Minister van Volksgezondheid, Welzijn en Sport. Wijziging Ziekenfondswet en AWBZ

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN Minister van Volksgezondheid, Welzijn en Sport DATUM 10 februari 2004 CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Wijziging Ziekenfondswet en AWBZ U heeft het College bescherming persoonsgegevens (CBP), gelet op artikel 51 lid 2 Wet bescherming persoonsgegevens (WBP), om advies gevraagd ten aanzien van het wetsvoorstel Wijziging Ziekenfondswet (ZFW) en de Algemene Wet Bijzondere Ziektekosten (AWBZ) ter verduidelijking van de grondslag voor verstrekking van persoonsgegevens ten behoeve van de uitvoering van die wetten. Het CBP voldoet hierbij aan dit verzoek. Achtergrond De voornaamste aanleiding voor het wetsvoorstel is de invoering van een nieuw bekostigingssysteem in de gezondheidszorg, de diagnose behandeling combinatie (DBC) systematiek. Dit nieuwe bekostigingssyteem moet leiden tot een marktconforme prijsontwikkeling waarbij onderhandelingen plaats zullen vinden tussen zorginstellingen en zorgverzekeraars. De bedoeling is om per 1 juli 2004 het eerste deel (segment B) van de DBC s vrij te geven voor prijsafspraken tussen marktpartijen. Een DBC bevat veel gedetailleerde (medische) informatie. Een DBC wordt aangeduid met een code, die bestaat uit diverse subcodes. Die subcodes betreffen het specialisme, de diagnose, het zorgtype (zorgproces), soms de zorgvraag, en de behandeling. In totaal zijn ongeveer verschillende DBC s mogelijk. Bij het ontwerp van het DBC-stelsel zijn verschillende doelen beoogd waarvoor ziekenfondsen DBC s, die aan hun verzekerden zijn geleverd, kunnen ontvangen. Deze doelen zijn formele controle en betaling; inkoop; verstrekkingenbudgettering en materiële controle en fraudebestrijding. Hierbij is echter onvoldoende rekening gehouden met de juridische grenzen van onder andere de WBP en het medisch beroepsgeheim. In het verleden heeft het CBP bij brieven van 25 februari 2002, 31 maart 2003 en 4 juni 2003 zijn standpunten ten aanzien van de invoering van de DBC-systematiek kenbaar gemaakt. In de brieven heeft het CBP aangegeven dat er voor de invoering van de DBC-systematiek geen toereikende juridische grondslag aanwezig was. Daarbij heeft het CBP benadrukt dat inzichtelijk moet worden gemaakt welke persoonsgegevens noodzakelijkerwijs door ziekenhuizen aan zorgverzekeraars zouden moeten worden verstrekt om de verschillende doelen te realiseren die met de invoering van de DBC-systematiek worden nagestreefd. Als dat duidelijk is, zou de juridische verankering (het voornaamste doel van het onderhavige wetsvoorstel) van het DBCstelsel daarop kunnen aansluiten. Dit wetgevingsadvies is te downloaden vanaf: BIJLAGEN BLAD 1

2 Een tweede aanleiding voor het wetsvoorstel is de intensivering van het fraudebeleid van zorgverzekeraars. Van de gelegenheid is ook gebruik gemaakt om de AWBZ te voorzien van een expliciete basis voor verwerking van persoonsgegevens. Het CBP zal hier op het eind van het advies nog specifiek op ingaan, waarbij overigens geldt dat de opmerkingen over de voorstellen voor de ZFW, in beginsel evenzeer betrekking hebben op de AWBZ. Inhoud van het wetsvoorstel Het voorstel betreft zowel de ZFW als de AWBZ. In artikel 73a lid 1 en 2 ZFW wordt bepaald dat zorgaanbieders verplicht zijn persoonsgegevens, waaronder persoonsgegevens betreffende iemands gezondheid, die noodzakelijk zijn voor het uitvoeren van de wet (ZFW), aan het ziekenfonds, dan wel aan het door de minister aan te wijzen informatie en onderhoudsorgaan te verstrekken. Op grond van artikel 73a lid 3 ZFW zijn personen die werkzaam zijn