Het BSN in de zorg; de zwakke plekken

Het BSN in de zorg; de zwakke plekken Mw. mr. V.C. Lucieer 1 1 inleiding Eind september 2006 heeft de Tweede Kamer ingestemd met twee wetsvoorstellen die de invoering van het burgerservicenummer (BSN) betreffen, te weten het wetsvoorstel algemene bepalingen burgerservicenummer (Wabb) 2 en het wetsvoorstel gebruik burgerservicenummer in de zorg (Wbsn-z). 3 De Wabb strekt ertoe het BSN in te voeren als algemeen persoonsnummer voor alle ingezetenen, dat kan worden gebruikt binnen de overheidssector. Voor het gebruik van het BSN binnen andere sectoren, zoals onderwijs en de gezondheidszorg, is daarnaast aanvullende wetgeving nodig. De Wbsn-z vervult deze rol voor de zorgsector 4 en maakt het mogelijk een patiënt bij elektronische communicatie uniek te kunnen identificeren, zodat je als zorgaanbieders zeker weet dat je het over dezelfde Jan Jansen hebt. Dit is noodzakelijk om de invoering van het toekomstige landelijk elektronisch patiëntendossier (EPD) en zijn voorgangers, het elektronisch medicatiedossier en elektronisch waarneemdossier huisartsen, mogelijk te maken. De invoering van het BSN in de zorg beoogt dan ook bij te dragen aan de kwaliteit van de te verlenen zorg. In dit artikel zal ik echter aangeven dat het BSN-stelsel, zoals dat in de zorg wordt ingevoerd, ook zwakke plekken bevat die de zorgverlening en het medisch beroepsgeheim in gevaar kunnen brengen. 2 het bsn-stelsel in de zorg Alvorens op deze zwakke plekken in te gaan, zal ik eerst een korte beschrijving geven van het stelsel dat in het leven wordt geroepen om zorgvuldig gebruik van het BSN in de zorg mogelijk te maken. 5 De Wbsn-z zal voor de zorgsector gelden in aanvulling op de algemene bepalingen van de Wabb en verplicht de in dit wetsvoorstel genoemde zorgaanbieders, zorgverzekeraars 6 en indicatieorganen het BSN te verwerken in hun administratie en bij hun onderlinge communicatie. Het BSN is qua nummer identiek aan het huidige sociaal-fiscaal nummer (sofinummer). 7 De Beheervoorziening BSN (BV-BSN) zal onder meer de uitgifte en het beheer van het BSN voor haar rekening nemen. Gezien het naar verwachting grote beroep dat de zorgsector op de BV-BSN zal willen doen, 1. Victoire Lucieer is werkzaam als beleidsmedewerker bij het College bescherming persoonsgegevens (CBP). 2. Kamerstukken II 2005/06, 30 312, nr.2. 3. Kamerstukken II 2005/06, 30 380, nr.2. 4. De Wbsn-z zal van toepassing zijn op het gebruik van het BSN door zorgaanbieders, zorgverzekeraars en indicatieorganen. In dit artikel spreek ik echter met name over het gebruik van het BSN door zorgaanbieders. 5. Zie voor een meer uitgebreide beschrijving, ook over de Wabb en de relatie met de Wbsn-z, V.C. Lucieer, Invoering van het burgerservicenummer in de zorg, JPG 2006, p. 119. 6. Dit betreft zowel zorgverzekeraars in de zin van de Zvw en AWBZ, alsook zorgverzekeraars die aanvullende ziektekostenverzekeringen uitvoeren. Zie artikel 1 sub e Wbsn-z (Kamerstukken II 2005/06, 30 380, nr.2). 7. Er zijn enkele uitzonderingen, met name bij voormalige asielzoekers die ooit als groep onder hetzelfde sofinummer zijn geregistreerd en nu alsnog ieder een eigen BSN krijgen. 28 het bsn in de zorg; de zwakke plekken

kunnen gebruikers in de zorg zich hier niet rechtstreeks toe wenden. Voor hen wordt een voorportaal voor de BV-BSN in het leven geroepen, de Sectorale Berichtenvoorziening in de zorg (SBV-z). Wanneer een patiënt zich, na invoering van de Wbsn-z, tot een zorgaanbieder wendt, dient hij zich de eerste keer te identificeren. Zodra de zorgaanbieder zekerheid heeft over de identiteit van de patiënt moet hij met behulp daarvan het BSN van die patiënt opvragen via de SBV-z (de verificatieplicht). 