Implementatie ICD-10 in het Deventer Ziekenhuis

Transcriptie

1 Tijdschrift voor Zorgadministratie en Informatie 147 Informatie jaargang 39 OKT 2012 een kwartaaluitgave van de Vereniging voor Zorgadministratie en Implementatie ICD-10 in het Deventer Ziekenhuis De rol van gedrag in naleving privacy- eisen Natuurlijk gaat u digitaal patientgegevens uitwisslen! Privacy en sociale media, trends in de zorg

2 Medische registratie op z n kop Vossius Consultancy ontzorgt ook de Medische Registratie bij o.a.: - Het leveren van extra capaciteit bij het medisch coderen. - Projectondersteuning en opzet invoering CBV registratie. - Het maken van procesanalyses en het verhogen van de efficiency. - Het inzicht geven in proces en uitkomsten. Vossius Consultancy richt zich op procesverbetering en ondersteuning aan zorginstellingen op het raakvlak van proces, ICT en financiën. Het is een no-nonsense organisatie waarbij een advies of verbetering ook daadwerkelijk wordt doorgevoerd. Vossius Consultancy beschikt over grote deskundigheid op het gebied van financiële en administratieve applicaties die in zorginstellingen gebruikt worden. Daarnaast voorzien wij klanten ook van praktische hulpmiddelen die (administratieve) processen verbeteren en versnellen. Vanzelfsprekend is Vossius Consultancy ook volledig op de hoogte van huidige en toekomstige ontwikkelingen, wetten en eisen die gelden in de Nederlandse zorg en wat dat betekent voor onze klanten. Geïnteresseerd? Bel ons: ons: info@vossiusconsultancy.nl Volg ons op & op LinkedIn. Keizer Karelweg HZ Amstelveen kvk info@vossiusconsultancy.nl

3 tijdschrift voor ZorgAdministratie en Informatie nr. 147 oktober 2012 Een kwartaaluitgave van de NVMA Vereniging voor Zorgadministratie en Informatie, jaargang 39 redactie NTMA Hoofdredactie Han Runnenberg Redactie-secretariaat Erik Noordhuis Redactiemedewerkers Matthieu Dekker Pieter Hooftman Erik Noordhuis Frans van Tilburg Redactie-adres Erik Noordhuis Rivierduinen Postbus AK Leiden Aan dit nummer werkte mee Herman Pieterse De rol van gedrag in naleving privacy-eisen PAG. 4 Copyright 2012 Overname van artikelen is in alle gevallen mogelijk in overleg met de redactie Abonnementen Leden van de NVMA ontvangen NTMA gratis. Voor niet-leden bedraagt het abonnementsgeld 26, per jaar, los nummer 9,. Een abonnement kan op elk gewenst tijdstip ingaan. Abonnementen kunnen alleen schriftelijk tot uiterlijk 2 maanden voor het beëindigen van het lopende abonnement worden opgezegd. Bij niet tijdige opzegging wordt het abonnement automatisch voor een jaar verlengd. Lezersservice Opgave abonnement en adreswijziging bij: Bureau NVMA Alkmaar E mail: bureau@nvma.nl Natuurlijk gaat u digitaal patientgegevens uitwisselen! PAG. 11 Vormgeving & productie DesignPeople, Amsterdam/Sittard Uitgever NVMA, Hoorn, Druk Marcelis Dékavé Alkmaar Fotografie Erik Gevaert advertentie-coördinatie Telefoon Telefax Telefoon Telefax distributie NIC.Oud Direct-mail, Heerhugowaard De AO/IC in het DOT- tijdperk PAG. 32 ISSN

4 vliegende start met de quick scan invoering LBZ Invoering LBZ Bent u al begonnen? Na de invoering van DOT staan ziekenhuizen voor een volgende uitdaging: de implementatie van de Landelijke Basisregistratie Ziekenhuiszorg (LBZ). Wat er gedaan moet worden om uiterlijk 1 januari 2014 deel te nemen aan de LBZ, verschilt per ziekenhuis. Daarom is een implementatieplan op maat nodig. Om u hierbij te helpen heeft Q-Consult de Quick Scan Invoering LBZ ontwikkeld. U weet hiermee precies welke stappen u moet zetten om in 2013 te registreren volgens ICD-10 en in 2014 volgens het CBV-codestelsel. Kijk voor meer informatie op: Presentatie NVMA congres ICD-10 Onze presentatie tijdens het NVMA congres over ICD-10 is te downloaden op onze website. DOT Helpteam Ook de implementatie van DOT zorgt nog voor extra werk in Veel ziekenhuizen kampen met oplopende achterstanden. Het vergt veel van de capaciteit van uw zorgadministratie om deze achterstanden weg te werken. Het DOT Helpteam helpt u hierbij. Kijk op voor meer info. Meer weten? Q-Consult helpt u graag met een goede invoering van de LBZ en het wegwerken van DOT-achterstanden. Geïnteresseerd in de mogelijkheden? Contact samenwerken@qconsult.nl

5 inhoud ntma oktober 2012 De rol van gedrag in naleving privacy- eisen 4 Egge de Jong, Ronald Koorn Natuurlijk gaat u digitaal patientgegevens uitwisselen! Waar moet u op letten? 11 Itte Overing Hoe lang kan een IBS aanvraag duren? 17 Column Viktor Strefonis Privacy en sociale media, trends in de zorg 18 Berend de Vries Informatievoorziening voor de zorg en vice versa 22 Marco Maes, René Sieders Is de digital angel het panacee om efficiëntie in de zorg te bewerkstelligen? 27 Column Sam Sterk Implementatie ICD-10 in het Deventer Ziekenhuis 28 Esther Vastenavond Nijboer De AO/IC in het DOT- tijdperk 32 Roos van Veen, Luluk van de Water-Astro, Sandra Dahmen SKZB informatie 42 NVMA informatiepagina 44 Agenda Persbericht: 50 jarig jubileum NVMA en DHD 26 september Congres: 17th IFHIMA Congress in Montreal, Canada 37 Training: RZA Zorgadministratie 40 Cursus: Transitie van ICD-9 naar ICD nov en 4 dec 2012 zie nvma.nl Seminar: Zorgcontrol in het DOT tijdperk 13 december 2012 zie nvma.nl SKZB De Stichting bevordert de kwaliteit van de beroepsuitoefening van zorgadministratieve functionarissen. Meer informatie op pagina 42/43. in memoriam Aart van Winkoop, redactielid NTMA overleden Op 1 april jl. is Aart plotseling overleden. Voor zijn gezin, maar ook voor ons als redactie én vereniging, een groot verlies. Ik ken Aart ruim 5 jaar en hij was een zeer betrokken redactielid, die gedegen commentaar gaf op de ingediende artikelen en altijd op zoek was naar inhoudelijk goede artikelen. Daarnaast was het gewoon een fijne vent om mee samen te werken. We zullen hem missen! Midden in het leven Nog zoveel te geven Idee en plannen te over In één keer voorbij Voor ons als redactie was je een kei Enig in je soort We zetten ons werk in jouw gedachte voort Adverteerders Vossius Consultancy, Q-Consult (2), i-fourc (9), Jalema (16), Allgeier Medical Viewer (26), Studelta (34), Allgeier Scanfactory (41), Marcelis Dékavé (45) CHS: Grip op uw financien met achterafcontroles Pagina 38 3

6 drs.ing. Ronald Koorn RE., KPMG Risk Consulting De rol van gedrag in naleving privacy-eisen 4

7 mr. Egge de Jong, KPMG Risk Consulting Er is een toenemende aandacht voor privacy en ook in de zorg speelt dit. Om te voldoen aan privacyvereisten is er grote aandacht voor met name informatiebeveiliging. Hiernaast wordt door veel organisaties ook aandacht besteed aan processen en procedures op het gebied van privacy. Veelal wordt niet stilgestaan bij de rol die menselijk gedrag speelt in het werken met al deze maatregelen. In dit artikel wordt ingegaan op de rol die zogenaamde Soft-controls hebben in het naleven van maatregelen op het gebied van privacybescherming. Soft-controls betreffen niet-tastbare gedragsbeïnvloedende factoren zoals cultuur en voorbeeldgedrag. Door inzicht te krijgen in de effectiviteit van de Soft-controls binnen een organisatie kan meer gericht beleid worden ontwikkeld om de naleving van privacymaatregelen te bevorderen. Soft-controls vormen hierdoor de onmisbare basis voor het naleven van privacyvereisten. 5

