Privacyreglement LRGP Leidsche Rijn Gezondheidsproject LRGP Julius Centrum voor Huisartsgeneeskunde en Patiëntgebonden Onderzoek, UMC Utrecht, juni 2000 1. Begripsbepaling LRGP Het Leidsche Rijn Gezondheidsproject (LRGP) is een door het Julius Centrum voor Huisartsgeneeskunde en Patiëntgebonden Onderzoek in samenwerking met de zorgverleners in Leidsche Rijn ontwikkeld registratieproject t.b.v. planning, ontwikkeling en onderzoek van gezondheid en gezondheidszorg in Leidsche Rijn, zoals nader omschreven in het protocol. Een ieder die zich in één van de huisartspraktijken in Leidsche Rijn inschrijft als patiënt, wordt bij die gelegenheid uitgenodigd als deelnemer aan dit project en wordt als zodanig geregistreerd na ondertekening van een Informed Consent verklaring (bewuste bereidheids-verklaring op basis van volledige informatie) IGP Het Individueel Gezondheidsprofiel, dat bij de eerste aanmelding van een deelnemer, na informed consent, wordt opgemaakt zoals omschreven in het protocol deelnemer degene die door ondertekening van een bij inschrijving in één van de huisartspraktijken in Leidsche Rijn uitgereikte informed consent verklaring, toestemming heeft gegeven tot deelname aan het LRGP en wiens gegevens in kader van het LRGP in de centrale database worden opgenomen. centrale database de database van het project bevattende de gegevens van de deelnemers zoals omschreven in art 4. van dit reglement protocol Het onderzoeksprotocol nummer 99/240 waarin opzet en uitvoering van het LRGP worden beschreven en dat op 29 december 1999 goedkeuring van de Commissie Wetenschappelijk Onderzoek bij Mensen, de
Medisch Ethische Toetsings Commissie, van het Universitair Medisch Centrum heeft verkregen. verantwoordelijke de Stichting als bedoeld in artikel 3. directie de directeur(en) van de Stichting als bedoeld in artikel 3 projectcoördinator de persoon die namens de verantwoordelijke het project als geheel coördineert veldcoördinator de persoon die namens de verantwoordelijke in één van de huisartspraktijken is aangesteld teneinde vastgestelde taken t.b.v. het project locaal uit te voeren 2. Doel van de registratie Het verkrijgen van een bestand van gegevens van de deelnemers (de centrale database) ten behoeve van de uitvoering van het LRGP en voorzien van de waarborgen zoals in het protocol en dit reglement.. 3. Verantwoordelijke voor de registratie Verantwoordelijk voor de kwaliteit en veiligheid van de in de centrale databank opgenomen gegevens is namens het Juliuscentrum voor Huisartsgeneeskunde en Patiëntgebonden Onderzoek de Stichting Leidsche Rijn Gezondheidsproject (hierna de Stichting). Het project hanteert in haar organisatie de Gedragscode Gezondheidsonderzoek zoals vastgesteld door de Raad voor Gezondheidsonderzoek (RGO, 1995) en de concept code Nader Gebruik van de Stichting Federatie Medisch Wetenschappelijke Verenigingen (FMWV). De Stichting LRGP is niet verantwoordelijk voor de kwaliteit van door derden aangeleverde gegevens. Ten behoeve van de kwaliteit van de uit de huisartspraktijken afkomstige gegevens heeft de Stichting een overeenkomst gesloten met de stichting Gezondheidscentra Leidsche Rijn (GLR), onder wier verantwoordelijkheid de huisartsen werkzaam zijn. Kwaliteit en volledigheid van het electronisch medisch dossier in de huisartspraktijk vallen onder de verantwoordelijkheid van de stichting GLR en haar huisartsen.
4. Aard van de gegevens 4.1 algemeen In de centrale databank worden geen naam, adres, woonplaats gegevens van de deelnemer opgenomen. De gegevens van de deelnemer worden opgenomen onder een uniek deelnamenummer (= codenummer). In 5 wordt de wijze waarop dit nummer wordt gegeneerd beschreven. Er worden uitsluitend gegevens opgenomen die relevant zijn voor het LR-GP. 4.2 aard van de gegevens a de gegevens betreffende de medische consumptie, gezondheidstoestand en zorgconsumptie van de deelnemer. In het volgend artikel wordt beschreven hoe deze gegevens worden verkregen. b gegevens betreffende de sociaal economische achtergrond en etniciteit van de deelnemer zoals deze door de deelnemer zelf aan de locale medewerker van het project zijn verstrekt. c gegevens verkregen door analyse van het diepgevroren spijtserum van de deelnemer. 5. Wijze van verkrijgen van de gegevens 5.1 algemeen De in 4 onder a bedoelde gegevens worden op de volgende wijzen verkregen: bij de inclusie van de deelnemer via het IGP. In dat geval worden de gegevens door de aan de praktijk van de huisarts toegevoegde medewerker van het LRGP ingevoerd (hierna: de locale medewerker). Deze medewerker kent ook het codenummer aan de deelnemer toe. door invoering/overheveling vanuit de praktijk van de huisarts ten tijde van de inclusie en vervolgens eens per drie maanden.
