de leden van de Vaste Commissie voor VWS van de Tweede Kamer der Staten-Generaal Postbus EA DEN HAAG mw. mr. V.C. Lucieer

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN de leden van de Vaste Commissie voor VWS van de Tweede Kamer der Staten-Generaal Postbus EA DEN HAAG DATUM 20 januari 2006 ONS KENMERK z mw. mr. V.C. Lucieer CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Wetsvoorstel gebruik Burgerservicenummer in de zorg (30380) Geachte leden, Het College bescherming persoonsgegevens (CBP) heeft kennis genomen van het wetsvoorstel gebruik Burgerservicenummer in de zorg (WGBZ). Zoals het CBP u ook in het kader van het wetsvoorstel algemene bepalingen burgerservicenummer (Wabb, 30312) heeft laten weten (brieven van 25 oktober en 14 november jongstleden), erkent het CBP dat een algemeen registratienummer van burgers met het oog op een slagvaardiger overheid en het verminderen van administratieve lasten voordelen heeft. Evenals de Wabb schiet ook het onderhavige wetsvoorstel echter tekort waar het gaat om de beperking van de risico s die evident zijn verbonden aan invoering en gebruik van een dergelijk nummer. De invoering van het BSN in de zorg valt of staat met het houden van adequaat toezicht. Daarnaast moet ook het risico van vervuiling van patiëntendossiers 1, met gevaar voor de gezondheid van de betrokkenen, niet worden onderschat. De zorgen van het CBP met betrekking tot het onderhavige wetsvoorstel zijn als volgt samen te vatten: Toezicht De goede invoering van het BSN in de zorg valt of staat met het houden van adequaat toezicht. Het wetsvoorstel verwacht veel van de gebruikers van het BSN. Alle eisen die het wetsvoorstel oplegt aan de gebruikers tezamen zorgen, indien deze worden nageleefd, voor een sluitend stelsel. Toezicht zal moeten bewerkstelligen dat de gebruikers hier ook inderdaad aan zullen voldoen De Minister van VWS heeft steeds toegezegd, en ook met dit wetsvoorstel beoogd, het toezicht op het gebruik van het BSN door ziektekostenverzekeraars en indicatieorganen primair bij het College Toezicht Zorgverzekeringen (CTZ, straks de Nederlandse Zorgautoriteit NZa), en het toezicht op het gebruik van het BSN door zorgaanbieders primair bij de Inspectie voor de 1 Een vrouw die volgens haar medisch dossier twee keer in korte tijd is bevallen; een man die plots geen litteken meer heeft van een forse operatie (TK , 29623, nr.3, p.2). 2 Ter illustratie: momenteel vragen veel huisartsen bij hun patiënten het sofi-nummer op, dat straks als BSN zal worden gebruikt. Niet alleen is het wettelijk niet toegestaan aan huisartsen (met uitzondering van de koplopers ) om het sofi-nummer te verwerken: één van de belangrijkste waarborgen van dit wetsvoorstel, dat het nummerregister moet worden geraadpleegd om het juiste nummer aan iemands identiteit te kunnen koppelen, wordt daarmee teniet gedaan! BIJLAGEN 2 BLAD 1

2 DATUM 20 januari 2006 ONS KENMERK z Gezondheidszorg te beleggen. 3 Het wetsvoorstel is op dit punt echter onvoldoende duidelijk. Nu reeds blijkt dat het CTZ voor zichzelf (en de NZa) slechts een signalerende rol ziet. Het CBP verzoekt derhalve om opname van een duidelijke bepaling over toezicht in het wetsvoorstel, overeenkomstig de eerdere toezeggingen van de Minister. 2. Met name in de overgangstermijn tussen inwerkingtreding van het wetsvoorstel en het moment waarop alle gebruikers het BSN zullen moeten gebruiken 4 zullen het CTZ/de NZa en de IGZ veel controles moeten uitvoeren. Voorkomen moet immers worden dat organisaties het BSN gaan gebruiken vóór zij zijn aangesloten op alle voorzieningen en onder meer de mogelijkheid hebben het BSN te verifiëren. De Minister van VWS heeft toegezegd met het CTZ en de IGZ afspraken te maken over de invulling van het toezicht. 5 Kan de Minister garanderen dat het CTZ (straks: de NZa) en de IGZ, als primair toezichthouder op dit terrein, voldoende invulling zullen geven aan het uitoefenen van toezicht op het gebruik van het BSN in de zorg (met name in deze overgangstermijn)? 