In de werkgroep over DIS/TTP heeft het CBP in meerdere instanties nadrukkelijk op deze aandachtspunten gewezen.

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN Ministerie van Volksgezondheid, Welzijn en Sport DATUM 12 oktober 2004 CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Verwerking persoonsgegevens in het DIS In zijn brief van 14 mei 2004 waarschuwt het CBP ervoor dat voor verwerking van persoonsgegevens in het DBC-informatiesysteem (DIS) een noodzaak alsmede een wettelijke basis moet zijn teneinde rechtmatig te kunnen plaatshebben. In deze brief gaat het CBP nogmaals in op deze vereisten. Tevens gaat het CBP hieronder kort in op uw brief van 21 september 2004, waarmee u reageert op de brief van 14 mei In de DBC-systematiek is voorzien in een informatie- en onderhoudsorgaan. Dit orgaan wordt in dit kader vaak TTP (Trusted Third Party) genoemd. Hoewel het orgaan geen TTP is in de gebruikelijke betekenis van TTP, wordt het orgaan in deze brief gemakshalve ook als TTP aangeduid. De TTP heeft kort gezegd als taak het ontvangen, verwerken en verstrekken van gegevens. De TTP zal gegevens verwerken die worden aangeleverd door de ziekenhuizen (en medisch specialisten) en door de zorgverzekeraars. Mogelijk bevatten deze gegevens ook medische persoonsgegevens. Medische persoonsgegevens zijn persoonsgegevens met een gevoelig en beschermingswaardig karakter. Patiënten en verzekerden moeten erop kunnen vertrouwen dat hun medische persoonsgegevens veilig zijn en uitsluitend worden verwerkt door diegenen die daartoe bevoegd zijn. De wetgever heeft dit belang erkend door de verwerking en verstrekking van medische persoonsgegevens slechts in een beperkt aantal gevallen toe te staan, zoals onder meer blijkt uit de Wet op de geneeskundige behandelingsovereenkomst (WGBO, opgenomen in de artikelen 7:446 tot en met 7: 468 BW) en de Wet bescherming persoonsgegevens (WBP). In dit kader behoeven de volgende onderwerpen met betrekking tot verwerking van persoonsgegevens door de TTP naar het oordeel van het CBP extra aandacht: De wettelijke grondslag voor verstrekking van medische persoonsgegevens aan de TTP; De vraag van de noodzakelijkheid voor verstrekking van medische persoonsgegevens aan de TTP; de TTP als bewerker in de zin van de WBP. In de werkgroep over DIS/TTP heeft het CBP in meerdere instanties nadrukkelijk op deze aandachtspunten gewezen. Wettelijke grondslag voor verstrekking van medische persoonsgegevens Ziekenhuizen en medisch specialisten zijn gebonden aan de medische geheimhoudingsplicht op grond van artikel 7:457 BW. Dat betekent dat in beginsel geen gegevens over patiënten aan BIJLAGEN BLAD 1

2 derden (zoals de TTP) mogen worden verstrekt, behoudens in geval van toestemming van de patiënt, een wettelijke verplichting of een conflict van plichten. In dit kader is slechts de mogelijkheid van een wettelijke verplichting relevant. Momenteel bestaat er geen formeelwettelijke grondslag (verplichting) op basis waarvan ziekenhuizen of medisch specialisten medische persoonsgegevens kunnen verstrekken aan de TTP. Zolang er geen wettelijke basis is voor het verstrekken van persoonsgegevens aan de TTP, is een dergelijke verstrekking strijdig met de medische geheimhoudingsplicht. Terzijde merkt het CBP hierbij op dat de TTP een derde is in de zin van artikel 7:457 BW, ook als de TTP een bewerker is van het ziekenhuis (in de zin van de WBP). Noodzakelijkheid De wettelijke grondslag dient te voldoen aan het noodzakelijkheidscriterium. Dat wil zeggen dat de wetgever bij het vaststellen van de wettelijke bepaling de afweging moet maken of de verwerking van de bijzondere persoonsgegevens die bij die wet wordt geregeld, noodzakelijk is in het kader van een zwaarwegend algemeen belang en of er voldoende waarborgen zijn gecreëerd voor een zorgvuldige verwerking. Het noodzakelijkheidscriterium is neergelegd in artikel 8 EVRM. Hieruit volgt dat de (bij wet geregelde) beperking op het recht van eerbiediging van de persoonlijke levenssfeer slechts kan worden gerechtvaardigd door een pressing social need in verband met een van de in artikel 8, lid 2 EVRM genoemde gronden en in concreto in overeenstemming moet zijn met de beginselen van proportionaliteit en subsidiariteit. Dit vereist inzicht in de aard en omvang van te verstrekken gegevens, die dus voldoende specifiek moeten worden aangegeven in de wettelijke bepaling. Een algemene wettelijke machtiging voor het verstrekken van persoonsgegevens is in dit kader niet voldoende. Om te bepalen of verwerking van persoonsgegevens door de TTP noodzakelijk is, dienen in de eerste plaats de taken en doelen van de TTP helder en nauwkeurig omschreven te zijn. Naar het oordeel van het CBP is dit nu niet het geval. Het CBP verwijst hiervoor onder meer naar de discussie die in de Stuurgroep inrichting TTP (waarin, naast het ministerie van VWS onder meer Zorgverzekeraars Nederland, de Nederlandse Vereniging van Ziekenhuizen en de Orde van Medisch Specialisten zijn vertegenwoordigd) wordt gevoerd over de inrichting van het DIS en de samenstelling van de MDS (Minimale Data Set). Een aantal doeleinden van de TTP zijn besproken en beschreven (onder andere in het Eindrapport Werkgroep Informatievoorziening DBC s en uw brief van 21 september 2004 omtrent de verwerking van persoonsgegevens in DIS/TTP) maar deze zijn niet steeds dezelfde en bovendien wordt er ruimte opengehouden voor het toevoegen van taken aan de TTP op basis mede waarvan de MDS is vastgesteld. Een van de doelen is in elk geval niet de betaling van de rekening van de patient, op grond waarvan de verwerking van persoonsgegevens in bepaalde mate noodzakelijk kan zijn (al dan niet door tussenkomst van een TTP). BLAD 2