8 Daarmee komt een koppeling tot stand tussen de patiënt, zijn identiteit en bijbehorend BSN. Dit zijn de pijlers van het BSNstelsel en hier zitten dan ook de meeste risico s, waarover verderop meer. Het zorgvuldig gebruiken van het BSN brengt zonder meer administratieve lasten met zich mee. Hoewel het voor zorgaanbieders mogelijk wordt eenmalig de BSN s van alle op dat moment ingeschreven patiënten op te vragen bij de SBV-z ( initiële vulling ), mogen deze nummers niet worden gebruikt voordat de zorgaanbieders ook de identiteit van hun patiënten hebben gecontroleerd. Pas dan bestaat immers de vereiste zekerheid over de koppeling van de persoon aan een bepaalde identiteit, en de koppeling van die identiteit aan een BSN. Met name de Landelijke Huisartsenvereniging (LHV) heeft zich al diverse malen uitgelaten over de bijbehorende administratieve lasten. 9 De Minister van VWS heeft hieraan gehoor gegeven door voor de invoering van het BSN in de zorg een jaar de tijd te nemen. 10 3 zwakke plekken in het stelsel 3.1 Onrechtmatig koppelen Het BSN maakt het niet alleen mogelijk op individueel niveau op eenvoudiger en betrouwbaarder wijze de persoonsgegevens van een patiënt, die op verschillende plaatsen zijn vastgelegd, te koppelen. Ook hele bestanden met persoonsgegevens, die allemaal het BSN bevatten, kunnen hiermee gemakkelijker aan elkaar worden gekoppeld. Zo kunnen, al dan niet rechtmatig, profielen van mensen worden gemaakt die met name vanuit commercieel oogpunt bijzonder aantrekkelijk kunnen zijn. Het feit dat het BSN de koppeling van bestanden vergemakkelijkt vormt een extra bedreiging voor de persoonlijke levenssfeer en in de zorg tevens voor het medisch beroepsgeheim. 11 Om het onrechtmatig koppelen van bestanden te voorkomen is het van groot belang dat de informatiesystemen van zorgaanbieders voldoende worden beveiligd. Hoewel de Wet bescherming persoonsgegevens (WBP) voorschrijft dat een verantwoordelijke moet zorgen voor een passend beveiligingsniveau, 12 wordt daar in de 8. Dit zijn de uitgangspunten van de identificatie- en verificatieplicht; voor beide verplichtingen geven de Wbsn-z en het Besluit gebruik BSN in de zorg nadere regels en uitzonderingen. 9. Zie onder meer het persbericht van de LHV van 28 augustus 2006, BSN in zorg verplicht huisarts tot patiëntonvriendelijke benadering. Zie lhv.artsennet.nl (via Nieuwsarchief, Persberichten (openbaar), LHV-persberichten 2006 ). 10. Tweede nota van wijziging bij de Wbsn-z, Kamerstukken II 2005/06, 30 380, nr.9. 11. Kamerstukken II 1997/98, 25 892, nr.3, p.128. 12. Art. 13 WBP. Tijdschrift voor Gezondheidsrecht 1-2007 www.gezondheidsrecht.bsl.nl 29

zorgsector onvoldoende gehoor aan gegeven. Karin Spaink verzocht in 2005 met toestemming van de betreffende instellingen experts van beveiligingsbedrijven de systemen van twee ziekenhuizen te hacken. Twee weken lang hebben zij, zonder dat deze zorginstellingen het in de gaten hadden, toegang gehad tot de medische gegevens van ruim een miljoen patiënten, die zij zonder moeite hadden kunnen wijzigen of verwijderen. 13 De ondermaatse beveiliging van de informatiesystemen van veel zorgaanbieders is dan ook absoluut een zwakke plek in de zorgsector en een risico dat door invoering van het BSN in de zorg alleen maar groter wordt. In verband met de invoering van het BSN en de komst van het EPD is de Minister van VWS nader aan het uitwerken wat een passend beveiligingsniveau in de zorg inhoudt. Voor de systemen van zorgaanbieders kunnen worden aangesloten op het EPD dienen deze te voldoen aan de eisen van een zogenaamd Goed Beheerd Zorgsysteem. 14 Dit houdt onder meer in dat zij zullen moeten voldoen aan de norm van het Nederlands Normalisatie-Instituut NEN 7510 voor informatiebeveiliging in de zorg. Deze en andere beveiligingseisen zullen worden opgenomen in een ministeriële regeling bij de Wbsn-z, 15 die als voorloper dient van de toekomstige Wet op het EPD. 3.2 Onjuiste gegevens De grootste zwakke plek in het BSN-stelsel kan echter worden gevonden in de wijze waarop de eerder genoemde pijlers van de wet, te weten de identificatieplicht en de verificatieplicht, worden nageleefd. 