De Minister van VWS, de heer drs. J.F. Hoogervorst Postbus EJ DEN HAAG. mw. mr. V.C. Lucieer

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN De Minister van VWS, de heer drs. J.F. Hoogervorst Postbus EJ DEN HAAG DATUM 22 november 2004 mw. mr. V.C. Lucieer CONTACTPERSOON UW BRIEF VAN 25 oktober 2004 UW KENMERK IBE/I ONDERWERP Waarborgen rond invoering BSN in de zorg Geachte Minister, Op 26 oktober jongstleden ontving het College bescherming persoonsgegevens (CBP) de notitie Waarborgen BSN in de zorg van de werkgroep Sectorale Vertrouwensfunctie in de zorg. Deze werkgroep bestond uit vertegenwoordigers van NICTIZ, NPCF, ZN, CVZ, KNMP, CIBG, NEN en BZK/ICTU, onder voorzitterschap van VWS. De notitie geeft een uitwerking van de privacy aspecten waaraan moet worden voldaan bij invoering van het BurgerServiceNummer (BSN) in de zorg. In de brief die de Minister van BVK en u op 14 mei 2004 aan de Tweede Kamer hebben gestuurd wees u op het waarborgen van de vertrouwelijkheid van patiëntengegevens. Ook diende volgens u in de Wet gebruik BSN in de zorg te worden vastgelegd wie wanneer en waarvoor het nummer mag gebruiken. Daarnaast sprak u over waarborgen vanuit het oogpunt van regelgeving, techniek en infrastructuur, waarbij u een rol voor de zorgverzekeraars zag om de gedragscodes over het gebruik van persoonsgegevens te bezien en waar nodig aan te passen en uit te breiden. Zoals u reeds aankondigde in de brief van 14 mei jongstleden, verzocht u het CBP in uw brief van 25 oktober 2004 om advies uit te brengen over de notitie. Per brief van 24 september 2004 heeft het CBP de werkgroep een notitie gestuurd. Die notitie geeft het kader aan de hand waarvan het CBP de notitie Waarborgen BSN in de zorg zou gaan beoordelen. Dat kader bestaat uit zes punten, die als volgt samen te vatten zijn: 1. Gewaarborgd dient te zijn dat slechts de personen die overeenkomstig de WGBO en andere wetgeving toegang mogen hebben tot medische gegevens, daar toegang toe hebben; 2. Er dienen voldoende voorzieningen te zijn getroffen om te waarborgen dat nevengebruik van gegevens slechts plaatsvindt voor zover toegestaan; 3. Het dient wettelijk te zijn vastgelegd hoe gebruik gemaakt mag worden van het persoonsnummer. Hierbij is niet alleen van belang welke instanties het nummer mogen verwerken, maar ook waarvoor binnen die instanties het nummer gebruikt mag worden; 4. Er dienen voldoende maatregelen te zijn genomen om de juistheid van de gegevens te kunnen waarborgen. Hierbij kan ook gedacht worden aan het vaststellen van de juiste identiteit van patiënten; BIJLAGEN BLAD 1

