Juridische aspecten van elektronische gegevensuitwisseling Mr.dr. Sjaak Nouwt s.nouwt@fed.knmg.nl 1 S. Nouwt
Disclosure belangen spreker (potentiële) belangenverstrengeling Zie hieronder Voor bijeenkomst mogelijk relevante relaties met bedrijven Bedrijfsnamen Sponsoring of onderzoeksgeld Honorarium of andere (financiële) vergoeding Aandeelhouder Andere relatie, namelijk Nouwt Consulting (directeur, privacy-adviseur) 28-6-2018 2
Inhoud Opt-in bij elektronische uitwisselingssystemen (Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg) Verhouding AVG Wabvpz: toestemming en patiëntenrechten Verhouding AVG - Medisch Beroepsgeheim en Wgbo KNMG Richtlijn online arts-patiënt contact Patiëntgegevens delen via e-mail? Handreiking Artsen en Social Media 3
Wat blijft bestaan onder de AVG De bestaande regels over privacy worden door de AVG bevestigd en op onderdelen versterkt. De volgende wetten blijven dus gelden: Wet op de geneeskundige behandelingsovereenkomst (WGBO); Wet kwaliteit, klachten en geschillen zorg (Wkkgz); Wet op de beroepen in de individuele gezondheidszorg (Wet BIG); Zorgverzekeringswet (Zvw); Wet marktordening gezondheidszorg (Wmg); Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). De AVG-regels gaan ook naast de huidige regels voor het medisch beroepsgeheim bestaan. 4
Elektronische gegevensuitwisseling Artikel 15a Wabvpz: De zorgaanbieder stelt gegevens van de cliënt slechts beschikbaar via een elektronisch uitwisselingssysteem, voor zover de zorgaanbieder heeft vastgesteld dat de cliënt daartoe uitdrukkelijk toestemming heeft gegeven. elektronisch uitwisselingssysteem: een systeem waarmee zorgaanbieders op elektronische wijze, dossiers, gedeelten van dossiers of gegevens uit dossiers voor andere zorgaanbieders raadpleegbaar kunnen maken, waaronder niet begrepen een systeem binnen een zorgaanbieder, voor het bijhouden van een elektronisch dossier; 5
Elektronisch uitwisselingssysteem Systemen met verwijsindexen: Landelijk Schakel Punt (LSP) Regionaal portaal met een centrale patiëntindex Beelduitwisselingssystemen tussen ziekenhuizen obv IHE-XDSi standaard Systemen die rechtstreeks toegang verlenen tot een bronsysteem: Huisartsentoegang tot ziekenhuisportaal EPD Portaal van Diagnostisch Centrum dat zorgaanbieders rechtstreeks in labgegevens laat kijken Combinaties van beide soorten: Ketenzorginformatiesysteem (index + opslag van gegevens) 6
Elektronische gegevensuitwisseling Toestemming artikel 15a alleen voor pull-verkeer Pull-verkeer: Zorgaanbieder stelt (gegevens uit) medisch dossier elektronisch beschikbaar voor latere raadpleging door andere zorgaanbieder (bijv. ziekenhuis-huisarts, cluster huisarts-hap-apotheker, LSP, CCR kerndossier) -> ontvanger = initiatiefnemer Push-verkeer: zorgaanbieder stuurt gegevens elektronisch naar andere zorgaanbieder die een behandelrelatie heeft met patiënt (bijv. via Edifactpostbus (Zorgmail, Secure Mail), beveiligde e-mail (Zivver, Voltage SecureMail, Medi-Send) of verwijs- of overdrachtsystemen (Zorgdomein, Point) -> verzender = initiatiefnemer 7
Verhouding AVG - Wabvpz De AVG is een Europese privacywet die boven nationale wetgeving gaat. Voorrangsbeginsel: AVG gaat voor nationale wet. Wabvpz = Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (ook bekend als Wet cliëntenrechten bij elektronische verwerking van gegevens) De Wabvpz geldt in aanvulling op de AVG. Dat betekent dat dáár waar de AVG meer bescherming voor cliënten biedt, de AVG voor gaat. 8
Verhouding AVG Wabvpz Ruimte voor nationale regels De AVG geeft de zorgsector de mogelijkheid om specifieke regels in te stellen in nationale wetgeving. De Wabvpz is een voorbeeld van zo n nationale uitwerking. Deze wet schept voorwaarden voor het veilig elektronisch uitwisselen van medische gegevens in de zorgsector. Het gaat om elektronische uitwisselingssystemen waarmee u als zorgaanbieder op elektronische wijze dossiers, gedeelten van dossiers of gegevens uit dossiers inzichtelijk kunt maken voor andere zorgaanbieders. Het systeem voor het bijhouden van een intern elektronisch dossier, zoals het interne elektronische patiëntendossier van een ziekenhuis, is geen elektronisch uitwisselingssysteem. Veel van de regels in de Wabvpz komen overeen met wat er in de AVG staat. Bijvoorbeeld dat uw cliënt de toestemming die hij of zij heeft gegeven voor de verwerking van zijn persoonsgegevens, even eenvoudig moet kunnen intrekken. 9