3.2.1 Identificatieplicht De bestaande identificatieplicht in de zorg wordt door de Wbsn-z uitgebreid naar alle zorgaanbieders, in ieder geval bij het eerste bezoek van een patiënt na invoering van het wetsvoorstel en daarnaast wanneer dat nodig is om er zeker van te zijn dat je als zorgaanbieder de juiste persoon tegenover je hebt. Om zoveel mogelijk recht te doen aan de verschillende belangen, waaronder met name het recht op zorg (ook van daklozen en onverzekerden), de betrouwbaarheid van patiëntengegevens en de financiële belangen van zorgverzekeraars, zal in het Besluit gebruik BSN in de zorg worden bepaald hoe een zorgaanbieder moet omgaan met personen die geen (geldig) identiteitsbewijs kunnen tonen. De identificatieplicht is enige jaren terug ingevoerd in zorginstellingen met als doel identiteitsfraude te bestrijden. Patiënten werden verplicht zich te identificeren indien zij ten laste van de Algemene Wet Bijzondere Ziektekosten en/of Ziekenfondswet nu Zorgverzekeringswet (Zvw) zorg wilden genieten. 16 Identiteitsfraude vindt met 13. Karin Spaink, Het medisch geheim gehackt, de Volkskrant, 3 september 2005. 14. Goed Beheerd Zorgsysteem (GBZ): Een informatie omgeving van zorgverleners en zorgverzekeraars, (die) voldoet aan duidelijk omschreven kwaliteitseisen op o.a. het gebied van berichtenstandaarden, beveiliging, performance en beschikbaarheid (zie de begrippenlijst op www.nictiz.nl). 15. Voor meer informatie over wat zorgaanbieders nu al kunnen doen, ter voorbereiding op de invoering van het BSN: BSN en het UZI-register, wat kunt u nu al doen?. Zie www.uziregister.nl. Zie ook www. invoering-epd.nl. Met eventuele vragen kunnen zorgaanbieders terecht bij een informatieloket van het ministerie van VWS: info@sbv-z.nl. 16. Fraudebestrijding zorgverzekeringswetten, Kamerstukken II 2003/04, 29 623, nr. 2. 30 het bsn in de zorg; de zwakke plekken

name plaats wanneer een onverzekerde patiënt op naam van iemand die wel verzekerd is, bijvoorbeeld zijn broer, zorg geniet. 17 Dit probleem moet niet worden onderschat. Eén van de middelen voor identiteitsfraude, het vervalsen van identiteitsbewijzen, kost Nederland jaarlijks drie miljard euro. 18 Identiteitsfraude heeft primair en misschien uitsluitend een financieel doel, namelijk bewerkstelligen dat de verzekeringsmaatschappij van de verzekerde broer de kosten van de zorg betaalt. De consequenties van identiteitsfraude gaan echter veel verder, meestal zonder dat de betrokken patiënten dit beseffen. De onverzekerde patiënt wordt namelijk ook behandeld op basis van de (medische) gegevens van zijn broer en vervolgens worden de medische gegevens van de onverzekerde broer toegevoegd aan het medisch dossier van de ander. Relatief onschuldige voorbeelden hiervan zijn nog Een vrouw die volgens haar medisch dossier twee keer in korte tijd is bevallen; een man die plots geen litteken meer heeft van een forse operatie. 19 Het zal niemand verbazen dat identiteitsfraude ook grote consequenties kan hebben voor de zorgverlening. De relatie tussen het zorgvuldig verwerken van het BSN en de kwaliteit van zorg is ook de reden dat primair de Inspectie voor de Gezondheidszorg (de Inspectie) toe zal gaan zien op de naleving van de Wbsn-z door zorgaanbieders. Het College bescherming persoonsgegevens (CBP) zal met name toezicht houden op het gebruik van het BSN overeenkomstig de WBP. 20 Na inwerkingtreding van het wetsvoorstel zal het recent tussen CBP en de Inspectie gesloten samenwerkingsprotocol dan ook worden uitgebreid met afspraken over het toezicht op het gebruik van het BSN door zorgaanbieders. Net als bij de beveiliging van informatiesystemen aan de orde kwam is ook hier sprake van een bestaand risico, dat echter door invoering van het BSN en het toekomstige landelijk EPD aanzienlijk wordt vergroot. Kon een onverzekerde vroeger misschien nog voorkomen dat hij werd behandeld op basis van onjuiste gegevens door naar een andere zorgaanbieder te gaan dan zijn verzekerde broer, vanaf invoering van het BSN en zeker na inwerkingtreding van het landelijk EPD zullen de medische gegevens van dezelfde persoon of beter, gehangen aan dezelfde naam op steeds grotere schaal kunnen worden verzameld en gekoppeld. In beginsel natuurlijk een mooi streven, maar niet moet worden vergeten dat het risico van fouten in medische dossiers aan- 17. Identiteitsfraude vindt altijd plaats met medeweten van de persoon wiens identiteit wordt gebruikt. Het gebruiken van iemands identiteit zonder medeweten van de betrokkene is identiteitsdiefstal en is over het algemeen meer omvattend dan eenmalig ziekenhuisbezoek. 