2 5. Er dienen maatregelen te zijn getroffen voor controle en toezicht op de verwerking van het persoonsnummer in de zorg; 6. De verwerking van persoonsgegevens moet voor een ieder transparant zijn. Het CBP zal in dit advies ingaan op de invulling van deze voorwaarden. Zoals het CBP reeds aankondigde in de brief van 24 september 2004 heeft het CBP tevens gekeken naar de vraag of het reëel is dat de verschillende maatregelen op 1 januari 2006 zijn gerealiseerd. Er wordt in de notitie een aantal belangrijke maatregelen genoemd dat nog moet worden gerealiseerd, zoals het uitwerken van landelijke standaarden en adviezen voor autorisatie en logging, toezicht en het aanscherpen van de gedragsregels voor zorgverzekeraars. Het CBP is van oordeel dat alle in de notitie genoemde maatregelen in samenhang moeten worden bezien. Deze maatregelen dienen alle gereed te zijn voor invoering van het BSN in de zorg. Daarbij dient tevens rekening te worden gehouden met de implementatie van deze maatregelen. Het CBP heeft echter zijn bedenkingen bij de vraag of het reëel is ervan uit te gaan dat dit voor 1 januari 2006 in orde is. Als voorbeeld kan worden genoemd dat zorginstellingen geruime tijd nodig zullen hebben om aan de eisen die aan een Goed Beheerd Zorgsysteem (GBZ) worden gesteld en de nog uit te werken NEN-norm 7510 te kunnen voldoen. In dit licht is van belang dat de Inspectie voor de Gezondheidszorg (IGZ) in augustus 2004 een rapport heeft uitgebracht, getiteld ICT in ziekenhuizen. Beveiliging van informatie nog onvoldoende voor een betrouwbare papierloze patiëntenzorg. In dat rapport trok de IGZ de conclusie dat ziekenhuizen eind 2003, toen het onderzoek gedaan werd, nog onvoldoende aandacht schonken aan de risico s die de toepassing van ICT met zich meebrengt, waardoor gegevens verloren kunnen gaan of op de verkeerde plaats terecht kunnen komen. De IGZ heeft onder meer gekeken naar implementatie van de NEN-norm 7510 voor Informatiebeveiliging in de Zorg. Niet een van de 20 onderzochte ziekenhuizen had de norm al volledig geïmplementeerd in het beveiligingsbeleid, en slechts in een enkel geval was deze norm voor het ziekenhuis richtsnoer om de beveiliging vorm te gaan geven. Hoewel het CBP van oordeel is dat de notitie Waarborgen BSN in de zorg een stevige uitwerking bevat van de waarborgen die het CBP vereiste, heeft het CBP naast het feit dat het zijn bedenkingen heeft bij de realiseerbaarheid van de (implementatie van de) verschillende maatregelen voor 1 januari 2006 ook nog een aantal inhoudelijke opmerkingen over de notitie. Toegang tot de gegevens De toepassingen van het BSN in de zorg, zoals het elektronisch medicatiedossier en het elektronisch patiëntendossier, worden slechts zijdelings genoemd in de notitie. Het CBP is echter van oordeel dat in het kader van deze toepassingen pas goed kan worden bekeken of bijvoorbeeld de autorisaties goed geregeld zijn. Het CBP beveelt een test aan met een pilotapplicatie, die antwoord zal moeten geven op de vraag of de autorisaties en andere maatregelen werkbaar zijn, en verzoekt u de resultaten daarvan aan het CBP te doen toekomen. Doel gebruik BSN Het CBP is van oordeel dat de doelomschrijving in de wet sluitend dient te zijn. Het CBP kan zich dan ook niet verenigen met het feit dat artikel 3 lid 2 van de Concept Wet gebruik BSN in de zorg bepaalt dat bij of krachtens wet het doel van het gebruik van het BSN in de zorg kan worden BLAD 2

3 verruimd. Daar komt bij dat, mede omdat de discussie omtrent de Diagnose Behandeling Combinaties (DBC s) nog niet is beslecht, niet duidelijk is wat onder de in het kader van ( ) de verzekering van die zorg verwerkte persoonsgegevens (artikel 3 lid 1 Concept Wet gebruik BSN in de zorg) wordt verstaan. Naar het oordeel van het CBP dient maximaal te worden geïnvesteerd in de rol die zorgverzekeraars hebben in het nieuwe stelsel. Zoals het CBP heeft geschreven in de brief die het op 5 november jongstleden naar de Voorzitters van de vaste commissies voor VWS en SZW van de Tweede Kamer heeft gestuurd hebben verzekeraars het CBP al vaker laten weten niet blij te zijn met het feit dat er onduidelijke of zelfs geen regels worden gesteld over wat zij mogen doen met persoonsgegevens. Geen regels stellen leidt tot veel vragen bij de uitvoerende partijen. Het is dan ook van groot belang dat in de Wet gebruik BSN in de zorg duidelijk wordt gemaakt waarvoor verzekeraars het BSN wel en niet mogen gebruiken. Ook het aanscherpen van de gedragsregels voor zorgverzekeraars (momenteel neergelegd in het addendum bij de Gedragscode verwerking persoonsgegevens financiële instellingen) is noodzakelijk. In de nieuwe gedragsregels, die (overeenkomstig artikel 25 WBP) ter goedkeuring aan het CBP zullen worden voorgelegd, zullen regels worden opgenomen over het gebruik dat zorgverzekeraars mogen maken van de (medische) gegevens die zij ontvangen in het kader van het declaratieverkeer. Hoewel het CBP veel waarde toekent aan deze gedragsregels, is het van oordeel dat VWS er een onevenredig zwaar belang aan toekent. Ze worden gezien als belangrijkste waarborg tegen het voorkomen van onbedoeld nevengebruik en misbruik van gegevens door zorgverzekeraars. Ook in andere trajecten, zoals de invoering van de DBC s, kent VWS aan deze gedragsregels bijzonder veel waarde toe. Het CBP is dan ook van oordeel dat VWS in ieder geval duidelijker zal moeten maken aan welke voorwaarden deze gedragsregels zullen moeten voldoen. Artikel 3 lid 2 zal onder meer bedoeld zijn als schakel met de nieuwe Zorgverzekeringswet, die in het huidige voorstel het College voor Zorgverzekeringen (CVZ) de bevoegdheid geeft het sofinummer straks BSN te gebruiken in het kader van risicoverevening. Het CBP benadrukt nogmaals dat het in zijn advies over de nieuwe Zorgverzekeringswet heeft geconcludeerd dat dit niet in overeenstemming met de Wet bescherming persoonsgegevens (WBP) is. Hoewel de omschrijving waarvoor het BSN in de zorg mag worden gebruikt naar het oordeel van het CBP sluitend moet zijn, is er binnen die doelomschrijving wel de ruimte om bij ministeriële regeling activiteiten aan te wijzen waarvoor het BSN ook mag worden gebruikt (artikel 2 sub d van de Concept Wet gebruik BSN in de zorg). Juistheid van de gegevens Het CBP is van oordeel dat identificatie essentieel is bij invoering van een persoonsnummer in de zorg. Het doel van het BSN, waarborgen dat de in het kader van zorg en de verzekering van die zorg verwerkte persoonsgegevens op de betrokken cliënt betrekking hebben (artikel 3 lid 1 Concept Wet gebruik BSN in de zorg), is anders niet haalbaar. In het concept van de Wet gebruik BSN in de zorg staat dat een zorgaanbieder en zorgverzekeraar die voor de eerste maal een cliënt in zijn administratie opneemt de identiteit van de cliënt vast BLAD 3