3. Bij het gebruik van het BSN in de zorg gaat het om zeer veel handelingen per dag. Om hier effectief toezicht op te kunnen houden zijn aanvullende maatregelen nodig. Het CTZ/de NZa en de IGZ zullen de middelen moeten hebben om bijvoorbeeld het afleggen van bestuursverklaringen en controle door externe auditors verplicht te stellen. Is de Minister van oordeel dat de NZa en de IGZ voldoende middelen hebben om het toezicht adequaat vorm te geven? Lagere regelgeving Het wetsvoorstel bevat op een aantal cruciale onderdelen een slechts facultatieve grondslag voor het stellen van nadere regels, onder meer op grond van de artikelen 10 (beveiligingseisen) en 11 (registratie van cliënten van wie geen BSN of identiteit kan worden vastgesteld). Daarnaast zal een AMvB op grond van artikel 17 van het wetsvoorstel nadere regels moeten stellen met betrekking tot de overgangstermijn (zie ook onder 2). Deze regelingen zullen belangrijke waarborgen moeten bevatten met betrekking tot het gebruik van het BSN in de zorg. 4. In de praktijk zullen zich situaties kunnen voordoen waarin een cliënt zich meldt, die geen burgerservicenummer heeft of waarvan het burgerservicenummer danwel de identiteit niet kan worden vastgesteld. ( ) Omtrent de wijze waarop cliënten in dergelijke situaties geregistreerd worden, kunnen regels worden gesteld. 6 Voorkomen moet worden dat de gegevens van een persoon wiens BSN of identiteit niet kan worden vastgesteld, worden verstrekt aan andere organisaties zonder dat duidelijk is dat geen identificatie, dan wel verificatie van het verstrekte BSN, heeft plaatsgevonden. Voortborduren op mogelijkerwijs foutieve gegevens zou de kans op identiteitsfraude, en de risico s van vervuiling van 3 Zie onder meer TK , 30380, nr.3, p.30 ( 2.6). Zie verder bijlage 1. 4 Zie ook Lagere regelgeving ; de overgangstermijn zal nader moeten worden ingevuld met behulp van een AMvB op grond van artikel 17 van het wetsvoorstel. 5 TK , 30380, nr.3, p TK , 30380, nr.3, p.29 ( 2.5). BLAD 2

3 DATUM 20 januari 2006 ONS KENMERK z patiëntendossiers, in de hand werken. Derhalve zullen bij voorkeur in het wetsvoorstel, maar eventueel bij AmvB (zie artikel 11 wetsvoorstel) regels moeten worden gesteld over de registratie van cliënten in een dergelijke situatie. 5. Het BSN wordt ingevoerd als hulpmiddel bij allerlei processen. Geen aandacht besteden aan deze processen doet tekort aan de problematiek rond invoering van het BSN in de zorg. Ook de Minister van VWS heeft dit verband gelegd en in het wetsvoorstel de mogelijkheid opgenomen bij ministeriële regeling beveiligingseisen te stellen aan het gebruik van het BSN door zorgaanbieders. Invoering van het BSN in de zorg maakt het (onrechtmatig) opvragen en koppelen van medische gegevens namelijk veel eenvoudiger. 7 Van de mogelijkheid beveiligingseisen te stellen kan gebruik worden gemaakt indien zou blijken dat er in de zorgsector onvoldoende maatregelen getroffen worden ter bescherming van persoonsgegevens 8, aldus de Minister. Recent onderzoek van Karin Spaink, een journaliste van het Parool, heeft reeds aangetoond dát de beveiliging van elektronische patiëntendossiers erg slecht is. 9 Naar aanleiding hiervan heeft de Minister aan de Tweede Kamer toegezegd een Wet op het Elektronisch Patiëntendossier (Wet op het EPD) voor te bereiden. 10 Deze wet is echter nog slechts in voorbereiding. Een ministeriële regeling op grond van artikel 10 van het wetsvoorstel is derhalve noodzakelijk. Daarin zullen onder meer logging 11 en naleving van NEN 7510 verplicht moeten worden gesteld. Het CBP is van oordeel dat de regelingen op grond van artikel 10, 11 en 17 van het wetsvoorstel er moeten komen. Ook zal het CBP om advies moeten worden gevraagd over tenminste de betreffende AMvB s 12 en (hoewel de Minister hiertoe niet wettelijk is verplicht) bij voorkeur tevens over de ministeriële regeling bij artikel 11 van het wetsvoorstel. Het is van groot belang dat deze regelingen gelijktijdig met het onderhavige wetsvoorstel in werking treden. Dat neemt niet weg dat het CBP, evenals de KNMG en de NPCF, 13 aandringt op voorhangprocedures ter behandeling van deze regelingen opdat zij onderwerp zijn van debat in de Tweede Kamer. 7 Vast staat immers dat persoonsnummers de koppeling van verschillende bestanden aanzienlijk vergemakkelijken en daarmee een extra bedreiging voor de persoonlijke levenssfeer vormen. (TK , , nr.3, p.128). 