ten behoeve van een zorginstelling, verplicht die instelling de gegevens te verstrekken die nodig zijn voor het voldoen aan de verplichting van lid 1 en 2. Op grond van artikel 73 a lid4 ZFW kan bij ministeriële regeling worden bepaald (onder andere) tot welke gegevens de verplichtingen zich in ieder geval uitstrekken. In het voorstel voor artikel 55 AWBZ zijn vergelijkbare bepalingen opgenomen, met als onderscheid dat de verstrekking van persoonsgegevens die noodzakelijk zijn voor het uitvoeren van de AWBZ plaatsvindt tussen zorgaanbieders, uitvoeringsorganen (zorgkantoren) en indicatieorganen. Toetsingskader Het CBP richt zich bij zijn toetsing met name op de gevolgen van het wetsvoorstel voor de bescherming van persoonsgegevens. Vanuit deze invalshoek bezien dient het wetsvoorstel te voldoen aan artikel 8 EVRM (Europees verdrag voor de rechten van de mens) alsmede aan de WBP welke uitvoering geeft aan Richtlijn 95/46/EG, maar in het bijzonder ook aan de geheimhoudingsverplichting van de WGBO (Wet op de geneeskundige behandelingsovereenkomst): artikel 7: 457 BW. Deze geheimhoudingsverplichting kan op een aantal gronden worden doorbroken, waaronder toestemming van de patiënt of een conflict van plichten. In dit kader is het relevant dat de geheimhoudingsverplichting ook kan worden doorbroken op grond van een wettelijke verplichting, die zal moeten voldoen aan artikel 8 EVRM. Hieruit volgt onder andere dat de beperking op het recht van eerbiediging van de persoonlijke levenssfeer slechts kan worden gerechtvaardigd door een pressing social need en in concreto in overeenstemming moet zijn met de beginselen van proportionaliteit en subsidiariteit. Dit vereist inzicht in de aard en omvang van te verstrekken gegevens, die dus voldoende specifiek moeten worden aangegeven. Een algemene machtiging voor het verstrekken van gegevens is in dit kader niet voldoende. Indien voldoende inzicht wordt gegeven in de aard en omvang van de te verstrekken gegevens en de gegevensverstrekking daarmee in concreto kan worden gebaseerd op de voorgestelde wetsartikelen, is in zoverre tevens voorzien in een invulling van de WBP. Artikel 21 jo. artikel 9 BLAD 2

3 lid 4 WBP bepaalt dat een zorgverzekeraar alleen (medische) persoonsgegevens mag verwerken die noodzakelijk zijn voor het uitvoeren van zijn taak, tenzij verstrekking van die persoonsgegevens door de zorgverlener achterwege moet blijven vanwege diens beroepsgeheim. Artikel 21 lid 2 WBP begrenst overigens het verdere gebruik door zorgverzekeraars van medische persoonsgegevens tot dat wat noodzakelijk (in de zin van artikel 21 lid 1 WBP) of wettelijk verplicht is. Noodzakelijkheid Het voornaamste doel van het wetsvoorstel is om een heldere wettelijke grondslag te creëren op basis waarvan zorgverleners gegevens, waarop het medisch beroepsgeheim van toepassing is, kunnen verstrekken aan een zorgverzekeraar. Uit artikel 8 EVRM volgt dat deze wettelijke grondslag voldoende specifiek moet zijn om een doorbreking van het beroepsgeheim te kunnen rechtvaardigen. De formulering dat gegevens die noodzakelijk zijn voor uitvoering van deze wet moeten worden verstrekt is op zich niet voldoende specifiek. Het criterium noodzakelijk zal daarvoor verder moeten worden ingevuld. De criteria die bepalen of een persoonsgegeven noodzakelijk is alsmede een lijst van persoonsgegevens die aan deze criteria voldoen moeten worden neergelegd in een onderliggende regeling. Een dergelijke constructie biedt enerzijds de noodzakelijke duidelijkheid over de toegestane verwerking van medische persoonsgegevens en maakt anderzijds tussentijdse aanpassingen van de DBC-systematiek