door de gegevens verkregen bij specifieke deelonderzoeken volgend uit de doelstelling van het LRGP waartoe de groep van deelnemers aan dit deelonderzoek afzonderlijk worden uitgenodigd. De in 4 onder b bedoelde gegevens worden verkregen bij de inclusie uit de vragenlijst bij het IGP en eveneens door de locale medewerker ingevoerd. De in 4 onder c bedoelde gegevens worden verkregen door analyse van het materiaal in daartoe in aanmerking komende laboratoria. Deze verkrijgen het materiaal uitsluitend onder het codenummer en leveren de verkregen analyseresultaten onder codenummer aan de verantwoordelijke aan. Een gekwalificeerde medewerker van de verantwoordelijke voert deze vervolgens in de centrale database in. 5.2 het contact tussen huisartspraktijk en de centrale database bij het invoeren van gegevens Dit volgt uit het protocol. Bij de huisartspraktijk zijn medewerkers van het LRGP toegevoegd, de lokale medewerkers. Bij de inclusie van een deelnemer kennen deze de deelnemer een codenummer toe (zie art 5.1). Zij zenden de uit het IGP verkregen gegevens onder codenummer via het internet of via een disk aan de centrale database. Eens per kwartaal worden de door de huisarts in het kader van diens normale zorgactiviteiten over de deelnemer verkregen systematisch geregistreerde gegevens door de lokale medewerker van LRGP van de NAW gegevens van de deelnemer ontdaan, van patiënt-codenummer voorzien en onder deze codering naar de centrale database gezonden via internet of disk. 6 Toegang tot de gegevens Tot de gegevens van de deelnemer in de huisartspraktijk hebben uitsluitend toegang de lokale medewerkers voor die praktijk waar de deelnemer als patiënt is geregistreerd. Tot de gegevens die in de centrale database zijn opgenomen, hebben uitsluitend toegang door de verantwoordelijke daartoe aangestelde
onderzoeksmedewerkers. De lokale medewerkers hebben geen toegang tot de centrale database. 7 Uitvoer van gegevens Uit de centrale database kunnen op de volgende wijze gegevens worden uitgevoerd: a. aan de huisartspraktijk, zoals voorzien in het protocol, ten behoeve van de zorgverlening aan de deelnemer. Daartoe worden de gegevens per deelnemer onder codenummer aan de desbetreffende huisartspraktijk aangeleverd en aldaar naar het bij de huisarts bekende reguliere patiëntnummer (ten behoeve van diens zorgadministratie) zodanig teruggekoppeld dat zij in het alleen voor de huisarts toegankelijke deel van het elektronisch medisch dossier zichtbaar worden. b. aan de deelnemer zelf indien hij gebruik maakt van diens bevoegdheid om kennis te nemen van de over hem opgenomen gegevens. Dit kan uitsluitend via de lokale medewerker, die het codenummer van de deelnemer aan de centrale database meldt en onder deze de verlangde gegevens verkrijgt. c. op per wijk geaggregeerd niveau aan de GG&GD, zoals voorzien in het protocol. Het aggregatieniveau is daarbij zodanig dat herleiding naar de persoon van de deelnemer redelijkerwijs niet mogelijk is. d. op een geaggregeerd niveau aan derden die met het bestand van de centrale database nader onderzoek willen doen. In dat geval wordt het te verstrekken bestand zodanig van gegevens ontdaan en dus op een zodanig geaggregeerd niveau aangeleverd dat herleiding naar de persoon van de deelnemer redelijkerwijs niet mogelijk is. e. door de daartoe aangestelde onderzoeksmedewerkers zelf in de vorm van resultaten van het op de in de centrale database uitgevoerde onderzoek. Daarbij geldt uiteraard het onder c gestelde overeenkomstig.