8 TK , 30380, nr.3, p Zie de vragen van de Tweede Kamer over dit onderzoek van Karin Spaink: TK, Handelingen , nr. 102, pag en Kamervragen , vraagnr Zie onder meer TK , , nr Logging: standaard vastleggen wie, wanneer, wat heeft geraadpleegd en/of uitgewisseld met behulp van geautomatiseerde systemen, ter controle achteraf. Verplichte logging maakt het onder meer mogelijk voor de toezichthouders om achteraf te kunnen beoordelen of het BSN inderdaad pas wordt gebruikt nadat verificatie heeft plaatsgevonden. 12 Op grond van artikel 51 lid 2 van de Wet bescherming persoonsgegevens. 13 Zie de brieven van de KNMG (kenmerk LMA/ ) en de NPCF (kenmerk /DSB/ /ADi/mm) aan de Vaste Commissie van VWS van de Tweede Kamer d.d. 19 januari BLAD 3

4 DATUM 20 januari 2006 ONS KENMERK z Vervuiling van patiëntendossiers 6. De vervuiling van patiëntendossiers is een groot risico bij invoering van het BSN in de zorg en levert gevaar op voor de gezondheid van betrokkenen. Eén van de oorzaken daarvan is identiteitsfraude. Dit probleem is bijvoorbeeld op te lossen door de identificatieplicht bij zorginstellingen aan te scherpen (en identificatie bij ieder bezoek verplicht te stellen), maar ook kan worden gedacht aan het verplicht inscannen van het identiteitsbewijs bij het eerste bezoek aan de instelling of ponskaartjes met een pasfoto. Gebruik sofi-nummer 7. Bij het ontbreken van een BSN (bijvoorbeeld bij grensarbeiders) moet het sofi-nummer worden verwerkt door zorgverzekeraars en indicatieorganen, ook bij de gegevensuitwisseling met onder meer zorgaanbieders. Het sociaal-fiscaal nummer is (echter) niet met de waarborgen omgeven die vereist zijn voor het gebruik bij het verwerken van medische persoonsgegevens in het kader van de verlening van zorg, aldus de Minister. Verificatie van het sofi-nummer is bijvoorbeeld niet mogelijk (noch het wettelijk kader, noch het beheer van het Register Niet Ingezetenen (RNI; ruim 1 miljoen personen) is rond). Het CBP verzoekt derhalve de term zorgaanbieders te schrappen uit artikel 21 sub F lid 5 van het wetsvoorstel. Hoe waarborgt de Minister anders dat het sofi-nummer niet gebruikt wordt in het kader van de verlening van zorg (o.a. in het elektronisch patiëntendossier), wanneer het wel gebruikt dient te worden voor de gegevensuitwisseling tussen zorgverzekeraars en zorgaanbieders? Eén landelijk identificerend nummer in de zorg is noodzakelijk voor een goed functioneren van het toekomstige landelijk elektronisch patiëntendossier. Niet onderschat moet echter worden dat een dergelijk nummer wel een extra bedreiging voor de persoonlijke levenssfeer vormt 14 en derhalve met voldoende waarborgen dient te zijn omgeven. De onderwerpen die in de bovengenoemde punten aan de orde zijn gesteld dienen naar het oordeel van het CBP vóór invoering van het BSN in de zorg te worden geregeld, in het belang van de burger, de bescherming van diens persoonsgegevens en de maatschappelijke aanvaardbaarheid van de invoering van het BSN in de zorg. Het CBP wil hierover desgewenst gaarne met u van gedachten wisselen en is ook overigens uiteraard tot iedere nadere toelichting bereid. Hoogachtend, mw. mr. dr. J. Beuving Collegelid 14 Zie ook voetnoot 7: Vast staat immers dat persoonsnummers de koppeling van verschillende bestanden aanzienlijk vergemakkelijken en daarmee een extra bedreigen voor de persoonlijke levenssfeer vormen. (TK , , nr.3, p.128). BLAD 4

5 DATUM 20 januari 2006 ONS KENMERK z Deze brief wordt in afschrift gestuurd aan: - de Minister van VWS - de Minister van BVK Bijlagen: 1. Toelichting op de brief 2. Relevante passages uit kamerstukken over het BSN BLAD 5