8 Figuur 1 Belemmeringen voor het nemen van privacybeschermende maatregelen Veel aandacht voor privacy, ook in de zorg gaat het regelmatig mis Er gaat vrijwel geen dag voorbij zonder nieuws over privacy of privacy-incidenten. Er is een toenemende maatschappelijke aandacht voor privacy, ook de zorg heeft te maken met hoge publieke verwachtingen aan bescherming van privacy en medisch beroepsgeheim. De grote media- en politieke aandacht voor het elektronisch patiëntendossier (EPD) is een goed voorbeeld van hoe de publieke opinie over privacy beïnvloedend kan zijn in de besluitvorming binnen de zorg. Ook al zijn de eisen vanuit privacywetgeving reeds 20 jaar van toepassing, in praktijk blijkt echter dat mede vanwege de digitalisering van informatiestromen vrijwel alle zorginstellingen nog worstelen om de bescherming van de persoonsgegevens van hun patiënten (en hun medewerkers) afdoende vorm te geven. De vele incidenten tonen aan dat zorginstellingen nog altijd niet voldoen aan privacywetgeving. Een voorbeeld is dat patiëntendossiers weleens blijven slingeren op plekken waar zij niet horen, zoals in de kantine of voor de deur van het gesloten secretariaat ( kunnen ze morgen direct de dossiers verwerken ). Patiëntendossiers worden ook nog steeds vaak met de leesbare kant naar voren in de lift gedragen, waardoor de gegevens voor iedereen in de lift leesbaar zijn. Ook zijn er veel zorgadministraties die onder de hoge werkdruk vergeten de procedures voor verstrekking van persoonsgegevens na te leven, waardoor gegevens uiteindelijk bij de verkeerde personen terechtkomen, zoals bij de pers. Tenslotte zijn niet alle medewerkers binnen een zorginstelling volledig op de hoogte van hoe zij moeten omgaan met persoonsgegevens. Weet u bijvoorbeeld hoe u zou moeten handelen wanneer een persoon in een genante situatie op de EHBO terecht komt en vervolgens verzoekt deze gegevens niet in zijn patiëntendossier op te nemen? In dit artikel gaan we in op de privacystatus in Nederland, verschillende aspecten van privacynaleving en de rol van gedrag en Soft-controls bij privacynaleving. Resultaten KPMG privacysurvey KPMG heeft samen met TNS-NIPO een grootschalig onderzoek gedaan naar de vraag hoe organisaties in Nederland omgaan met persoonsgegevens en naar de mate waarin deze organisaties bekend zijn met de privacywetgeving. Uit dit onderzoek blijkt dat er onvoldoende begrip is van wat privacy precies inhoudt. Uit de vraag welke kenmerken organisaties van toepassing achtten als wettelijke privacyrechten, bleek dat relatief veel organisaties fundamentele rechten niet van belang achtten of herkenden. Het ging hier om de rechten om zelf te bepalen welke gegevens mensen kenbaar maken en het recht om zelf te bepalen wat er met de persoonsgegevens gebeurt. Twee andere begrippen, doelbinding en vertrouwen, werden wel als belangrijke privacyaspecten herkend. Het feit dat er onvoldoende begrip is van wat privacy inhoudt werd in het onderzoek bevestigd door een groot aantal privacy-incidenten. Uit het onderzoek kwam naar voren dat de afgelopen drie jaar door gemiddeld 10% van de organisaties privacy-incidenten zijn vastgesteld. Als gevolg van meetinstrumenten die nog niet volwassen zijn en een aantal niet-gemelde incidenten zal dit percentage in de praktijk veel hoger zijn. Helaas zien veel organisaties nog veel belemmeringen voor het goed organiseren van privacybescherming. Enkele veel genoemde belemmeringen zijn de complexiteit van de wet- en regelgeving, onvoldoende aandacht en prioriteit voor privacy en een gebrek aan tijd en capaciteit om deze problematiek aan te pakken. In de zorg is de laatste jaren een grote aandacht voor de bescherming van persoonsgegevens van patiënten. Bij veel zorginstellingen klinkt dan al snel het begrip NEN7510, de norm voor infor- Privacy versus beveiliging Een bekend misverstand met name onder ICT-ers en beveiligingspecialisten is het als bijna synoniem zien van beveiliging en privacy: Als we de beveiligingsmaatregelen hebben getroffen volgens de Code voor Informatiebeveiliging, dan hebben we direct de privacybescherming geregeld. Dit is echter een misvatting, aangezien beveiliging slechts één van de zeven privacyprincipes kan invullen. Figuur 2 Privacy en informatiebeveiliging 6

9 matiebeveiliging in de zorg. Uit het onderzoek blijkt ook dat informatiebeveiliging en privacy vaak als synoniem worden gezien. Privacy is echter veel breder dan alleen gegevensbeveiliging, zoals ook blijkt uit het kader. Drie aspecten voor privacynaleving Voor privacynaleving zijn drie aspecten van belang. Ten eerste dient de informatiebeveiliging goed op orde te zijn. Hierbij kunnen normen zoals de NEN7510 een grote rol spelen. Ten tweede dienen overige wettelijke vereisten te worden afgedekt met afdoende processen en procedures. Veel organisaties denken er nu al te zijn, maar worden nog steeds geconfronteerd met privacy-incidenten. Het fundament voor informatiebeveiliging, processen en procedures wordt namelijk gevormd door het gedrag en het onderliggende privacybewustzijn van de medewerkers die omgaan met persoonsgegevens. Informatiebeveiliging Ook in de zorg worden steeds meer processen gedigitaliseerd voor efficiëntere uitvoering van zorgprocessen en voor een betere informatiekwaliteit. Als gevolg hiervan worden patiëntengegevens op steeds meer manieren geautomatiseerd verwerkt. Uiteraard moet de bescherming van deze (vaak uiterst gevoelige) persoonsgegevens goed worden gewaarborgd. In 2003 en 2008 heeft de Inspectie voor de Gezondheidszorg (IGZ) samen met het College Bescherming Persoonsgegevens (CBP) een onderzoek gedaan naar de informatiebeveiliging bij 20 ziekenhuizen. Hieruit bleek dat bij het grootste deel van de 20 onderzochte ziekenhuizen de informatiebeveiliging niet op orde was. In 2010 is voor alle Nederlandse ziekenhuizen de informatiebeveiliging onderzocht. Hierbij is gekeken naar een deel van de vereisten vanuit NEN7510. Hieruit bleek dat er een grote vooruitgang was ten aanzien van de informatiebeveiliging. Er waren twee voorname punten van aandacht. Aan de ene kant betroffen de maatregelen voornamelijk papieren beleid, waarvan de werking nog niet onderzocht kon worden. Aan de andere kant waren er nog steeds veel tekortkomingen op het gebied van autorisatiebeheer. Dit laatste blijft een groot dilemma voor veel ziekenhuizen. Aan de ene kant wil men voldoen aan de Wet op de Geneeskundige Behandelingsovereenkomst (WGBO), waarin bepaald is dat alleen toegang mag worden verleend tot patiëntgegevens als er sprake is van een behandelrelatie. Aan de andere kant zijn er veel praktische problemen (interne overleg, gemakzucht, verlengde arm, e.d.) en gaat de goede behandeling van de patiënt voor. Anno 2012 zijn er veel verbeteringen waarneembaar. Veel ziekenhuizen hebben aandacht voor het identiteits- en toegangsmanagement. Door middel van standaardisatie van gebruikersprofielen wordt al een hoop winst geboekt op het gebied van gedifferentieerde toegang tot patiëntengegevens. Recentelijk is er ook veel aandacht voor gegevensuitwisseling. Het Nationaal ICT instituut in de zorg (NICTIZ) heeft onderzoek gedaan naar de beveiliging van portalen voor online gegevensuitwisseling in de zorg. Hieruit bleek dat de overgrote meerderheid niet afdoende beveiligd was om de privacy van de patiënten te kunnen waarborgen. Ook het recente privacy-incident met een online verzuimapplicatie (Humannet van VCD) is hier exemplarisch voorbeeld van. Momenteel zijn diverse instellingen ook bezig de online beveiliging te versterken. Op het gebied van informatiebeveiliging worden dus verbeteringen doorgevoerd om de privacy van patiënten en medewerkers beter te waarborgen. Toch zijn er nog enkele belangrijke aandachtspunten voor ziekenhuizen. Deze staan echter wel op de radar binnen de organisaties. Processen, procedures en maatregelen Onterecht gaan veel instellingen ervan uit dat zij met een goede informatiebeveiliging ook privacynaleving realiseren. Helaas worden hierdoor enkele essentiële privacyvereisten over het hoofd gezien. In de wetgeving staan enkele vereisten waar een goede informatiebeveiliging niet in voorziet. Hieronder gaan wij op de belangrijkste vereisten in. De organisatie moet voorzien in een privacybeleid. Dit beleid dient specifieke bepalingen te bevatten hoe de organisatie omgaat met persoonsgegevens van klanten/patiënten en medewerkers. Dit beleid gaat in op de wijze waarop de organisatie persoonsgegevens verzamelt en hoe zij daar mee omgaat. Bij voorkeur gaat dit beleid ook vergezeld van een risicoanalyse, die aangeeft op welke interne en externe kwetsbaarheden de organisatie zich eerst of met name moet richten. Hiermee is ook een concreet implementatieplan voor privacy en beveiliging op te stellen. De organisatie moet verwerkingen van persoonsgegevens wettelijk melden bij het CBP. Het CBP kan op deze wijze effectief toezicht houden op de verwerking. Een alternatief is het aanstellen van een Functionaris voor de Gegevensbescherming (FG). Dit is een onafhankelijke persoon binnen de organisatie die verantwoordelijk is voor het toezicht op de naleving van de privacybescherming. De organisatie moet processen en procedures hebben ingericht die behandelen hoe wordt omgegaan met de rechten van belanghebbenden. Hierin kan bijvoorbeeld staan beschreven welke procedure moet worden gevolgd wanneer een patiënt verzoekt gegevens uit zijn dossier te verwijderen of wanneer een patiënt (of familie cq. bewindvoerder van een patiënt) inzage wil in het medisch dossier. Belangrijke begrippen binnen de privacywetgeving zijn doelbinding en proportionaliteit. Hiermee wordt bedoeld dat de persoonsgegevens alleen worden verzameld voor een specifiek doel en dat er niet meer persoonsgegevens worden verzameld dan noodzakelijk voor het realiseren van dat doel. Natuurlijk kent de zorg diverse wettelijke, kwaliteits- en verzekeringsvereisten waarvoor extra gegevens over behandelingen moeten worden vastgelegd en aan instanties worden verstrekt. In processen en procedures kan de organisatie vastleggen hoe 7