8 Beveiliging 8.1 de codering De codering bestaat uit een gegeven dat uniek is voor de huisartspraktijk waar de deelnemer is geregistreerd en een versleuteling van diens registratienummer bij de huisarts zoals dat voor de zorgverlening door de huisarts wordt gebruikt. De wijze van versleuteling geschiedt via een computerprogramma en is geheim voor de betrokkenen bij het project. Uitsluitend de huisarts en de lokale LRGP medewerker kunnen de aan de praktijk teruggeleverde gegevens tot de deelnemer herleiden, door de aan het codenummer gekoppelde gegevens terug te koppelen naar het praktijk-patiëntennummer: daarmee worden de betreffende gegevens in het voor de huisarts toegankelijke deel van het elektronisch medisch dossier weer zichtbaar. 8.2 toegang tot de gegevens De lokale LRGP medewerkers hebben uitsluitend toegang tot de gegevens van de huisartspraktijk waaraan zij zijn verbonden. Zij werken als verlengde arm van de huisarts en hebben een afgeleid beroepsgeheim. Zij tekenen een geheimhoudingsverklaring. Tot de centrale database hebben uitsluitend toegang de daartoe door de verantwoordelijke aangewezen onderzoeksmedewerkers en eventueel direct onder hun verantwoordelijkheid werkend administratief personeel. De verantwoordelijke houdt een lijst bij wie toegang tot de centrale database is verleend. Ook de medewerkers tekenen een geheimhoudingsverklaring. 8.3 van de centrale database De centrale database wordt fysiek gevormd door een ruimte op de centrale server van het Julius Centrum, dat daarmee als beheerder van de database wordt aangewezen. De verantwoordelijke sluit een overeenkomst met het Julius Centrum waarin de afgeleide verantwoordelijkheid van de beheerder voor de fysieke veiligheid van de gegevens tegen verlies, beschadiging, onbevoegde kennisname of onbevoegde aanvulling wordt vastgelegd. Voor de verbinding tussen de huisartsen en lokale medewerkers worden uitsluitend beveiligde systemen gebruikt, waartoe de gegevens in voorkomende gevallen worden getranscribeerd. In bijlage 2 worden de door de beheerder
getroffen maatregelen nader beschreven. De beheerder houdt een logboek bij van met de centrale database uitgevoerde verwerkingen van gegevens. 9 Duur van de registratie De registratie wordt gehouden voor de duur van het LRGP. Bij het opzetten van het LRGP is geen einddatum voorzien. Voor het einde van iedere 5-jaarsperiode wordt besloten over verdere voortgang. Na beëindiging van het LRGP worden de gegevens zodanig van eventueel identificerende gegevens ontdaan dat een bestand van redelijkerwijs niet herleidbare gegevens ontstaat 10. Rechten van de geregistreerde Bij beëindiging van deelname blijven tot dat moment geregistreerde gegevens in het bestand van LRGP. Het patiëntnummer in de praktijk wordt op dat moment als niet-deelnemer gecodeerd en follow-up gegevens kunnen vanaf dat moment niet meer uit het elektronisch medisch dossier van de huisarts worden betrokken. Bij terugtrekking van de deelnemer uit het onderzoek kunnen diens op dat moment opgenomen identificerende gegevens op diens verzoek worden vernietigd. In dat geval worden alle opgenomen gegevens definitief en onherstelbaar losgekoppeld van codenummers en identificerende kenmerken. Daartoe dient een schriftelijk verzoek te worden gedaan bij de lokale medewerker. Een verzoek om gehele of gedeeltelijke vernietiging van gegevens betekent automatisch dat de deelnemer wordt teruggetrokken uit het onderzoek. De geregistreerde heeft recht op inzage of een afschrift van de opgenomen gegevens, hetgeen eveneens via de lokale medewerker na een schriftelijk verzoek kan worden geëffectueerd.
11. Commissie van Toezicht Ten behoeve van bewaking van de privacy van deelnemers heeft de verantwoordelijke een Commissie van Toezicht ingesteld. Deze bestaat uit vijf leden: een onafhankelijk jurist, een onafhankelijk huisarts, een onafhankelijk onderzoeker, een lid vanuit het PP/CP en een lid vanuit de deelnemers/bewoners van Leidsche Rijn. Deze commissie beoordeelt verzoeken van afnemers van gegevens als bedoeld onder 7.c. op haar verenigbaarheid met dit privacyreglement en de overige toepasselijke bepalingen en brengt de verantwoordelijke daaromtrent advies aan. De verantwoordelijke kan uitsluitend gemotiveerd van dit advies afwijken. Overigens verkrijgt de Commissie van Toezicht eenmaal per jaar een overzicht van de in het kader van het LRGP door de medewerkers ondernomen deelonderzoeken en van de door de verantwoordelijke en de beheerder onder diens verantwoordelijkheid genomen veiligheidsmaatregelen. De commissie komt tenminste eenmaal per jaar bijeen of zoveel vaker als nodig is voor het beoordelen van de verzoeken als bedoeld onder 7.c. 12. Klachtenregeling Klachten m.b.t. gedragingen van één of meer van de personen die met de uitvoering van het Leidsche Rijn Gezondheidsproject is/zijn belast kunnen worden ingediend bij de LRGP veldcoördinator in het betreffende gezondheidscentrum, bij de projectcoördinator of bij de directie van de Stichting Leidsche Rijn Gezondheidsproject. Deze zal eerst proberen of de klacht door uitleg of bemiddeling kan worden opgelost. Bij gebleken onmogelijkheid daarvan zal de klacht ter behandeling worden aangeboden bij de de klachtencommissie
van het huisartsendistrict Utrecht of bij de klachtencommissie van het UMC. Het reglement van deze commissies is vervolgens op de klacht van toepassing. Een ieder die meent door de wijze waarop het project plaatsvindt, in zijn belangen te zijn geschaad heeft het recht een klacht in te dienen.