Verhouding AVG Wabvpz Toestemming AVG-toestemming als verwerkingsgrondslag (art.6.1.a + art. 9.2.a)= - Vrijelijk gegeven - Specifiek en geïnformeerd: begrijpelijk, toegankelijk, voor welke aangelegenheden - Ondubbelzinnig - Moet aantoonbaar zijn (art. 7, lid 1) - Even eenvoudig en te allen tijde in te trekken (art. 7, lid 3) Wabvpz-toestemming voor elektronisch beschikbaar stellen gegevens uit medisch dossier= - Uitdrukkelijk (art. 15a, lid 1) - Gespecificeerd (art. 15a, lid 2 -> m.i.v. 1 juli 2020) - Registratieplicht voor verleende toestemmingen (art. 15c lid 2) 10
Verhouding AVG Wabvpz Toestemming Wabvpz artikel 15c: Als nieuwe categorieën van zorgaanbieders aansluiten bij het elektronisch uitwisselingssysteem, of de werking van het elektronisch uitwisselingssysteem anderszins substantieel wordt gewijzigd, moet de zorgaanbieder de cliënt over deze wijziging informeren en hem wijzen op de mogelijkheid om de eerder verleende uitdrukkelijke toestemming (de opt-in) aan te passen of in te trekken. De wet vereist dus niet dat opnieuw om toestemming moet worden gevraagd. 11
Verhouding AVG Wabvpz Sommige regels gaan eerder gelden Een deel van de Wabvpz geldt pas vanaf 1 juli 2020: - 15a, lid 2 (gespecificeerde toestemming) - 15c, lid 2 (bijhouden registratie van verleende toestemming) - 15d (recht op kosteloze elektronische inzage en afschrift) - 15e (recht op elektronisch afschrift van - a) wie bepaalde informatie via het elektronisch uitwisselingssysteem beschikbaar heeft gesteld en op welke datum en - b) wie bepaalde informatie heeft ingezien of opgevraagd en op welke datum Maar aan bepaalde verplichtingen die vanaf 1 juli 2020 gaan gelden, moet u zich nu al vanaf 25 mei 2018 houden. 12
Verhouding AVG Wabvpz Sommige regels gaan eerder gelden Voorbeelden : Onder de AVG moet u als zorgaanbieder kunnen aantonen dat uw cliënt toestemming heeft gegeven voor de verwerking van zijn of haar gegevens. Vgl. de registratieplicht voor verleende toestemmingen in art. 15c lid 2 Wabvpz. Art. 15d Wabvpz regelt dat elektronische inzage en afschrift per 1 juli 2020 kosteloos moet zijn. De AVG bepaalt dat deze inzage en afschrift vanaf 25 mei 2018 al kosteloos moet zijn. Als een patiënt zijn verzoek om inzage of afschrift elektronisch indient, moeten de gegevens in een gangbare elektronische vorm worden verstrekt (art. 15.3 AVG). Patiënten hebben niet pas vanaf 1 juli 2020 recht op een kosteloos elektronisch afschrift van hun medisch dossier (art. 15d Wabvpz), maar al vanaf 25 mei 2018 (of alleen indien mogelijk : art. 12.3 AVG). Art. 15.1.c (+ 15.3 AVG): recht op inzage en afschrift van ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn verstrekt (kosteloos en elektronisch). 13
Vergoeding voor kopieën Patiënten hebben ook recht op kopieën van hun medische gegevens (artikel 15.3 AVG en artikel 7:456 BW). Hiervoor mag u onder de AVG geen kosten in rekening brengen. Onder de huidige Wet bescherming persoonsgegevens (Wbp) en WGBO mag dit nog wel. Maar dit wordt afgeschaft door de Aanpassingswet AVG. Verzoekt een patiënt om meer dan een kopie van alle gegevens ( bijkomende kopieën )? Dan mag u hiervoor wel een redelijke vergoeding vragen. 14
Verhouding AVG Medisch beroepsgeheim en Wgbo De AVG brengt geen veranderingen met zich mee voor het medisch beroepsgeheim. De regels uit de Wet op de geneeskundige behandelingsovereenkomst (Wgbo) blijven bestaan naast de AVG. Net als nu zijn zorgaanbieders onder de AVG dus gebonden aan zowel de regels over het medisch beroepsgeheim als aan de regels van de AVG. Als zorgaanbieder mag u straks bijvoorbeeld alléén gegevens aan een derde verstrekken als dat mag op grond van de AVG én als u een grond heeft om het medisch beroepsgeheim te doorbreken. 15