mogelijk. Het CBP beveelt dan ook aan om de in artikel 73a lid 4 ZFW omschreven ministeriële regeling als verplichting op te nemen. DBC s In het kader van de DBC s heeft de uitwerking van het noodzakelijkheidcriterium geleid tot een toetsingskader (het raamwerk ). Het raamwerk is opgesteld door een werkgroep waarbij het CBP als adviseur was betrokken. In het raamwerk zijn concrete criteria omschreven die aangeven wanneer sprake is van een noodzaak voor een verzekeraar om een specifieke DBC betreffende een bepaalde verzekerde te verkrijgen. In het raamwerk zijn ook contra-indicaties opgenomen, die aangeven in welke gevallen het niet noodzakelijk is voor een zorgverzekeraar om over individuele DBC s te beschikken. Bij het opstellen van de criteria is gekeken naar de verschillende doelen waarvoor een ziekenfonds informatie over DBC s mag ontvangen. Niet in alle gevallen is het noodzakelijk dat een ziekenfonds aan een individuele verzekerde gekoppelde DBC-informatie ontvangt. Zo zal bijvoorbeeld managementinformatie ten behoeve van zorginkoop of fraudebestrijding door de zorgverzekeraar met niet tot de persoon herleidbare gegevens moeten worden gerealiseerd. Deze informatie zal worden geleverd door het informatie- en onderhoudsorgaan. Voor betaling van gerealiseerde zorg door zorgverzekeraars zal vaak met een beperkte set persoonsgegevens kunnen worden volstaan. BLAD 3

4 Het raamwerk is een dynamisch systeem dat onderhouden dient te worden. Aan de hand van het raamwerk kan periodiek een lijst van DBC s worden samengesteld waarvan het noodzakelijk is dat de zorgverlener die bij zijn declaratie aan de verzekeraar vermeldt. Bij de overige DBC s is die noodzakelijkheid niet aanwezig en deze kunnen worden gedeclareerd via een DBC-clustercode (deze bevat minder specifieke informatie over de verzekerde), of op een nader te bepalen wijze waarbij voldoende rekening is gehouden met privacyaspecten. Het CBP geeft u in overweging om in de genoemde ministeriële regeling niet alleen een lijst met DBC s op te nemen, maar ook het raamwerk (het toetsingskader). Evaluatie criteria en vergroving van informatie De criteria van het raamwerk kunnen in de loop der tijd verschuiven; er zijn immers vele veranderende factoren die hun uitwerking hebben op de noodzakelijkheid van bepaalde persoonsgegevens. Hierbij wijst het CBP op het proces om de betrouwbaarheid van de informatiestroom uit de ziekenhuizen te verbeteren door scherpere interne controle en bestuursverklaringen van de ziekenhuizen. Daardoor zal de controlenoodzaak voor zorgverzekeraars verminderen. Zoals al eerder aangegeven, is het voor een verzekeraar niet voor alle doelen die met DBC s worden beoogd noodzakelijk om persoonsgebonden informatie te ontvangen, bijvoorbeeld voor statistische analyse van fraude, zorginkoop, of budgettering. De mogelijkheid dat informatie wordt verzameld door een informatie- en onderhoudsorgaan of een TTP (Trusted Third Party) en geanonimiseerd (of ontdaan van bepaalde gevoelige informatie) wordt doorgegeven aan verzekeraars, verdient ook in de toekomst aandacht als optie voor het oplossen van mogelijke privacyknelpunten. Het CBP wijst in dit kader ook op betere controle aan de poort, wat inhoudt dat de zorgverleners zelf controles uitvoeren bij het in behandeling nemen van een patiënt. Dit kan bijvoorbeeld een controle zijn van de verzekeringsaanspraken. Zo zal de noodzaak van een deel van de controle door de zorgverzekeraar - en de bijbehorende informatiestroom - wegvallen. Met inachtneming van bovengenoemde ontwikkelingen zou, naar het oordeel van het CBP, de evaluatie van het stelsel op den duur