6 Bijlage 1 bij de brief van het CBP aan de Vaste Commissies voor VWS, BZK en SZW over het wetsvoorstel gebruik BSN in de zorg (30380) d.d. 20 januari 2006: Toelichting op de brief TOEZICHT Ter illustratie: momenteel vragen veel huisartsen bij hun patiënten het sofi-nummer op, dat straks als BSN zal worden gebruikt. Niet alleen is het wettelijk niet toegestaan aan huisartsen (m.u.v. de koplopers, zie Besluit gebruik sofi-nummer experimenten informatietechnologie zorg) om het sofi-nummer te verwerken: één van de belangrijkste waarborgen van dit wetsvoorstel, dat het nummerregister moet worden geraadpleegd om het juiste nummer aan iemands identiteit te kunnen koppelen, wordt daarmee teniet gedaan! Alle eisen die het wetsvoorstel oplegt aan de gebruikers tezamen zorgen, indien deze worden nageleefd, voor een sluitend stelsel. Het doel van dit wetsvoorstel, te waarborgen dat verwerkte persoonsgegevens betrekking hebben op de juiste persoon (artikel 4), kan slechts worden gerealiseerd wanneer álle wettelijke eisen worden nageleefd. 1. Duidelijke bepaling over primair toezicht op naleving van het wetsvoorstel door CTZ/NZa en IGZ De Minister heeft met dit wetsvoorstel beoogd het toezicht op het gebruik van het BSN in de zorg primair bij het CTZ/de NZa en de IGZ te beleggen. Het wetsvoorstel is op dit punt echter onvoldoende duidelijk. Dit blijkt ook uit de brief van CTZ en CTG- ZAio aan het CBP en het Ministerie van VWS d.d. 12 januari Daarin schrijven deze partijen dat zij tot de conclusie komen dat het CBP primair toezichthouder is en de NZa slechts een signalerende rol heeft ten aanzien van de verwerking van persoonsgegevens. Het wetsvoorstel dient derhalve te worden verduidelijkt door middel van het opnemen van een duidelijke toezichtbepaling waarin het CTZ (straks: de NZa) en de IGZ worden aangewezen als (primair) toezichthouder op het gebruik van het BSN in de zorg. Niet alleen heeft de Minister beoogd met dit wetsvoorstel het toezicht primair bij CTZ/de NZa en IGZ te beleggen, dit komt ook overeen met de afspraken die de Minister hierover heeft gemaakt met het CBP en met zijn correspondentie met de Tweede Kamer. Het CBP vreest dat er een gat ontstaat in het toezicht. Indien het CTZ/de NZa en de IGZ onvoldoende inhoud zullen geven aan het toezicht op naleving van dit wetsvoorstel, komt het toezicht in de praktijk bij het CBP terecht. Vanwege de omvang van dit toezicht is het CBP echter niet in staat als primair toezichthouder de naleving van dit wetsvoorstel te controleren. Dit wetsvoorstel staat of valt met het houden van goed en actief toezicht. BLAD 6

7 2. Het toezicht moet actief worden uitgeoefend door CTZ/NZa en IGZ, met name in de overgangsperiode Nogmaals: dit wetsvoorstel valt of staat met het houden van adequaat toezicht. Het wetsvoorstel verwacht veel van de gebruikers van het BSN. Alle eisen die het wetsvoorstel oplegt aan de gebruikers tezamen zorgen, indien deze worden nageleefd, voor een sluitend stelsel. Toezicht is derhalve niet slechts een formaliteit: toezicht zal moeten bewerkstelligen dat de gebruikers hier ook inderdaad aan zullen voldoen. Het toezicht op naleving van dit wetsvoorstel zal omvangrijk zijn. Het CTZ/de NZa en met name de IGZ zullen, als primair en dus eerstverantwoordelijk toezichthouder, veel controles moeten uitvoeren. Met name in de overgangsperiode tussen inwerkingtreding van het wetsvoorstel en het moment waarop alle instanties het BSN moeten gebruiken, zal adequaat moeten worden toegezien op naleving van de wettelijke waarborgen. Voorkomen moet immers worden dat organisaties het BSN gaan gebruiken vóór zij zijn aangesloten op alle voorzieningen en onder meer de mogelijkheid hebben het BSN te verifiëren. 3. Het CTZ/de NZa moeten voldoende middelen hebben om het toezicht adequaat vorm te geven. Effectief toezicht op naleving van dit wetsvoorstel is zonder aanvullende maatregelen, zoals de mogelijkheid om het opstellen van een bestuursverklaring of controle door een externe auditor verplicht te stellen, nagenoeg onmogelijk. LAGERE REGELGEVING 4. Een AMvB op grond van artikel 11 van het wetsvoorstel, waarin zal moeten worden bepaald hoe zorginstellingen moeten handelen wanneer de identiteit en evt. ook het BSN niet kan worden vastgesteld, is noodzakelijk: om te voorkomen dat deze gegevens worden verstrekt aan andere organisaties zonder dat duidelijk is dat geen identificatie, dan wel verificatie van het verstrekte BSN, heeft plaatsgevonden; maar ook ter voorkoming van de vervuiling van patiëntendossiers (zie punt 6). 5. Een ministeriële regeling op grond van artikel 10 van het wetsvoorstel is noodzakelijk. Onderzoek van journaliste Karin Spaink heeft afgelopen zomer, met behulp van een aantal hackers en toestemming van de betreffende ziekenhuizen, aangetoond dat de beveiliging van patiëntendossiers in deze instellingen ver onder de maat was. Naar aanleiding van dit onderzoek zijn kamervragen gesteld (TK, Handelingen , nr. 102, pag en Kamervragen , vraagnr ). BLAD 7