3 Het CBP merkt op dat, zolang de taken en de doelen van de TTP niet duidelijk en vaststaand zijn, de concrete afweging van de noodzakelijkheid van verwerking door de TTP van medische persoonsgegevens niet gemaakt kan worden. Gelet op nu beschikbare informatie over de TTP valt door het CBP niet in te zien dat verstrekken van persoonsgegevens aan de TTP door ziekenhuizen, dan wel medisch specialisten, is toegestaan. In uw brief van 21 september 2004 gaat u specifiek in op de noodzaak om persoonsgegevens te verwerken in het DIS vanwege risicoverevening tussen ziekenfondsen (en vanaf 2006 tussen alle ziektekostenverzekeraars). Het CBP onderkent de noodzaak van risicoverevening, maar heeft wel bezwaren tegen de voorgestane methode afgezien van de gehanteerde methode. Uiteraard geldt voor gegevensverwerking ten behoeve van risicoverevening hetzelfde als voor de verwerking van persoonsgegevens voor andere doelen voor wat betreft de noodzaak van een wettelijke grondslag zoals in deze brief beschreven (noodzakelijkheidsvereiste, wettelijke basis). Anders dan u schrijft gaat het CBP er in zijn algemeenheid van uit dat voor het maken van een koppeling tussen gegevens van meerdere partijen het gebruik van persoonsgegevens geen vereiste is. Los van het feit dat door het samenbrengen van gegevens deze in onderlinge samenhang soms als persoonsgegevens dienen te worden beschouwd, hoeft een koppelingsgegeven niet perse ook het karakter van een persoonsgegeven aan te nemen. Een mogelijkheid is het gebruik van pseudoidentiteit. Het onderwerp van risicoverevening behoeft volgens het CBP nadere bespreking buiten dit schrijven om. Bewerkersconstructie Op grond van de WBP is iemand die persoonsgegevens verwerkt een verantwoordelijke, of een bewerker. Indien de TTP moet worden beschouwd als verantwoordelijke, dan geldt dat tevens een ontheffing van het verbod op verwerking van gezondheidsgegevens noodzakelijk is overeenkomstig artikel 21 dan wel 23 WBP voor de TTP ( en niet slechts voor de ziekenhuizen en de zorgverzekeraars). Indien voldoende inzicht wordt gegeven in de aard en omvang van de te verstrekken gegevens, én de gegevensverstrekking, voorzover die noodzakelijk is, daarmee kan worden gebaseerd op een hierboven genoemd wetsvoorstel (ter doorbreking van de medische geheimhouding), is tevens voorzien in een invulling van de WBP (artikel 21 en 23 WBP). De TTP zal mogelijk positie innemen van een bewerker (in de zin van de WBP) van de partijen (ziekenhuizen en zorgverzekeraars) die gegevens aanleveren aan de TTP, welke worden bewerkt en verstrekt aan derden. In dit kader zullen bewerkersovereenkomsten gesloten worden, zoals is voorgeschreven in artikel 14 WBP. Als de TTP een bewerker is, heeft dat een aantal consequenties. De bewerker verwerkt gegevens ten behoeve van de verantwoordelijke, dat wil zeggen overeenkomstig diens instructies en onder diens (uitdrukkelijke) verantwoordelijkheid. Bepalend voor de afbakening van het begrip is de relatie met de verantwoordelijke voor de gegevensverwerking en de mate van zeggenschap waarmee de verwerking van persoonsgegevens gepaard gaat. De verantwoordelijken voor wie de TTP in dat geval bewerkt, zijn verantwoordelijk voor het verwerken en verder verstrekken van de gegevens aan derden door de TTP (en dat zijn in deze situatie tevens de andere verantwoordelijken die gebruik maken BLAD 3