moeten leiden tot een vergroving van de informatie in een DBC die aan een verzekeraar wordt verstrekt. Met vergroving wordt bedoeld dat een DBC minder gedetailleerde informatie bevat dan nu het geval is. Het aantal verschillende DBC s neemt dan af. Hierdoor vermindert de privacygevoeligheid van het DBC-stelsel. Controle en fraude Het blijkt dat zorgverzekeraars in de praktijk een verschillende aanpak hebben van (fraude)controle en dit leidt tot verschillende interpretaties, ook bij zorgverleners, van het begrip noodzakelijk in het kader van de controletaak van de verzekeraar. Het CBP merkt op dat de controle en fraudebestrijding door de zorgverzekeraars verschillende niveaus kent (van interpretatie van anonieme statistische informatie tot en met het - veel ingrijpender - inzien van BLAD 4

5 individuele medische dossiers). Het CBP dringt daarom aan op het ontwikkelen van een helder richtsnoer door de brancheorganisaties teneinde uniformiteit in de uitvoering van de controle te realiseren. Dit richtsnoer, waarin het noodzakelijkheidscriterium uitgewerkt dient te worden in het licht van controle en fraudebestrijding, kan als annex worden opgenomen bij de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (banken en verzekeraars), in het kader van de uitbreiding van die gedragscode met bepalingen over de omgang met medische gegevens door zorgverzekeraars. Particulier verzekerden Afgezien van het deel over de AWBZ, heeft het wetsvoorstel alleen betrekking op ziekenfondsverzekerden. De geschetste problematiek ten aanzien van het beroepsgeheim geldt echter evengoed voor particulier verzekerden. Het CBP nodigt het ministerie van VWS daarom uit om voor deze groep met een vergelijkbare regeling te komen. AWBZ Voor verstrekkingen van persoonsgegevens tussen uitvoeringsorganen (zorgkantoren), indicatieorganen en zorgverleners in het kader van de uitvoering van de AWBZ geldt, evenals voor verwerkingen in het kader van de ZFW, dat de noodzakelijkheid van de verstrekking onderbouwd dient te worden. In dit kader wijst het CBP op de AWBZ-brede zorgregistratie (AZR), waarover tussen het CBP en VWS de afgelopen tijd overleg is gevoerd. In het systeem van de AZR worden in bepaalde fasen van de zorgverlening elektronische berichten verzonden tussen de partijen die betrokken zijn bij de zorg. Deze berichten mogen alleen persoonsgegevens bevatten die noodzakelijk zijn voor het uitvoeren van de taken van de betrokken partijen in het kader van de AWBZ. De inhoud van de berichten wordt voorgeschreven in berichtenstandaarden, waarover het CBP in een brief van 18 december 2003 aan uw ministerie heeft geadviseerd. Het CBP gaat er vanuit dat berichtenstandaarden AZR in de ministeriële regelingen worden opgenomen. Het CBP dringt er op aan dat daarbij ook een duidelijke doelomschrijving van elk bericht wordt gegeven, waaruit de noodzakelijkheid van de gegevens in de berichtenstandaard kan worden afgeleid. Conclusie Het CBP kan zich verenigen met de voorgestelde globale wettelijke grondslagen voor verstrekking van persoonsgegevens, mits deze nader worden gespecificeerd in onderliggende regelingen. Het CBP adviseert u om de verschillende scenario s die in de memorie van toelichting zijn beschreven terug te brengen tot de optie waarvoor uiteindelijk is gekozen (uitwerking en toepassing van het privacyraamwerk) en de uitwerking van de DBC-systematiek in het licht van het voorgaande voort te zetten en te onderhouden, zowel voor wat betreft de criteria die het verstrekken van individuele DBC s noodzakelijk maken als voor wat betreft de inhoud van DBC s zelf. Hoogachtend, mr. U. van de Pol, Collegelid BLAD 5