10 8 Figuur 3 De acht Soft-controls wordt gewaarborgd dat er wordt voldaan aan de doelbinding en proportionaliteit. Vanuit de wetgeving is ook vereist dat de kwaliteit van de persoonsgegevens gewaarborgd wordt. Hiermee wordt bedoeld dat de persoonsgegevens juist, volledig en actueel moeten zijn. Organisaties dienen processen en procedures in te richten die waarborgen dat de kwaliteit van de persoonsgegevens gewaarborgd wordt. Dat lijkt eenvoudig, maar vanwege meerdere persoonsregistraties, onvolledige gegevens, adreswijzigingen, onjuiste of ontbrekende BSN s, e.d. is het kwalitatief goed houden van de gehele medische administratie inclusief historie een lastige en arbeidsintensieve opgave. Tenslotte moeten organisaties beleid hebben over hoe zij zorgvuldig omgaan met (externe) gegevensuitwisseling. Hierbij dient te allen tijde aan de vereisten vanuit de Wbp te worden voldaan. Problemen bij gegevensuitwisseling kunnen ontstaan binnen de landsgrenzen, maar worden vaak veel complexer als er sprake is van gegevensuitwisseling buiten de EU (b.v. bij gebruikmaking van ICT-uitbesteding of applicaties uit de cloud). Gedrag Al deze elementen leiden aanvullend op de informatiebeveiliging tot specifieke privacyprocedures en aanpassing aan diverse andere processen en procedures. Nu formeel de privacyvereisten gedekt zijn, wanen veel organisaties zich compliant op privacygebied. Helaas blijkt dat, zelfs wanneer informatiebeveiliging en de maatregelen, processen en procedures rondom privacy goed geregeld zijn, zich nog regelmatig privacyschendingen voordoen. De oorzaak van deze schendingen blijkt niet zozeer te liggen in haperende maatregelen of procedures maar juist in het gedrag van medewerkers. Als wij terugkijken naar de voorbeelden uit de inleiding, dan valt op dat vrijwel overal het gedrag van medewerkers de oorzaak is van het incident. Bij het laten slingeren van patiëntendossiers is het vaak de behandelaar die het dossier laat slingeren. Hierbij wordt vaak gesteld dat het niet gaat om de privacy, maar om de behandeling van de patiënt. Deze redenering wordt dus als legitimering gebruikt om de procedures rondom privacy niet in acht te nemen. Dit kan een verscheidenheid aan oorzaken hebben, zoals bijvoorbeeld werkdruk of onvoldoende risicobewustzijn. In veel organisaties start het met een enkeling die verkondigt dat privacy niet zo relevant is omdat iedereen elkaar intern kan vertrouwen, maar snel volgen er meer. De oorzaak hiervan ligt in slecht voorbeeldgedrag. Anderen, zoals het secretariaat of de zorgadministratie, legitimeren onzorgvuldig gedrag doordat de behandelaar dit gedrag ook vertoont. Als de organisatiecultuur dit toelaat zal het van kwaad tot erger kunnen worden en zal ook een secretariaat en uiteindelijk zelfs een zorgadministratie minder zorgvuldig omgaan met de persoonsgegevens van de patiënt. Het voorbeeld van de drukke zorgadministratie zal wellicht tot de verbeelding spreken. Hoewel sommige organisaties uitstekend presteren onder hoge werkdruk, kan deze er ook toe leiden dat er vaak onvoldoende tijd is om alle procedures nauwgezet na te leven. Het takenpakket van de medewerkers op veel zorgadministratie is te zwaar waardoor de uitvoerbaarheid van alle taken in gevaar komt. Uit onze praktijk blijkt dat er in veel organisaties dusdanig veel procedures zijn voor de omgang met persoonsgegevens dat medewerkers door de bomen het bos niet meer zien. Hierbij komt het ook veel voor dat mensen zich verschuilen achter regels, geen verantwoordelijkheid durven te nemen en niet meer zelf nadenken. Doordat er dus te veel regels en procedures zijn, worden deze juist niet meer effectief nageleefd. Het gevolg is dat er door meer procedures juist meer incidenten ontstaan. De hiervoor beschreven voorbeelden geven goed weer dat het gedrag van medewerkers essentieel is voor het bereiken van privacynaleving. Het is daarom belangrijk om cultuur-, integriteits- en gedragsbeïnvloedende factoren, ook wel Soft-controls genoemd, goed te beheersen en te optimaliseren in het streven naar privacynaleving. Soft controls Een klassieke benadering ten aanzien van het voorkomen van incidenten is het optuigen van hard controls. Hierbij kan gedacht worden aan maatregelen in de IT en processen, waarin bepaalde waarborgen worden gesteld, zoals controlemomenten. Veel organisaties verwachten dat wanneer zij meer hard controls optuigen, het aantal incidenten afneemt. Onderzoek heeft echter uitgewezen dat er een optimum bestaat qua aantal effectief in te stellen beheersingsmaatregelen. Dit wil zeggen dat op een gegeven moment meer beheersingsmaatregelen juist leiden tot een toename van het aantal incidenten. Incidenten kunnen dus niet tot een nulpunt worden gereduceerd, wat betekent dat altijd sprake zal zijn van ongewenst gedrag. Ongewenst gedrag kan worden voorkomen door op gedrag te sturen. Het gaat hierbij om factoren binnen de organisatie die het gedrag van medewerkers beïnvloeden. Om te weten wat het ongewenste gedrag daadwerkelijk is en wat de oorzaak daarvan is, is het van belang om gedrag te objectiveren en te meten. Softcontrols spelen hierbij een grote rol. Soft-controls betreffen niet-tastbare gedragsbeïnvloedende factoren zoals cultuur en voorbeeldgedrag. Zij ondersteunen de werking van hard controls en zijn van belang daar waar geen hard controls kunnen zijn. Door inzicht te krijgen