4 van de diensten van de bewerker). De ziekenhuizen dienen hierbij dus rekening te houden met de genoemde bepalingen uit de WGBO en de WBP en de zorgverzekeraars met de WBP alsmede hun eigen geheimhoudingsbepalingen en artikel 21 lid 2 WBP. Voor de afgrenzing van het begrip bewerker ten opzichte van het begrip verantwoordelijke is de inhoud van de overeenkomst die de bewerker sluit met de verantwoordelijke van belang. Daarnaast is echter ook van belang hoe zich het één en ander vervolgens in de praktijk feitelijk ontwikkelt. Concreet betekent de bewerkersconstructie dat de TTP persoonsgegevens bewerkt ten behoeve en onder de verantwoordelijkheid van zorgaanbieders enerzijds en zorgverzekeraars anderzijds. Deze partijen hebben daarom inspraak in het doel en de wijze van verwerking door de TTP. Het functioneren van de bewerkersconstructie ten behoeve van de verschillende gegevensstromen is dus afhankelijk van een goede afstemming en overeenstemming tussen de bewerker en de verschillende verantwoordelijken afzonderlijk. Als de verantwoordelijken geen zeggenschap hebben over het doel of de wijze van verwerking door de TTP, dan kan niet worden beweerd dat de TTP een bewerker is. Feitelijk is de TTP dan een zelfstandige verantwoordelijke in de zin van de WBP. Een dergelijke verantwoordelijke kan alleen medische persoonsgegevens verwerken als hij daarvoor een zelfstandige wettelijke grondslag heeft. Deze grondslag bestaat nu niet (zie hierboven). Samenvatting Er is momenteel geen formeelwettelijke basis die het mogelijk maakt dat ziekenhuizen en medisch specialisten persoonsgegevens, waarop de medische geheimhoudingsplicht van toepassing is, aan de TTP (hetzij als bewerker, hetzij als verantwoordelijke) verstrekken. Een dergelijke wettelijke basis zal moeten voldoen aan het noodzakelijkheidsbeginsel. Dat betekent dat de wetgever een inzichtelijke onderbouwing dient te geven van de noodzaak om medische persoonsgegevens aan de TTP te leveren. Hierbij spelen de beginselen van proportionaliteit en subsidiariteit een rol. Het CBP constateert dat er nog steeds onduidelijkheid is over de precieze taak van de TTP en de daarmee samenhangende definitie van de MDS. Zolang deze onduidelijkheid voortduurt is het niet mogelijk om een concrete onderbouwing van de noodzakelijkheid van de verwerking door de TTP van medische persoonsgegevens te geven. Voorhanden zijnde informatie over de doelen van de TTP geeft het CBP geen aanleiding aan te nemen dat de verstrekking van persoonsgegevens aan de TTP noodzakelijk en gerechtvaardigd is. De positie van de TTP als bewerker in de zin van de WBP betekent dat de verantwoordelijken (ziekenhuizen en zorgverzekeraars) via de bewerkersovereenkomst voldoende zeggenschap moeten hebben over het doel en de wijze van de verwerking door de TTP. BLAD 4

5 Tot slot wil ik u meedelen dat het CBP er kennis van genomen heeft dat verschillende ziekenhuizen (waaronder de academische ziekenhuizen) weigeren persoonsgegevens van hun patiënten, in opdracht van het Ministerie van VWS aan DIS te leveren, vanwege het ontbreken van de bevoegdheid zulks te doen. Gelet op strekking van deze brief ondersteunt het CBP de weigering van de ziekenhuizen en adviseert het CBP vooralsnog de overige ziekenhuizen om rekening te houden met de beperkingen in de bevoegdheid tot verstrekking van patiëntgegevens, die de medische geheimhoudingsverplichting met zich brengt. Hoogachtend, mr. U. van de Pol Collegelid Een afschrift van deze brief wordt verstuurd aan: Zorgverzekeraars Nederland De Nederlandse Vereniging van Ziekenhuizen De Orde van Medisch Specialisten BLAD 5