Persoonsgegevens over gezondheid in art. 30 UAVG Artikel 30 UAVG geeft invulling aan de ruimte die artikel 9, tweede lid, onderdelen b, g en h, laat voor het opnemen van een uitzondering op het verbod om bijzondere categorieën van persoonsgegevens te verwerken indien dit noodzakelijk is op het terrein van arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, om redenen van zwaarwegend algemeen belang en voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten. Artikel 30 is materieel van gelijke strekking als artikel 21 van de Wbp. Het bevat geen uitputtende regeling van de verwerking van gegevens over iemands gezondheid. Artikel 30 dient ook steeds in samenhang te worden bezien met het medisch beroepsgeheim (artikel 457 van Boek 7 van het Burgerlijk Wetboek en artikel 88 van de Wet op de beroepen in de individuele gezondheidszorg). 16
Persoonsgegevens over gezondheid in art. 30 UAVG In een geval waarin op grond van artikel 30 het verbod om medische gegevens te verwerken niet van toepassing is, kan het medisch beroepsgeheim toch aan de gegevensverwerking in de weg staan. Verstrekking van gezondheidsgegevens moet eerst worden getoetst aan de regels voor doorbreking van het medisch beroepsgeheim. Pas wanneer verstrekking van gezondheidsgegevens niet in strijd is met het medisch beroepsgeheim, komt men toe aan toetsing aan het onderhavige artikel. Als daaraan is voldaan dan moet nog een grondslag aanwezig zijn in de zin van artikel 6 van de verordening, zoals de wettelijke plicht (artikel 6, eerste lid, onderdeel c), de uitvoering van een (behandelings)overeenkomst (artikel 6, eerste lid, onderdeel b) of uitdrukkelijke toestemming (artikel 9, tweede lid, onderdeel a, jo. 6, eerste lid, onderdeel a). 17
Richtlijn online arts-patiënt contact (2007) Online arts-patiënt contact = contact via internet: E-consult (antwoord of advies) Start farmacotherapie Uitschrijven herhaalrecept 2018/2019: Actualisering -> Richtlijn E-Consult (inclusief online arts-arts contact) 18
Hoofdlijnen online arts-patiënt contact Toverwoord = ZORGVULDIGHEID! econsult: bij reeds bestaande behandelrelatie, of zonder bestaande behandelrelatie, als: Kwaliteit gegarandeerd (zonder lichamelijk onderzoek) Risico s geminimaliseerd (counseling) Contact ten goede van patiënt Medicatie voorschrijven: alleen bij reeds bestaande behandelrelatie Arts kent patiënt en Arts heeft patiënt gezien en Arts heeft medicatiehistorie beschikbaar en Arts beschikt over betrouwbaar medisch dossier 19
Patiëntgegevens delen via e-mail? KNMG Richtlijn omgaan met medische gegevens (2018) Par. 1.5: Elektronische gegevensuitwisseling, e-mail, WhatsApp en social media Gegevensuitwisseling per e-mail: 1. Mag de ontvanger de patiëntgegevens ontvangen? 2. Is sprake van een uitzondering op het medisch beroepsgeheim (rechtstreeks betrokken, vervanger, toestemming, etc.)? 3. Zo ja, dan bij voorkeur gegevens versleuteld versturen. 23
Patiëntgegevens delen via e-mail? AVG Helpdesk Zorg en Welzijn: Gewone (onbeveiligde, niet versleutelde) e-mail is per definitie geen goed medium voor uitwisseling van gevoelige (persoons)gegevens. Tip 1: Verbeter de awareness van medewerkers over de regels hoe e-mail wel en niet kan worden gebruikt, bijvoorbeeld: beperk zoveel als mogelijk de gevoelige persoonsgegevens in de tekst van de mail zelf; stuur geen bijlagen mee waar gevoelige persoonsgegevens staan; dubbelcheck altijd de geadresseerde voor je op verzenden drukt; vraag de ontvanger om een bevestiging van ontvangst (dan ontdek je het sneller als het onverhoopt toch mis is gegaan); maak duidelijke afspraken over wat te doen bij malware of phishing; als er een collega weggaat of juist tijdelijk komt versterken: regel goed in wie waarbij mag (autorisaties) en hef een mailadres op als de collega niet meer in dienst / werkzaam is. 24