11 advertorial To PDF or not to PDF in de zorgsector Correcte, actuele en complete informatie speelt in de zorgsector een cruciale rol. Een oplossing hierbij is PDF: de wereldwijde standaard voor het vastleggen, weergeven en delen van gedetailleerde informatie vanuit vrijwel elke toepassing en op elk computersysteem. Toch blijft voor velen de vraag: To PDF or not to PDF. De zorgsector heeft in de loop der jaren veel data gecreëerd door de continue, verplichte uitwisseling van patiënt- en zorginformatie, zoals scans, röntgenfoto s en labuitslagen. Door de toenemende, dagelijkse opeenstapeling hiervan en de door de overheid vastgestelde bewaarplicht, worden zorgorganisaties alleen maar meer overspoeld met grote hoeveelheden data. Zeker tachtig procent van al deze data is ongestructureerd. Met de juiste datastructuur is het mogelijk om te bepalen hoe data potentieel gebruikt en ingezet kan worden. Hiermee komt meteen een belangrijk punt naar voren: Mede door het multi disciplinaire karakter binnen de zorg is het van belang dat niet alleen de infrastructuur, maar ook de datastructuur op orde is voor het uitwisselen van patientengegevens. De voortdurende, complexe innovaties op ICT-gebied garanderen niet altijd een toekomstbestendige leesbaarheid en toegankelijkheid van digitale bestanden. Daarom wordt het ook binnen de zorg belangrijk aandacht te geven aan een toekomstigbestendige opslag van digitale informatie, de meest voor de hand liggende keuze is dan het wijdverspreide en breed geaccepteerde Adobe Systems Portable Document Format (PDF). Ideaal PDF is ideaal omdat het platform- en applicatieonafhankelijk is, met een volledig multimediaal formaat en gemakkelijk in gebruik. Doorda de PDF een self-contained bestand is, wordt de lay-out behouden en hangt dit niet af van de mogelijkheden op de computer, waarmee he bestand wordt gelezen. Er is alleen een pdf-lezer nodig. Daarnaast kan het document in principe niet worden gewijzigd, omdat in geavanceerde PDF-documenten invulbare formulieren zijn opgenomen, waarin alleen de invulvelden kunnen worden gewijzigd. Een ander voordeel van PDF is het gebruikersgemak. Iedereen kan tegenwoordig een PDF maken, desgewenst ook beveiligd met een wachtwoord. Tot slot resulteert het omzetten van een document naar PDF meestal in een kleinere bestandsgrootte. Zeker met de explosieve groei van electronische datra in de zorgsector geen sinecure. En dankzij de hoge betrouwbaarheid is PDF een uitstekende oplossing voor de informatievoorziening in de zorgsector. Gegarandeerd veilig Vanuit het achterliggende idee dat alle documenten gegarandeerd veilig zijn opgeslagen zolang zorginstanties zich maar aan de PDF/A-1b Standaard houden, wordt deze tegenwoordig vrijwel altijd genoemd als het gaat om het langdurig bewaren van digitale documenten. De praktijk is echter iets genuanceerder. PDF/A is er bijvoorbeeld in veel varianten. Naast het meest gebruikte PDF/A-1a (voor digital brondocumenten zoals Word-bestanden), gevolgd door PDF/A-1b (voor gescande documenten), PDF/A-2 (uitbreiding op PDF/A-1 met de mogelijkheid van gebruik van transparantie, JPEG2000 compressie en lagen), biedt het nieuwere formaat PDF/A- 2b nog meer mogelijkheden. Al deze methoden zijn als ISO-standaard vastgelegd. Dat biedt uiteraard zekerheid, maar u kunt er niet vanuit gaan dat de mensheid over 100 jaar nog een computer heeft waar een PDF-Reader op geïnstalleerd is. Daarom is het zeker voor de zorgsector van belang om naar de toekomst te kijken en maatregelen te nemen om de bestanden leesbaar en toegankelijk te houden. Authoriteit Als wereldwijde autoriteit op het gebied van digitalisering biedt I-FourC met het concept Papierloos vanaf dag één een unieke combinatie van digitale dienstverlening en (Cloud-)softwareontwikkeling, waarbij alles draait om het elimineren van papier en het optimaliseren van documentstromen. Als geen ander weet I-FourC alle ins en outs van PDF-gebruik. Tezamen met de unieke wijze van digitaal archiveren, archiefbeheer en de nieuwste en meest geavanceerde technologie die inhouse wordt ontwikkeld. Dat maakt het Papierloos vanaf dag één - concept een totaaloplossing voor de zorgsector waarbij alle papieren informatiegegevens in de zorgorganisatie in één dag tijd worden gedigitaliseerd zonder de dagelijkse gang van zaken te verstoren. De digitale informatie wordt daarbij vormgegeven naar wens van de klant, sluit naadloos aan op de bestaande primaire bedrijfsprocessen en wordt samengebracht op één locatie. Kennisdag Inspringend op deze thematiek biedt I-FourC Technologies, voor geinteresseerden op 15 november 2012 een speciale kennisdag met de veelzeggende titel To PDF or not to PDF. Hierbij wordt ingegaan op onduidelijkheden rondom PDF zoals wanneer wel of niet scannen, de verschillen tussen PDF en PDF/A en wat de relatie is tussen PDF en OCR. I-FourC biedt daarnaast diverse handvaten over hoe informatie op een innovatieve manier met andere gebruikers kan worden opgeslagen en gedeeld. I-FourC Technologies Charles Ruysstraat NM Reuver Nederland T E info@i-fourc.com W Papierloos vanaf dag één