4 moet stellen (artikel 4 lid 2). Door identificatie slechts bij het eerste bezoek verplicht te stellen zullen situaties, vergelijkbaar met het lenen van andermans verzekeringspasje, blijven bestaan. Daar komt bij dat de risico s bij identiteitsfraude in de zorg aanzienlijk zullen toenemen door invoering van het BSN en vervolgens het elektronisch medicatiedossier en het elektronisch patiëntendossier. Het nummer is de spil voor het betrouwbaar samenbrengen van medische gegevens van één patiënt die verspreid zijn opgeslagen bij verschillende zorgaanbieders, aldus de werkgroep (p.8). Het CBP is dan ook van oordeel dat de identificatieplicht in zorginstellingen, momenteel uitgewerkt in het wetsvoorstel Fraudebestrijding Zorgverzekeringswetten, dient te worden verscherpt (zie met name pagina 9 van TK , , nr.3, waar aan de ziekenhuizen veel vrijheid wordt toegekend bij uitvoering van de identificatieplicht in de praktijk). Het CBP meent dat daarbij een onderscheid zal moeten worden gemaakt tussen de situatie waarin het gaat om toegankelijkheid tot noodzakelijke zij het mogelijk niet steeds spoedeisende gezondheidszorg, en andere hulpvragen. In de noodzakelijke toegankelijkheid van de zorg dient immers te zijn voorzien. In dit kader verwijst het CBP u naar zijn advies (d.d. 25 augustus 2003) met betrekking tot het wetsvoorstel Fraudebestrijding Zorgverzekeringswetten. Sluitende controle aan de poort is overigens des te meer van belang gezien het feit dat een instelling die gegevens van een andere zorgaanbieder of zorgverzekeraar ontvangt het BSN niet hoeft te controleren. Toezicht Elke keer dat een hulpverlener zich via elektronische weg de toegang verschaft tot bepaalde patiëntengegevens zal dit automatisch worden gelogd. De notitie maakt echter niet duidelijk hoe de controle op de logging plaats zal moeten vinden. Ook naleving van de gedragsregels omtrent het verwerken van persoonsgegevens door verzekeraars zal moeten worden getoetst. Het is niet realistisch om te veronderstellen dat op bovenstaande onderdelen afdoende kan worden gecontroleerd door de verschillende toezichthouders die volgens de notitie toezicht uit zullen gaan oefenen op het gebruik van het BSN in de zorg. Het toezicht zal bijvoorbeeld plaats kunnen vinden door het afleggen van een bestuursverklaring en periodieke controle door een externe auditor verplicht te stellen. Toezicht op het gebruik van het BSN en de aard van de gegevens die worden uitgewisseld zal plaatsvinden door de in de notitie genoemde toezichthouders. Naast deze toezichthouders zal de Autoriteit Financiële Markten (AFM) echter ook een rol hebben waar het toezicht op het gebruik van persoonsgegevens van cliënten van financiële conglomeraten betreft. In beginsel kan het CBP, onder de in deze brief genoemde voorwaarden, akkoord gaan met invoering van het BSN in de zorg. Het CBP heeft de Concept Wet gebruik BSN in de zorg, die onderdeel van de notitie uitmaakt, overigens alleen bekeken voor zover noodzakelijk om de notitie te kunnen beoordelen. Het CBP BLAD 4

5 verwacht nog om advies te worden gevraagd met betrekking tot de Wet gebruik BSN in de zorg, alvorens deze zal worden voorgelegd aan de Raad van State. Het CBP stuurt een afschrift van deze brief naar de Voorzitter van de vaste commissie voor VWS van de Tweede Kamer. Het CBP vertrouwt erop u hiermee van dienst te zijn. Hoogachtend, mr. U. van de Pol Collegelid BLAD 5