8 Persoonsnummers, zoals het BSN, vergemakkelijken de koppeling van verschillende bestanden aanzienlijk en vormen daarmee een extra bedreiging voor de persoonlijke levenssfeer (TK , , nr.3, p.128). Invoering van het BSN in de zorg vergroot daarmee de risico s die reeds bestaan bij niet voldoende beveiligde ICTsystemen in de zorg. De Minister van VWS heeft in antwoord op de vragen van de Tweede Kamer over het onderzoek van Karin Spaink laten weten een Wet op het EPD voor te bereiden. Het zal naar verwachting echter nog wel enige tijd duren voor deze wet in werking kan treden. Gezien de stand van de beveiliging van ICT in de zorg is het noodzakelijk dat er zo snel mogelijk aanvullende maatregelen worden getroffen om ICT-systemen te beveiligen. Artikel 10 van het wetsvoorstel geeft de mogelijkheid bij ministeriële regeling beveiligingseisen te stellen aan systemen van zorgaanbieders waarin het BSN wordt verwerkt. Het CBP is van oordeel dat deze ministeriële regeling er moet komen, en dat deze gelijktijdig met dit wetsvoorstel in werking zal moeten treden. De ministeriële regeling zal onder meer naleving van NEN 7510, de norm voor informatiebeveiliging in de zorg, en logging van het gebruik van het BSN verplicht moeten stellen. Voor zorgverzekeraars komt daarbij naleving van de gedragsregels voor zorgverzekeraars, het zogenaamde Addendum Zorgverzekeraars bij de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen. 6. Momenteel wordt de vervuiling van patiëntendossiers onder meer veroorzaakt door het lenen van andermans verzekeringspasje (ter verkrijging van zorg op naam én daarmee op kosten van de verzekering van iemand anders). Onder dit wetsvoorstel bestaat nog steeds de (niet geringe) mogelijkheid dat iemand op naam van een ander zorg geniet, omdat identificeren niet bij elk bezoek aan een zorginstelling verplicht is. Maar ook op andere wijzen kan een onjuiste koppeling van een BSN aan een persoon de vervuiling van patiëntendossiers (waar het BSN straks de sleutel toe is) veroorzaken. De medische gegevens van meerdere personen komen daardoor in één dossier terecht alsof zij alle betrekking hebben op dezelfde persoon, met alle gevolgen van dien. Zie bijvoorbeeld, voor nog relatief onschuldige voorbeelden: Een vrouw die volgens haar medisch dossier twee keer in korte tijd is bevallen; een man die plots geen litteken meer heeft van een forse operatie (TK , 29623, nr.3, p.2). Dit probleem is bijvoorbeeld op te lossen door de identificatieplicht bij zorginstellingen aan te scherpen (en identificatie bij ieder bezoek verplicht te stellen), maar ook kan worden gedacht aan het verplicht inscannen van het identiteitsbewijs bij het eerste bezoek aan de instelling of ponskaartjes met een pasfoto. 7. Schrappen van de verplichting voor zorgaanbieders om, bij het ontbreken van een BSN, het sofi-nummer te gebruiken bij de gegevensuitwisseling met andere gebruikers. Het Register Niet Ingezetenen (RNI) zal het register worden waar zorgaanbieders de sofinummers van ruim 1 miljoen personen (zoals grensarbeiders en Nederlanders die in het buitenland zijn gaan wonen maar bijvoorbeeld wel recht hebben op een Nederlands BLAD 8

9 pensioen) op kunnen vragen en verifiëren. Noch het wettelijk kader, noch het beheer van het RNI is momenteel geregeld (zie ook de brief van het CBP aan de Tweede Kamer inzake de Wet algemene bepalingen burgerservicenummer (Wabb, ) d.d. 25 oktober 2005). Vooralsnog krijgen personen die niet in de Gemeentelijke Basisadministratie (GBA) zijn ingeschreven geen BSN. Aangezien het RNI nog niet is geregeld, en zorgaanbieders de sofi-nummers nog niet kunnen opvragen of verifiëren, is het verstandig dat dit wetsvoorstel zorgaanbieders niet verplicht het sofi-nummer te verwerken. Dit zou namelijk het risico op vervuiling van de patiëntendossiers aanzienlijk vergroten. Artikel 