12 10 in de Soft-controls die van toepassing zijn op het ongewenste gedrag, kan dit gedrag gericht worden beïnvloed en daarmee in de gewenste richting worden gestuurd. De vraag is nu natuurlijk hoe de toepassing van Soft-controls van belang kan zijn voor het bevorderen van privacy compliance. Als we kijken naar de voorbeelden uit de inleiding, dan zien we dat in al deze voorbeelden sprake is van incidenten die het gevolg zijn van het gedrag van de medewerkers. Het uitvoeren van een evaluatie van de privacy Soft-controls in de organisatie geeft goed weer welke gedragsaspecten binnen de organisatie het ongewenste gedrag veroorzaken of bevorderen. Bij een dergelijke evaluatie wordt door middel van het bestuderen van beleid en het bevragen en observeren van betrokken personen een beeld verkregen van de kwaliteit van de relevante Soft-controls. Hierdoor is specifiek te maken bij welke groepen medewerkers welke vormen van gedrag bijgestuurd moeten worden om het aantal incidenten te beperken. In het geval van de slingerende patiëntendossiers is vooral sprake van slecht voorbeeldgedrag door specialisten. Door te stellen dat het alleen gaat om de behandeling van de patiënt rationaliseren zij dat het niet noodzakelijk is om zorgvuldig om te gaan met patiëntendossiers. Als gevolg hiervan kunnen andere specialisten, medewerkers van het secretariaat of medewerkers van de zorgadministratie het (geaccepteerde) gedrag van de specialisten gaan gebruiken als rationalisatie. Hierdoor zullen de maatregelen steeds minder nageleefd worden, met een groeiend aantal incidenten tot gevolg. In het geval van zorgadministraties met een hoge werkdruk, speelt het Soft-controls aspect uitvoerbaarheid een grote rol. Doordat er te weinig tijd is voor het uitvoeren van de werkzaamheden, wordt vaak gekozen voor een snelle oplossing. Hierbij worden vaak essentiële procedures niet uitgevoerd. Dit is precies wat er is gebeurd in een praktijkgeval, waar de zorgadministratie van een ziekenhuis een verzoek ontving om het medisch dossier van een bekende Nederlander. De aanvrager deed zich voor als de fysiotherapeut van de bekende Nederlander en gaf aan het dossier nodig te hebben voor de behandeling. Als gevolg van de enorme drukte op de zorgadministratie heeft de betrokken medewerker niet de aanwezige procedures gevolgd. Hierdoor is niet gecontroleerd aan wie de informatie werd verstrekt en of hiervoor toestemming is verleend door de patiënt. De aanvrager bleek niet de fysiotherapeut van de bekende Nederlander, maar wel goed bevriend met een journalist. Het gevolg was dat het ziekenhuis binnen korte tijd in vele nieuwsmedia stond met een privacy-incident. Op basis van de uitkomsten van een analyse van de kwaliteit van de Soft-controls kunnen gerichte maatregelen worden genomen om het gedrag te beïnvloeden. Dit kan onder meer door middel van het vergroten van helderheid over nut en noodzaak van privacy, (perceptie van) uitvoerbaarheid van maatregelen en bewustwording van goed voorbeeldgedrag. Zo kunnen in het geval van de slingerende patiëntendossiers maatregelen worden genomen in het kader van bewustzijn. Dit laatste werd door een ziekenhuis op ludieke wijze opgepakt. Er werd een bewaker ingehuurd die een hesje aankreeg met daarop de tekst Informatiebeveiliging gedrukt. Toen deze persoon net binnen het ziekenhuis rondliep, heeft hij veel personen aangesproken op de wijze waarop zij omgingen met informatiebeveiliging (bijvoorbeeld het niet locken van computers). Na enige tijd was alleen het zien van deze persoon voor velen al genoeg om terug te lopen naar hun plek en daar de gegevens zorgvuldig op te bergen voordat zij hun plek weer verlieten. Het ziekenhuis laat deze bewaker nog enkele keren per jaar rondlopen om zo de bewustzijn te vergroten. Een ander voordeel van een hoog privacybewustzijn is dat medewerkers minder letten op welke regel zij na moeten leven, maar waarom zij de regel moeten naleven. Als zij in grote drukte dan niet de procedure naslaan, zullen zij beter in staat zijn een afweging te maken die in het verlengde ligt van de regel. Door een goed en gericht bewustzijnsprogramma is het zelfs mogelijk om het aantal procedures terug te dringen, wat tot een kostenefficiëntie kan leiden. Na het doorlopen van de evaluatie op Softcontrols en het nemen van organisatorische maatregelen, vervallen veel organisaties weer in het oude gedrag. De oorzaak hiervan is dat zij niet blijvend aandacht blijven besteden aan het gedrag van de medewerkers, waardoor zij niet gestimuleerd worden om het gewenste gedrag te blijven tonen. Uit veel onderzoeken is gebleken dat medewerkers goed weten wat het goede gedrag is in bepaalde situaties, maar dat zij hier in de waan van de dag niet aan denken en daardoor het ongewenste gedrag gaan vertonen. Het regelmatig besteden van aandacht aan het gewenste gedrag heeft grote effecten op de mate van gewenst gedrag binnen de organisatie. Het is dus van essentieel belang dat organisaties regelmatig het gedrag blijven monitoren en daar ook regelmatig expliciet aandacht aan geven. Gedrag is dus het fundament voor privacynaleving Zoals hiervoor besproken is er binnen de zorgsector steeds meer aandacht voor privacycompliance. De zorgsector focust zich in dit kader met name op de informatiebeveiliging, waarbij zeer grote stappen zijn genomen de afgelopen jaren. Ook op het gebied van processen en procedures die privacynaleving moeten waarborgen is een grote vooruitgang waar te nemen in de zorg. Toch zorgen deze maatregelen er niet voor dat het aantal incidenten tot een minimum gereduceerd wordt. Er blijft sprake van ongewenst gedrag binnen zorginstellingen, waardoor privacy-incidenten kunnen optreden. Door specifieke aandacht te geven aan het ongewenste gedrag en maatregelen daarvoor te treffen valt de mate van privacynaleving aanzienlijk te verhogen. Gedrag vormt dus het sluitstuk op een succesvolle privacynaleving.

13 Natuurlijk gaat u digitaal patiëntgegevens uitwisselen! Waar moet u op letten? 11 Itte Overing, mr., juridisch adviseur, ICTRecht, Amsterdam / FOTOGRAFIE: Jarinde de Klerk

14 12 Een goed begin is het halve werk. Natuurlijk bent u reeds bekend met (delen van) onderstaande uiteenzetting van regels. Misschien wat minder met wat die regels betekenen vanuit een digitaal oogpunt. Mijn doel is u bewust te maken van wat er op digitaal vlak allemaal speelt en waar de paden van de techniek en het recht elkaar kruisen. Een cliché. Maar een goed begin ís het halve werk. Ietwat voorzichtig zeg ik nu dat het Landelijk schakelpunt blijft bestaan. Na de in een vorig nummer al beschreven flipperkast van ja s en nee s, blijkt dit de uitkomst. Juridisch gezien is het antwoord nog steeds nee. Nee, geen wet op het elektronisch patiëntendossier ( wet op het EPD ). Vind ik dat jammer? Jazeker! Onwerkbaar, nee dat niet. We houden natuurlijk de Wet bescherming persoonsgegevens ( Wbp ) en de Wet op de geneeskundige behandelingsovereenkomst. Nu is er een landelijk schakelpunt waarop de verschillende soorten hulpverleners kunnen aansluiten. U kunt ook kiezen voor een andere aanpak: zelf een regionaal netwerk opzetten. Maar wat zijn de regels? Insteek van dit artikel is geen wetenschappelijke uiteenzetting of opinie. Wel wil ik u graag een aantal handvatten bieden waar u juridisch gezien, rekening mee moet houden bij de uitwisseling van gegevens tussen hulpverleners en wat die regels betekenen bij digitale uitwisseling. Ik start met de basisregels over het uitwisselen van gezondheidsgegevens. Vervolgens bespreek ik missende regelgeving en hoe u hiermee om kunt gaan. Geen wet op het EPD heeft immers wel een paar lacunes gelaten. Ten slotte ga ik in op een aantal aspecten van de digitale uitwisseling van patiëntgegevens en geef ik u juridische tips hoe u de basisregels hier dient te vertalen. Allereerst de basis Indien u gezondheidsgegevens wilt gaan uitwisselen spelen er twee rechten van de patiënt. Dat zijn het medisch beroepsgeheim, het recht op zwijgen door de hulpverlener over de patiënt, en de informationele privacy, the right tot be left alone van de patiënt. Beide dienen in eren gehouden te worden bij de uitwisseling van de gezondheidsgegevens van de patiënt. Het beroepsgeheim komt voort uit het geheim dat geëist wordt door het beroep van een hulpverlener. Dit dient zowel het algemeen belang als het persoonlijk belang van de patiënt. Het medisch beroepsgeheim bestaat uit twee delen: de zwijgplicht en het verschoningsrecht. Het verschoningsrecht laat ik hier buiten beschouwing. De hulpverlener heeft de plicht (niet het recht) om te zwijgen over alles wat hem binnen een behandelrelatie ter oren of voor ogen komt. De hoofdregel is dat de hulpverlener de zwijgplicht alleen mag doorbreken met de toestemming van de patiënt. Het gaat dan om informatie door een arts verzameld tijdens een consult, de röntgenfoto s die later worden toegestuurd of de waarden zoals vertoond in een hartfilmpje. Ook gaat het om informatie over stress die de patiënt op het werk beleeft of ruzie thuis zolang het binnen een behandelrelatie wordt verteld. Elke zelfstandige hulpverlener zoals benoemd in de Wet op de BIG (Wet op de beroepen in de individuele gezondheidszorg) heeft een zwijg- plicht ten aanzien van de medische informatie. Iemand kan ook een gedeelde of een afgeleide zwijgplicht hebben. Als er meerdere behandelende hulpverleners binnen één behandelovereenkomst zijn, dan is er een gedeelde zwijgplicht. Twee specialisten die gezamenlijk een patiënt behandelen, mogen informatie over die patiënt delen. De toestemming van de patiënt wordt verondersteld. Iemand die wel met gezondheidsgegevens werkt maar geen hulpverlener is en een beroep uitoefent dat geen zwijgplicht eist, kan een afgeleide zwijgplicht hebben. Voorgaande alleen indien dit noodzakelijk is voor het beheer van de instelling of voor een goede behandeling van de patiënt. De zwijgplicht moet dan contractueel worden opgelegd. Er kan dus gezondheidsinformatie uitgewisseld worden tussen personen met een gedeelde of een afgeleide zwijgplicht. Daarnaast zijn er situaties waarin niet de toestemming van de patiënt wordt verondersteld maar waarbij er een andere goede reden is om de zwijgplicht te doorbreken. Denk dan aan de wet die doorbreking voorschrijft. Bijvoorbeeld in het geval van infectieziektes. Maar denk ook aan een zodanige situatie die de arts dwingt de zwijgplicht te doorbreken. Kennis over de beraming van een moord kan een reden zijn om de zwijgplicht te doorbreken. Het gaat hier om een conflict van plichten waarbij de hulpverlener een afweging moet maken of hij wel of niet zijn zwijgplicht moet doorbreken. Hij moet dan alles in het werk hebben gesteld toestemming voor doorbreking te krijgen en het niet doorbreken moet (onder andere) ernstige schade toebrengen aan een ander. De hulpverlener mag nooit meer vertellen dan noodzakelijk. De zwijgplicht mag ook doorbroken worden als er sprake is van een zwaarwegend belang. Een aanzienlijke erfenis kan een dergelijk zwaarwegend belang zijn. Ook hier geldt natuurlijk dat er niet meer informatie uitgewisseld mag worden dan noodzakelijk. Indien u de zwijgplicht mag doorbreken vanwege een van de vijf bovengenoemde redenen, dan kunt u informatie gaan delen voor zover de informationele privacy dat toestaat. Informationele privacy is terug te vinden in de Wet bescherming persoonsgegevens maar ook in de WGBO, de Wet op de geneeskundige behandeling en andere wetten speciaal opgesteld voor de gezondheidszorg. De algemene regel is dat bijzondere persoonsgegevens zoals gezondheidsgegevens, niet mogen worden verwerkt en dus ook niet mogen worden uitgewisseld. Gelukkig zijn er uitzonderingen. U mag wel gegevens verwerken als dit noodzakelijk is voor de goede behandeling. Zo bestaat er een plicht voor een hulpverlener om van zijn of haar patiënten een dossier bij te houden. Een tweede uitzondering is dat gegevens mogen worden verwerkt indien dit noodzakelijk is voor het beheer van de instelling en deze verwerking enkel plaatsvindt door personen met de plicht om deze gegevens geheim te houden. Daarnaast gelden de algemene regels van de Wbp welke van toepassing zijn op alle verwerking van persoonsgegevens, bijzondere en gewone. Zoals dat de verantwoordelijke, dege-

