording of managementdoeleinden een rol spelen. Er is ook geen noodzaak om die data mee te nemen bij het kopiëren. In het kader van de subsidiariteit had het alleen delen van zorgdata van ketenzorgpatiënten mogelijk geweest.
Nietszeggend oordeel AP
Je kunt gerust stellen dat het “oordeel” van de privacy-toezichthouder totaal nietszeggend is en alleen voor intern gebruik. Het is vooral voor de patiënten die niet in ketenzorg zijn en voor hun huisartsen niets waard. Ze zeggen immers dat het geen reden is voor nader onderzoek. Een buitenstaander leest daar gemakkelijk een positief oordeel in, maar juridisch gezien is dat niet zo. De AP houdt er een slag om de arm mee. Het is zelfs zo dat de AP met deze formulering naderhand altijd nog een negatief besluit/oordeel kan geven en dan zijn handen in onschuld wassen. Het zal overigens niet de eerste keer zijn dat de AP een bocht van 180 graden maakt of moet maken. Ze deed dat zelfs twee maal in de kwestie met de HONOS-data die de Nederlandse Zorgautoriteit sinds 1 juli 2023 van GGZ-cliënten. Ook t.g.v. rechtszaken die de stichting KDVP aanspande moest de AP haar oordeel 180 graden draaien.
W.J. Jongejan, 20 juli 2023
Recente reacties