21 sub F lid 4 van het wetsvoorstel bepaalt dat bij de gegevensuitwisseling in bepaalde gevallen, bij het ontbreken van het BSN, het sofi-nummer moet worden gebruikt. Artikel 21 sub F lid 5 bepaalt vervolgens: Het vierde lid is van overeenkomstige toepassing op de gegevensuitwisseling tussen de zorgverzekeraars en de zorgaanbieders, indicatieorganen en zorgverzekeraars in de zin van de Wet gebruik burgerservicenummer in de zorg die niet in de artikelen 88 en 89 [van de Zorgverzekeringswet] zijn genoemd. Door (bij het ontbreken van het BSN) het sofi-nummer te moeten gebruiken bij de gegevensuitwisseling tussen o.a. zorgverzekeraars en zorgaanbieders, verplicht het wetsvoorstel de zorgaanbieders in feite het sofi-nummer te verwerken. Het CBP verzoekt derhalve de term zorgaanbieders te schrappen uit artikel 21 sub F lid 5 van het wetsvoorstel. BLAD 9

10 Bijlage 2 bij de brief van het CBP aan de Vaste Commissies voor VWS, BZK en SZW over het wetsvoorstel gebruik BSN in de zorg (30380) d.d. 20 januari 2006: Relevante passages uit kamerstukken over het BSN (voor zover nog niet genoemd in bijlage 1) 4. Duidelijke bepaling over primair toezicht op naleving van het wetsvoorstel door CTZ/NZa en IGZ De Minister heeft beoogd het toezicht primair bij CTZ/NZa en IGZ te beleggen. Hoewel het wetsvoorstel op dit punt onvoldoende duidelijk is en hierover nu reeds discussie met het CTZ en CTG-ZAio is gerezen (zie bijlage 1 bij punt 1) dient uit het wetsvoorstel en de Memorie van Toelichting uiteindelijk wel de conclusie te worden getrokken dat de Minister met dit wetsvoorstel heeft beoogd het toezicht primair bij CTZ/de NZa en de IGZ te beleggen. Zie ter illustratie de volgende passages: Toezicht door CTZ/de NZa: - Artikel 13 lid 3 van het wetsvoorstel: Het College toezicht ( ) is, voor zover dat niet aan andere toezichthouders is voorbehouden, belast met het toezicht op de uitvoering van het eerste lid door zorgverzekeraars. Het gaat hierbij om zorgverzekeraars op wie niet rechtstreeks, maar via de schakelbepaling van artikel 13 lid 1 van het wetsvoorstel, de Zorgverzekeringswet van toepassing is. Het toezicht op naleving van onder meer de identificatieplicht, en de verplichtingen tot opname van het BSN in de administratie, verificatie van het BSN en uitwisseling van gegevens met behulp van het BSN ligt op basis van deze bepaling primair bij het CTZ. (Hoewel het CBP ook (zij het niet als primair toezichthouder) toezicht zal houden op naleving van het wetsvoorstel, is het toezicht op de verwerking van persoonsgegevens (waaronder ook het BSN valt) niet voorbehouden aan het CBP als bedoeld in artikel 13 lid 3 van het wetsvoorstel.) - Memorie van Toelichting bij artikel 13 van het wetsvoorstel (TK , , nr.3, p.30): Voorts wordt, net als in de Zvw, het College van toezicht op de zorgverzekeringen ingevolge het derde lid van artikel 13 belast met het toezicht op de naleving van het correcte gebruik van het BSN. Dit college beschikt over dezelfde handhavingsinstrumenten als in de Zvw, namelijk het geven van aanwijzingen, het opleggen van een last onder dwangsom en het beboeten van overtredingen. Toezicht door IGZ: - Memorie van Toelichting, paragraaf 1.8 Handhaving (TK , , nr.3, p.15): Wat betreft zorgaanbieders geven de bepalingen in dit wetsvoorstel nadere invulling aan de verantwoorde zorg die zij moeten leveren. Er kan immers geen sprake zijn van verantwoorde zorg wanneer de zorgaanbieder het burgerservicenummer niet in overeenstemming met dit wetsvoorstel gebruikt. BLAD 10

11 Toezicht en handhaving terzake is geregeld in de Kwaliteitswet zorginstellingen en de Wet op de beroepen in de individuele gezondheidszorg. - Artikel 16 van het wetsvoorstel: De zorgaanbieder verstrekt op verzoek van de ambtenaren, bedoeld in ( ) de Wet op de beroepen in de individuele gezondheidszorg en ( ) de Kwaliteitswet zorginstellingen kosteloos alle inlichtingen en gegevens, waaronder persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens, die noodzakelijk zijn voor het toezicht op de naleving van de eerstgenoemde wetten voor wat betreft het gebruik van het burgerservicenummer. - Memorie van Toelichting, paragraaf 1.6 Advies CBP (TK , , nr.3, p.14): ( ) is het wetsvoorstel overeenkomstig de adviezen van het CBP en de Raad van State aangevuld met een bepaling op grond waarvan zorgaanbieders ondanks hun beroepsgeheim gehouden zijn gegevens te verstrekken aan IGZ teneinde effectief toezicht mogelijk te maken op de naleving van dit wetsvoorstel. De Minister heeft dit niet alleen met dit wetsvoorstel beoogd, hij heeft ook altijd richting de Tweede Kamer en richting het CBP uitgesproken het CTZ/de NZa en de IGZ te willen belasten met het primaire toezicht op naleving van het wetsvoorstel. Zie ter illustratie de volgende passages uit kamerstukken: - TK , , nr.15, p.3 (brief Ministers van VWS en BVK aan de Tweede Kamer m.b.t Modernisering van de overheid). Op dat moment was het standpunt van de regering nog dat er, in overeenstemming met het advies van de Tafel Van Thijn, in de zorg een apart persoonsnummer moest worden ingevoerd, te weten het Zorg Identificatie Nummer (ZIN). Invoering van het BSN per 1 januari 2006 betekent dat er in tegenstelling tot de eerder ingezette lijn voor gekozen kan worden het BSN ook in de zorg te gaan gebruiken. ( ) De komende periode zal worden bezien wat de precieze technische en inhoudelijke gevolgen zijn van het invoeren van een BSN in de zorg. Hiertoe wordt een gezamenlijke projectorganisatie opgezet. Daarnaast is een goede uitwerking van de privacy aspecten. Verwerking van en toegang tot zorginhoudelijke gegevens vraagt om een strikt en zorgvuldig beleid, adequate regelgeving en handhaving daarvan. De vertrouwelijkheid van patiëntgegevens dient gewaarborgd te blijven. In wetgeving (wet op het gebruik van BSN in de zorg) moet duidelijk aangegeven worden wie van het nummer gebruik kan maken en wanneer en waarvoor het nummer gebruikt kan worden. Het gebruik van de persoonsgegevens van de betrokkenen zal omgeven moeten worden met waarborgen vanuit het oogpunt van regelgeving, techniek en infrastructuur. Zo zullen de zorgverzekeraars bijvoorbeeld de reeds geldende gedragscodes inzake het gebruik van persoonsgegevens bezien en waar nodig aanpassen en uitbreiden. Het BSN zal in de zorg gebruikt gaan worden indien aan deze voorwaarden is voldaan. Naar verwachting zijn deze voorwaarden in oktober BLAD 11

12 van dit jaar in voldoende mate uitgewerkt en op hun haalbaarheid getoetst, waarbij onder meer advies wordt gevraagd aan het College Bescherming Persoonsgegevens. Alsdan zal definitief besloten worden over het invoeren van het BSN in de zorg. - De voorwaarden waaraan invoering van het BSN in de zorg moest voldoen zijn vervolgens uitgewerkt in de Notitie inzake het gebruik van het Burgerservicenummer (BSN) in de zorg en de beoogde waarborgen d.d (TK , , nr.5, bijlage). Zie p.16 en 22: Toezicht door IGZ en CTZ. Met het toezicht op de uitvoering van de wet zijn belast, voor zover het betreft de uitvoering door zorgaanbieders, de door Onze minister aangewezen ambtenaren van de Hoofdinspectie voor de Gezondheidszorg en voor zover het betreft de uitvoering door zorgverzekeraars, de door het College van toezicht op de zorgverzekeringen, bedoeld in de Ziekenfondswet, aangewezen ambtenaren. Vooruitkijkend naar de ontwikkelingen met betrekking tot de voorgenomen zorgverzekeringswet en de wet op de Zorgautoriteit, ligt het in de rede te bezien hoe de Zorgautoriteit een functie in dit kader kan gaan vervullen. Het CBP heeft uiteraard als algemeen toezichthouder voor de bescherming van persoonsgegevens ook een toezichthoudende functie november 2004, advies CBP over de Notitie inzake het gebruik van het Burgerservicenummer (BSN) in de zorg en de beoogde waarborgen: zie TK , , nr.5, bijlage. Gelet op de Notitie inzake het gebruik van het BSN in de zorg en de beoogde waarborgen en onder de voorwaarden, genoemd in de brief van 22 november 2004, is het CBP akkoord gegaan met invoering van het BSN (i.p.v. het ZIN) in de zorg. - De Minister van VWS heeft hierop een brief aan de Tweede Kamer gestuurd, met het definitieve besluit het BSN ook in de zorg in te voeren: TK , , nr.5: Ten aanzien van zo n uniek identificerend nummer voor patiënten is in een gezamenlijke brief van mij en de minister voor BVK aan uw Kamer d.d. 14 mei 