15 ne die het doel bepaalt voor het verzamelen van de persoonsgegevens, verantwoordelijk is voor een adequate beveiliging van de gegevens. In de zorg is dat meestal de instelling (en dan specifiek de raad van bestuur of de directie) of de zelfstandig gevestigde hulpverlener zoals een huisarts. Een beveiliging is adequaat als ervoor gezorgd wordt dat de patiëntdossiers niet toegankelijk zijn voor onbevoegden maar ook dat de integriteit en juistheid van de dossiers beschermd is. U begrijpt dat de beveiliging van bijzondere persoonsgegevens zoals patiëntdossiers beter moet zijn dan de beveiliging van enkel de naam, adres en woonplaats van een bepaalde persoon. Adequaat beveiligen is dan niet zoals bij webmail gangbaar is (denk aan Gmail en Hotmail waarbij enkel een gebruikersnaam en een wachtwoord vereist zijn) maar wel zoals bij internetbankieren (hier wordt naast een wachtwoord en gebruikersnaam een identifier of tan-code gebruikt om te kijken of iemand die inlogt wel is wie hij zegt te zijn) als het gaat om het verkrijgen van toegang tot de gegevens. Binnen de zorg is het geen identifier maar de UZI-pas. Naast dat de verantwoordelijke moet zorgen voor adequate beveiliging, moet deze de patiënt ook inzicht geven in zijn of haar dossier en hier desgewenst een kopie van geven. Vaak wordt dit recht van de patiënt verward met het eigendom van het dossier. Het fysieke dossier blijft echter gewoon van de hulpverlener. Een digitaal dossier bestaat uit tekst en de drager van deze tekst. Eventueel auteursrecht dat op de tekst rust ligt bij de hulpverlener. De drager kan van de hulpverlener zijn maar ook van een leverancier. Uiteraard staan niet alle regels over (digitale) gegevensuitwisseling in deze wetten beschreven. Er staat ook nog wat her en der verspreid in speciale wetten en op grond van de Kwaliteitswet zorginstellingen moeten zorginstellingen hun eigen kwaliteitseisen formuleren. Wet op het EPD De wet op het EPD had als doel een aantal regels vast te stellen over de landelijke elektronische uitwisseling van patiëntgegevens en het gebruik van de bijbehorende infrastructuur. Zoals al in het begin aangegeven hebben we nu geen wet maar nog wel de infrastructuur. In het wetsvoorstel voor de wet op het EPD en het debat rondom dit onderwerp een aantal rechten van de patiënt toegezegd waarin nu niet voorzien is. En dan vooral de volgende vier: 1 het recht om de toegang te beperken voor bepaalde hulpverleners; 2 het recht om bepaalde gezondheidsgegevens of indexgegevens af te schermen; 3 het digitale inzagerecht. In de Wbp is al een inzagerecht voor de patiënt verankerd. Het verschil is dat het laten inzien van het dossier zoals vastgelegd in de Wbp niet per se digitaal hoeft; 4 het recht op een aan logging gekoppelde en sms-signalering. Dus als een dossier via het landelijk schakelpunt ergens geopend wordt, krijgt de betreffende patiënt daarvan via de mail of sms een melding. Natuurlijk stond ook de opt-out regel beschreven in de wet op het EPD. Dit hield in dat de patiënt sowieso werd opgenomen in de index van het Landelijk schakelpunt. Hij of zij had echter het recht om dit schriftelijke én met bewijs van identiteit te wijzigen. Afgelopen tijd is overduidelijk geworden dat men dit ongewenst acht. Althans, in de verschillende (politieke-) discussies is gebleken dat een opt-in gewenst is. Dat betekent dat een dossier pas inzichtelijk en zichtbaar wordt via het landelijk schakelpunt na uitdrukkelijke toestemming van de patiënt. Mocht u bovenstaande regels alsnog willen hanteren en breed in willen voeren, dan moet de zorgbranche deze gezamenlijk onderschrijven als kwaliteitseis. Natuurlijk gaat u digitaal uitwisselen. Waar moet u op letten? U moet op alles letten. Van uw inkoopvoorwaarden tot bij wie u inkoopt, wat u in de arbeidscontracten zet van niet-medisch personeel en welk gedrag u uw personeel aanleert. In alles moet u rekening houden met de regels over digitale uitwisseling van patiëntgegevens en de gevoeligheid van deze gegevens. Het start met de keuze voor een platform en het systeem dat daarop draait waarmee u patiëntgegevens verwerkt. Deze architectuur bepaalt de mogelijkheden. Ik ga hier niet in op welke architectuur u moet verkiezen, dit hangt immers geheel af van de wensen van uw patiënten, uw organisatie en de in uw regio reeds gebruikte architecturen. Ik ga enkel in op de regels die u in uw achterhoofd moet houden bij het maken van keuzes over de architectuur. Zonder te pretenderen volledig te zijn zal ik de volgende onderwerpen rondom de uitwisseling behandelen: (1) de inkoopvoorwaarden; (2) de applicatie; (3) de personen of bedrijven die met de gegevens werken en; (4) de digitale uitwisseling. 1 De inkoopvoorwaarden De inkoopvoorwaarden moeten rekening houden met de inkoop van ICT-diensten en niet enkel met tastbare zaken. De inkoop van ICToplossingen is wezenlijk anders dan de inkoop van fysieke producten en adviesdiensten. Denk hierbij bijvoorbeeld aan onderwerpen als het sluiten van een bewerkersovereenkomst, het geven van een verantwoordelijkheid voor de continuïteit van de ICT-dienst voor een minimale duur na een bedreiging van die continuïteit. Natuurlijk kunnen hier ook minimale beveiligingseisen worden afgedwongen zoals het hanteren van bepaalde normen (NEN, ISO). U moet de inkoopvoorwaarden ter hand stellen zodat deze een rechtsgeldig onderdeel zijn van de overeenkomst met de leverancier. Dit houdt in dat u deze van toepassing moet verklaren en de voorwaarden voor of tijdens het sluiten van een overeenkomst aan de leverancier geeft. Indien u dit nalaat kan de leverancier de voorwaarden van tafel vegen bij een geschil. U kunt de inkoopvoorwaarden bijvoorbeeld per mail als bijlage toesturen. De leverancier moet ze kunnen bewaren en later eens teruglezen. 2 De applicatie Uitdrukkelijk verkies ik de term applicatie boven bijvoorbeeld softwarepakket. Ik doel hier 13