Patiëntgegevens delen via e-mail? Tip 2: Gebruik alleen gewone mail als er geen vertrouwelijke (bijzondere) persoonsgegevens worden verwerkt. Tip 3: Kijk naar alternatieven voor het uitwisselen van informatie, zoals: 3.1 Uitwisseling tussen medewerkers van dezelfde instelling onderling: neem in je mail een link naar het bestand op in plaats van het bestand zelf mee te sturen. 25
Patiëntgegevens delen via e-mail? 3.2 Uitwisseling tussen zorgverleners en zorginstellingen (en ook met leveranciers, gemeenten): Gebruik een veiligere manier dan het meesturen van een onbeveiligde bijlage in een mail, zoals: versleutel het worddocument (eenvoudig via 7-Zip) en verstuur het wachtwoord van het bestand via een ander medium, zoals sms of WhatsApp; informeer bij collega s of zij al gebruik maken van beveiligde mailverbindingen en sluit waar mogelijk aan; zo gebruiken veel fysiotherapeuten al Zorgmail ; gebruik een online portaal dat met multifactor authenticatie is ingericht: naam en wachtwoord + een derde kenmerk (net als bij online bankieren met een token, sms-code, etc.). En weet dat er hard wordt gewerkt door MedMij om te komen tot een set van afspraken om op een veilige manier de patiënt te laten beschikken over zijn persoonlijke gezondheidsomgeving (PGO) en de communicatie tussen patiënt en zorgverlening veilig te laten verlopen. 26
Patiëntgegevens delen via e-mail? 3.3 Uitwisseling tussen zorgverleners en cliënten / patiënten: Voor het e-mailverkeer tussen arts en patiënt hanteert de Autoriteit Persoonsgegevens de norm van versleuteling. Een arts mag dus best met zijn patiënt mailen, mits de e-mails versleuteld worden verstuurd. Ook de rest van de beveiliging moet goed geregeld zijn. Denk aan een gebruikersrichtlijn, antivirus- en antispamsoftware en beveiliging van de opslag van e-mails. En als de patiënt zelf als eerste met zijn arts wil mailen met gevoelige gegevens in een bijlage? attendeer de patiënt op het kunnen versleutelen van een document met gevoelige gegevens (via 7-Zip) en vraag hem het wachtwoord op het bestand via een ander medium, zoals sms of WhatsApp te versturen. 27
Handreiking Artsen en Social Media 1. 10 november 2011 2. Aanvulling op Richtlijn online arts-patiënt contact (2007) 3. 9 Aanbevelingen voor artsen 4. Naar vb van USA, UK, Aus/Nw-Z 5. Geactualiseerd: november 2017 28
Gebruik van social media door Noordwest Ziekenhuisgroep 29
Aanbeveling 1: Social media biedt kansen voor artsen Social media biedt kansen en mogelijkheden om de kwaliteit van de zorgverlening te verhogen. 30
Stelling: Artsen gaan vertrouwelijk om met patiëntgegevens op social media 2.1 Neem bij gebruik van social media de regels van het beroepsgeheim en privacy in acht. 2.2 Garandeer de anonimiteit van de patiënt en publiceer geen tot patiënten herleidbare informatie. 31
Aanbeveling 2: Garandeer vertrouwelijkheid [RTG Eindhoven, 2-12-2014] Lekker wandelen door de sneeuw. En uitrusten voor de ouderen uit de T-stroom zoals (klager). Nu ff de benen hoog Heeft (klager) nog steeds last van zijn benen, na zijn sux ervaring? 32
Stelling: Een arts wordt geen vriend van patiënten 3.1 Breng zoveel mogelijk een scheiding aan tussen uw persoonlijke en professionele gebruik van social media en zorg dat deze scheiding tot uitdrukking komt. 3.2 Het is verstandig om online persoonlijke relaties met huidige of voormalige patiënten te vermijden. 3.3 Als u via social media met patiënten wilt communiceren, zorg dan vooraf voor voldoende informatie voor de patiënten. 33
Aanbeveling 3: Geen vrienden met patiënten RTG Eindhoven, 6 juli 2015, ECLI:NL:TGZREIN:2015:62: Met het hebben van een vriendenstatus met een cliënt op Facebook heeft verweerder niet de zorg betracht die hij in de hoedanigheid van verpleegkundige ten opzichte van een cliënt behoort te betrachten. 34
Meer informatie: KNMG Artseninfolijn www.knmg.nl > webdossiers > Beroepsgeheim ehealth Informatiebeveiliging Online contact Privacy en patiëntgegevens Social media 35
Juridische aspecten van elektronische gegevensuitwisseling Mr.dr. Sjaak Nouwt s.nouwt@fed.knmg.nl 36 S. Nouwt