2004 (TK, , , nr. 15) gemeld dat: a) 1 januari 2006 een burgerservicenummer (BSN) wordt ingevoerd en b) het BSN ook in de zorg wordt ingevoerd mits voldaan kan worden aan privacyeisen en waarborgen met betrekking tot de bescherming van persoonsgegevens bij de invoering van het BSN in de zorg. Met het oog op definitieve besluitvorming zou het College Bescherming Persoonsgegevens (CBP) derhalve om advies gevraagd worden over het gebruik van het BSN in de zorg. ( ) De technische en inhoudelijke gevolgen van de invoering van het BSN in de zorg zijn de afgelopen maanden nader uitgewerkt. Belangrijk onderdeel daarvan was een goede uitwerking van de privacy aspecten en de waarborgen ten aanzien van het gebruik van het BSN. Dit heeft geleid tot de notitie «Waarborgen BSN in de zorg» van de werkgroep sectorale vertrouwensfunctie in de zorg1. Deze notitie isvoor adviesvoorgelegd aan het CBP. In bijlage 12 treft u de notitie en een afschrift van het verzoek om advies aan. BLAD 12

13 Het adviesvan het CBP hierop heb ik 22 november jl. ontvangen (bijlage 2)2. Het CBP heeft u ook een afschrift van deze brief gestuurd. Kort samengevat gaat het CBP in beginsel, onder de in het advies genoemde voorwaarden, akkoord met de invoering van het BSN in de zorg. Derhalve heb ik definitief besloten tot de invoering van het BSN in de zorg als uniek identificerend nummer voor patiënten en wordt het alternatieve scenario van een apart zorgidentificatienummer (ZIN) verlaten. Ten behoeve van de invoering en het gebruik van het BSN in de zorg wordt op dit moment een wetsvoorstel «gebruik BSN in de zorg» voorbereid. Dit wetsvoorstel wordt parallel aan een voorstel voor «wet algemene bepalingen BSN» van de minister van BVK voorbereid. De opmerkingen gemaakt in het advies van het CBP zullen meegenomen worden bij de verdere uitwerking van het wetsvoorstel «gebruik BSN in de zorg». Uiteraard zal dit wetsvoorstel vervolgensformeel voorgelegd worden aan het CBP. - Concept wetsvoorstel gebruik BSN in de zorg, zoals dit ter advies is voorgelegd aan het CBP en ACTAL d.d. 28 januari 2005: Hoofdstuk 4 Toezicht en handhaving Artikel Met het toezicht op de naleving van het bepaalde bij of krachtens deze wet door zorgaanbieders zijn belast de hoofdinspecteurs, de inspecteurs en de onder hun bevelen werkzame ambtenaren van het staatstoezicht op de volksgezondheid. 2. Bij besluit van Onze Minister kunnen personen worden aangewezen die zijn belast met het toezicht op de naleving van het bepaalde bij of krachtens deze wet door indicatieorganen. 3. Met het toezicht op de naleving van het bepaalde bij of krachtens deze wet door zorgverzekeraars is belast het College toezicht, bedoeld in artikel 1, onder n, van de Zorgverzekeringswet. 5. Een ministeriële regeling op grond van artikel 10 van het wetsvoorstel is noodzakelijk. - Zie voor de vragen die de Tweede Kamer heeft gesteld n.a.v. het onderzoek van Karin Spaink: TK, Handelingen , nr. 102, pag en Kamervragen , vraagnr Naar aanleiding van dit onderzoek, de kamervragen en het debat in de Tweede Kamer d.d. 23 maart 2005 heeft de Minister toegezegd een Wet op het EPD voor te bereiden: Brief van de Minister van VWS aan de Tweede Kamer over ICT in de zorg d.d. 7 november 2005 (TK , , nr.18, p.4): Ik heb u afgelopen zomer al laten weten dat de Kamermoties 8, 9 (ten dele), 11 en 121 uit het debat van 23 maart 2005 over ICT in de zorg voor mij aanleiding zijn om te kijken of er naast de reeds genomen maatregelen ook een apart wettelijk kader moet komen voor het gebruik van het EMD en WDH (en in de toekomst het EPD)2. Die wetgeving zou de landelijke invoering moeten stimuleren en tevens een juridisch kader bieden voor het fenomeen EPD. De wet zou zaken aan de orde stellen als: BLAD 13

14 waarborgen voor veilig gebruik, kwaliteit van de gegevens, autorisatie en toegang (van onder meer de patiënt), standaardiseren en normeren en het daadwerkelijk gebruik van het EPD. Ik ben inderdaad van plan hiervoor een aparte, nieuwe wet te maken. De eerste reden is dat ik hecht aan een goede invoering van het EPD. De tweede reden is dat ik goede waarborgen wil hebben voor het veilig en betrouwbaar gebruik van het EPD. BLAD 14