16 NVMA Vereniging voor Zorgadministratie en Informatie en de Landelijke Medische Registratie (LMR) bestaan 50 jaar P e r s b e r i c h t Samen met Dutch Hospital Data (DHD) organiseert de NVMA Vereniging voor Zorgadministratie en Informatie een congres rondom jubileum 50 jaar LMR. DHD en NVMA organiseren op 26 september 2013 een gezamenlijk congres. De redenen voor dit congres zijn: het 50-jarig bestaan van de Landelijke Medische Registratie, het 50-jarig bestaan van de NVMA, het 40-jarig bestaan van het Tijdschrift voor Zorgadministratie en Informatie (NTMA) en het 5-jarig bestaan van DHD. Een toepasselijke locatie wordt nog gezocht. Tijdens het congres zal de 50-jarige geschiedenis van de LMR worden belicht, en de waarde van de LMR worden besproken. LMR wordt LBZ Landelijke Basisregistratie Ziekenhuiszorg. Wat wordt de rol van de LBZ? Ook de geschiedenis van classificatie, coderingen, definitie en standaardisatie en archivering, digitalisering en EPD zullen in vogelvlucht aandacht krijgen. Natuurlijk ook de DBC systematiek die gestart is in DHD en NVMA spelen beide een belangrijke rol bij de registratie van diagnosen en verrichtingen binnen de ziekenhuizen. DHD stelt diagnosen- en verrichtingensystemen beschikbaar en verzamelt deze data vanuit de ziekenhuizen en de NVMA is de spil bij de opleidingen in de Zorgadministratie en informatievoorziening aan zorgadministrateurs, DBC deskundigen en medisch codeurs. Meer informatie over het congres is verkrijgbaar bij de NVMA: m.dekker@nvma.nl en han@runnenberg.nl DHD: John van Heukelingen vanheukelingen@hospitaldata.eu 14

17 namelijk op het geheel, het softwarepakket, de databases en de daarin opgenomen data, de server(s) waar het geheel op draait en de toegankelijkheid via een intranet of via het internet. U zult een keuze moeten maken tussen een applicatie binnenshuis of buitenshuis. Een behoorlijk ziekenhuis zal waarschijnlijk kiezen voor binnenshuis daar zij de beveiliging dan zelf in de hand heeft en weet op welke server haar patiëntdata staat. Als verantwoordelijke bent u immers verantwoordelijk voor een adequaat beveiligingsniveau. U kunt ook kiezen voor een applicatie buitenshuis. U blijft eindverantwoordelijke en moet bij uitbesteding nagaan of alle onderdelen van de applicatie voldoende beveiligd zijn. Zo moet bekend zijn op welke server de databases draaien (in ieder geval niet buiten Europa). Of het datacenter waar de server staat voldoende normen in het kader van de beveiliging hanteert. Hetzelfde geldt voor de aanbieder van de applicatie via het internet (de SaaS-dienstverlener). En, mocht die aanbieder gebruik maken van een hoster, simpel gezegd degene die de servers managed, dan moet ook die een voldoende niveau van beveiliging hanteren. Zo ziet u, de keten kan lang zijn. Voor zowel applicaties binnenshuis als in de cloud geldt dat ze structureel goed en veilig gebouwd moeten zijn. Als uw applicatie benaderbaar is van buiten af, dan moet deze zo gebouwd zijn dat de bekende hack-technieken zoals path-traversal en SQL-injections niet mogelijk zijn. Er zijn verschillende bedrijven die dit voor u kunnen controleren. Een gemiddeld ziekenhuis zal merendeel in huis hebben of regionaal delen. Dan zijn de volgende vraagstukken van belang. Ten eerste, kan de applicatie vanuit thuis benaderd worden door een daartoe gerechtigd persoon? Denk dan na over de soort verbinding die hiervoor nodig is. De patiëntgegevens zullen versleuteld verzonden moeten worden naar de thuiscomputer. Ten tweede, als de applicatie regionaal gedeeld wordt, moet er duidelijk zijn wie er verantwoordelijk is voor applicatie en de koppelingen en hoe beslissingen hieromtrent worden genomen. Vaak wordt er gekozen voor een rechtsvorm zonder winstoogmerk waarin alle belangen vertegenwoordigd worden en daaronder een organisatie voor het dagelijks bestuur. De rechtsvorm zonder winstoogmerk bepaalt dan het beleid voor de organisatie. Ten derde moet er iets geregeld zijn omtrent continuïteit van de applicatie en dan met name de data. Veel ziekenhuizen hebben al de verzamelde data veelal dubbel staan en dan het liefst op twee verschillende servers op verschillende locaties. De data moeten ook toegankelijk blijven. Dit is immers noodzakelijk om zorg te leveren zoals het een goed zorgverlener betaamt. En daarnaast moet het van de wet. Informatie opgeslagen in een bepaald format kan over tien jaar lastig te lezen zijn. Bijvoorbeeld omdat u bent overgestapt naar een andere leverancier, omdat er een nieuwe versie is geïmplementeerd of omdat de leverancier van een essentieel deel van de applicatie failliet is gegaan. U moet dus zorgen voor een format zonder vendor lock-in. Kleinere instellingen hebben niet altijd de mogelijkheid alles dubbel op verschillende eigen servers weg te zetten. Voor hen is het aan te raden om aan tafel te gaan zitten met hun leverancier(s) en te vragen wat zij bieden ten behoeve van de continuïteit. Drie onderdelen moeten dan besproken worden: continuïteit van de licentie voor het softwarepakket, continuïteit van de hosting van het pakket en de data en indien van toepassing, de continuïteit van cruciaal personeel van de leverancier. De lengte van de periode van continuïteit nadat de leverancier zelf niet meer levert, kunt u het beste laten afhangen van de tijd die nodig is voor de migratie naar een andere applicatie. 3 De personen of bedrijven die met de patiëntgegevens werken Bij de digitale uitwisseling spelen vaak naast artsen ook ander personeel zoals IT-ers of secretaresses een grote rol. Zij hebben een afgeleide zwijgplicht. Mocht de IT-er in dienst zijn bij de zorginstelling, dan kan er in zijn arbeidscontract worden opgenomen dat hij of zij een zwijgplicht heeft ten aanzien van alle patiëntgegevens. Als de IT-er niet in dienst is, maar bijvoorbeeld zzp-er, dan kan het opgenomen worden in de overeenkomst van opdracht of een aparte overeenkomst. Indien u een extern bedrijf of persoon inhuurt voor (een deel van) de verwerking van patiëntgegevens, dan moet daarmee een bewerkersovereenkomst worden gesloten. Daarin wordt onder andere opgenomen wie de verantwoordelijke is voor de verwerking en dat de bewerker, hier het externe bedrijf, een passend beveiligingsniveau zal implementeren. 4 De digitale uitwisseling Hoofdregel is dus dat er uitdrukkelijke toestemming wordt gevraagd aan de patiënt. Daarnaast heeft het de voorkeur dat de patiënt het delen van zijn informatie kan limiteren. Dan heb ik het zowel over de doeleinden waarvoor er gedeeld mag worden (behandeling en/of onderzoek) maar ook welke informatie er gedeeld mag worden. Geef bijvoorbeeld de mogelijkheid om uitzonderingen te maken op het gebied van seksueel overdraagbare ziektes en op het gebied van psychiatrie. Hiertoe moet een duidelijke procedure worden geïmplementeerd. Dan, als u die toestemming heeft, moet het delen van patiëntinformatie adequaat beveiligd worden. Als het goed is kunt u, in de nabije toekomst, bij regionale uitwisseling gebruik maken van de Gedragscode elektronische gegevensuitwisseling in de zorg om te bekijken waar u allemaal rekening mee moet houden. De volgende punten zijn naar mijn mening het belangrijkst: toegang kan alleen na identificatie, authenticatie en tot gegevens waarvoor de geïdentificeerde geautoriseerd is; de gegevens moeten versleuteld verzonden worden en er moet gelogd worden zodat er ook achteraf toezicht gehouden kan worden. Een laatste noot bij het uitwisselen van patiëntgegevens. Er is (nog) geen verplichting tot het doorbreken van de zwijgplicht en het uitwisselen van patiëntgegevens. Dit kan veranderen: de 15

18 16 zorg kan het doorbreken bestempelen als een kwaliteitseis. Literatuur - M.C.I.H. Biesaart e.a. Tekst & Commentaar Gezondheidsrecht, Mr. drs. T.F.M. Hooghiemstra en drs. R. Gerards De informatiepositie van de patiënt, Privacy & Informatie, april 2010, afl.2, p Mr. drs. T.F.M. Hooghiemstra en mr. dr. J. Nouwt ehealth en recht, inleiding op het thema, Computerrecht, december 2011, afl. 6., p Prof. dr. H.J.J. Leenen e.a. Handboek gezondheidsrecht, Deel 1 - Rechten van mensen in de gezondheidszorg, 2011 Samenvatting Daar de wet op het EPD niet is aangenomen en u toch digitaal gaat uitwisselen, geef ik u een uiteenzetting van met welke regels u rekening moet houden. Mijn doel is u bewust te maken van wat er op digitaal vlak allemaal speelt en waar de paden van de techniek en het recht elkaar kruizen. De basisregels voor het uitwisselen van patiëntgegevens bestaan uit twee rechten van de patiënt. Ten eerste het recht op zwijgen door de hulpverlener en ten tweede de informationele privacy, the right tot be left alone. Doordat de wet op het EPD geen doorgang heeft gevonden missen enkele verduidelijkingen van deze regels zoals toepasbaar bij de digitale uitwisseling. Indien de zorgbranche deze alsnog wilt hanteren, dan kan zij deze benoemen als kwaliteitseis. Met betrekking tot de digitale uitwisseling worden de volgende punten tegen het licht van de basisregels gehouden: (1) de inkoopvoorwaarden, zorg dat deze zijn afgestemd op het afnemen van ICT-diensten en stel de voorwaarden juist ter hand; (2) de applicatie, deze bestaat uit, het softwarepakket, de databases en de daarin opgenomen data, de server(s) waar het geheel op draait en de toegankelijkheid via een intranet of via het internet. Voor alle onderdelen moet in veiligheid en continuïteit worden voorzien, binnenshuis en in de cloud; (3) de personen of bedrijven die met de patiëntgegevens werken, om te voldoen aan de regels dienen soms overeenkomsten gesloten te worden, en; (4) de digitale uitwisseling, nadat u uitdrukkelijke toestemming heeft gekregen van de patiënt, kunt u gegevens uitwisselen indien dit nodig is voor de behandeling en het delen goed beveiligd wordt. EXTERNE ARCHIEFOPSLAG EXTERNE OPSLAG U wilt toch ook niet dat uw medische gegevens op straat liggen? KIES DAN VOOR VEILIGE, EXTERNE OPSLAG BIJ JALEMA ARCHIEFSPECIALIST Tot 15 jaar zorgeloos bewaren in het kader van de WGBO. In een pand dat aan de archiefwet voldoet. Opslag minstens zo veilig als in het eigen archief. Kostenbesparend. Concurrerend opslagtarief. Informatie blijft op afstand snel en makkelijk toegankelijk. Gecertificeerde vernietiging. Reeds velen gingen u voor. Jalema heeft meer dan 60 jaar ervaring in archiefoplossingen en 14 jaar in de opslag voor derden. www. archiefs pecialist.com

19 Hoe lang kan een IBS aanvraag duren? Een verpleeghuis vraagt een consult voor een 66 jarige alleenstaande, manisch depressieve man met geheugenstoornissen door alcoholmisbruik. Hij was daar ter revalidatie van zijn ribfracturen die hij thuis door een val had opgelopen. Zelfstandig wonen kon niet meer. Desondanks wilde hij naar huis. Al een week weigerde hij zijn medicatie en werd toenemend achterdochtig en prikkelbaar. Aangesproken op zijn vloeken en schelden naar personeel en bejaarde medepatiënten verergerde zijn boosheid alleen maar. Hij weigerde te douchen of geholpen te worden bij zijn ADL*. Men was bang voor hem geworden. s Middags probeerde ik met hem te praten maar ik kon alleen maar opflikkeren en oprotten. Tegen zijn gebries in zei ik hem dat ik terugkwam als hij zijn medicatie niet innam. De volgende dag werd ik al om uur gebeld dat patiënt niet meer gegeten en gedronken had en zijn medicijnen weigerde. Hij had gezegd mensen te gaan slaan. Ik liet mijn afspraken vanaf uur afzeggen. Twintig minuten probeer ik te vergeefs het afgesloten EPD van deze ex -patiënt van ons te openen. De dienstdoende sociaal psychiatrisch verpleegkundige die mee zou gaan, bleek op huisbezoek en kon niet eerder dan uur in het verpleeghuis zijn. Daar wilde ik patiënt een hand geven, maar ook nu volgde: opflikkeren en oprotten. Desondanks wilde ik met hem praten en bleef staan. Plots haalde hij met een vuist uit. Ik kon nog net zijn pols grijpen. Met hulp beëindigde ik het contact. Omdat deze situatie vast zou escaleren besloot ik een inbewaringstelling (IBS; gedwongen opname) aan te vragen. Dat kan via internet en zodoende vulde ik op de artsenkamer de formulieren on-line in uur. Bijna klaar. Alleen nog het akkoord van de burgemeester of zijn waarnemer. Een voic verzocht te sms-en of de secretaresse te bellen. Ik sms-te: Graag IBS- overleg. Na 10 minuten herhaald. Nog eens 10 minuten later de secretaresse gebeld. Of ik over een uur terug wilde bellen, zijn waarnemer is op vakantie (schoolpleingeluiden?). Wat te doen. Ons psychiatrisch ziekenhuis bleek vol. Zoeken naar een gastplaatsing elders. Het naburige instituut zei: Jullie zitten in ons werkgebied, dus los het nu maar zelf op. Onverwacht belde BOPZ-online *, waarom mijn formulieren open bleven staan. Situatie uitgelegd. Men ging er achter aan. De psychiater van een ander instituut ging akkoord maar zijn management zou de definitieve toestemming doorbellen uur sms-je: IBS-verzoek ingewilligd. Op mijn scherm veranderde echter niets. Zelf maar BOPZonline gebeld, en even later verscheen echt de accordering uur. Nog eens de collega gebeld. Hij blijkt net op weg om te overleggen met zijn management uur. Patiënt is welkom. Ik bel de ambulancecentrale. Het kan een paar uur duren want niet urgent uur. De ambulance is er. Dankzij een kalmerend middel gaat patiënt bereidwillig op de brancard liggen en met opgeheven hoofd rijdt hij met de broeders de lift in. Om uur verlaten wij het pand. ADL: algemene dagelijkse levensverrichtingen, zoals wassen, aankleden, etc. BOPZ-online : instantie die de administratieve afhandeling van een IBS-aanvraag (in het kader van de BOPZ) via internet mogelijk maakt. BOPZ: De Wet Bijzondere Opnemingen in Psychiatrische Ziekenhuizen regelt gedwongen opname en behandeling van mensen die lijden aan een psychiatrische stoornis en beschermt hun rechten bij gedwongen opname. c o l u m n V i k t o r S t r e f o n i s 17

20 Privacy en so trends in Dit verhaal is een bewerking van de lezing die de auteur op 8 maart 2012 gaf op het NVMA congres Gegevensuitwisseling in de Gezondheidszorg. Het jaar 2011 was een onrustig jaar als het gaat om de omgang met informatie in de zorg. Eigenlijk hebben we altijd gedacht dat het landelijk EPD er wel zou komen en er ging dan ook een schok door de zorg-ict heen toen op 5 april 2011 de Eerste Kamer de plannen wegstemde. En toen ging het niet/wel/niet en nu weer wel door maar dan anders dan we eerst bedacht hadden. En of je nu voor of tegen bent, het grootste richting bepalende project in de zorg-ict laat ons nu stuurloos achter. Mogelijk de belangrijkste reden dat het L-EPD werd afgestemd was dat de privacy niet goed geregeld werd. Een beetje vreemd: de privacy was in de uitwisseling van medische informatie nog helemaal niet goed geregeld. Met de nieuwe wetgeving om van het L-EPD heen zou het beter worden. Maar omdat die wetgeving nog net niet helemaal goed was gaat het allemaal niet door en mogen nu de verzekeraars er de scepter over zwaaien. Minister Schippers kreeg niet voor niets op 7 maart 2012 de Big Brother Award. 1 We hebben er wel wat van geleerd: als patiënt zit je nu altijd vast aan een of andere opt-in regeling als je medische informatie uitgewisseld moet worden met een andere zorgverlener. Hoeveel van deze, meestal slecht geformuleerde, papiertjes heeft u al moeten ondertekenen? Of zelf al opgesteld? Gelukkig komen er nu sterkere regelingen aan maar dat duurt nog even. Voorbeelden zijn de voor- 18 Berend de Vries, Comfort-IA