18. Nieuwsbericht Koninklijke Marechaussee d.d. 21 mei 2006, Jaarlijks voor drie miljard gefraudeerd met vervalste documenten. Zie www. marechausseecontact.nl (via Actueel ). Fraude met identiteitsbewijzen is niet altijd identiteitsfraude; soms is ook sprake van identiteitsdiefstal. Zie voor meer informatie over identiteitsfraude ook J.H.A.M. Grijpink, Identiteitsfraude als uitdaging voor de rechtstaat, P&I 2003, p.148-153. 19. Kamerstukken II 2003/04, 29 623, nr. 3, p. 2. 20. Waar de sectorale toezichthouders (lees: Inspectie en Nederlandse Zorgautoriteit) vooral zullen toezien op het correct gebruik van het burgerservicenummer in overeenstemming met de voorschriften in specifieke, sectorale wetgeving, zal het CBP zich vooral richten op oneigenlijk gebruik in strijd met de algemene kaders van de Wbp (Kamerstukken II 2005/ 06, 30 380, nr. 7, p. 10). Tijdschrift voor Gezondheidsrecht 1-2007 www.gezondheidsrecht.bsl.nl 31

zienlijk groter wordt. Dat is de reden dat het CBP, meestal geen voorstander van een strenge identificatieplicht, hier in zijn adviezen over de invoering van het BSN in de zorg wel steeds op heeft aangedrongen. 21 De zwakste plek zit ook hier naar mijn mening in de wijze waarop zorgaanbieders omgaan met de identificatieplicht. Er zullen zeker zorginstellingen zijn die al enige jaren de identificatieplicht naleven, maar veel zorgaanbieders en brancheverenigingen vinden de identificatieplicht voornamelijk een administratieve verplichting en zelfs een (overbodige) administratieve last. 22 3.2.2 Verificatieplicht De verificatieplicht houdt in dat een zorgaanbieder, nadat hij de identiteit van zijn patiënt heeft gecontroleerd, het bijbehorende BSN moet opvragen of verifiëren. Dit is de laatste handeling die nodig is om de juistheid van de te verwerken gegevens te kunnen waarborgen. Om te voorkomen dat alle zorgaanbieders bij inwerkingtreding van de Wbsn-z niet alleen al hun patiënten moeten identificeren, maar ook één voor één alle bijbehorende BSN s moeten opvragen, bestaat er overigens wel de reeds genoemde mogelijkheid eenmalig alle nummers van alle op dat moment geregistreerde patiënten op te vragen bij de SBV-z, initiële vulling genoemd. Hoe dan ook moet worden gewaarborgd dat de juiste koppeling wordt gemaakt tussen naam en nummer. Nu al lijkt er op dit punt echter van alles mis te (kunnen) gaan. Zo heeft het CBP begin 2006 veel klachten van patiënten ontvangen van wie de huisarts het sofinummer had opgevraagd. Aangezien het BSN qua nummer gelijk is aan het sofinummer, wilden veel huisartsen hun administratie alvast op orde brengen door de sofinummers van hun patiënten te registreren. Dit was hen aangeraden door de LHV, die wilde anticiperen op de administratieve verplichtingen die de huisartsen te wachten zouden staan. Hun registraties vulden zich hierdoor met door patiënten zelf opgegeven sofinummers. Ook veel andere zorgaanbieders zullen naar verwachting al sofinummers van hun patiënten hebben geregistreerd. Een nieuwsbrief van de NVZ vereniging van ziekenhuizen meldde in 2005 bijvoorbeeld dat zorgaanbieders vanaf de invoering van de Zvw verplicht zouden worden het sofinummer te registreren. 23 Onduidelijke wetgeving en onvoldoende voorlichting met als gevolg onrust in het veld zijn daar naar mijn mening debet aan. 24 Niet alleen bestaat er nog geen wettelijke grondslag voor het verwerken van het sofinummer door zorgaanbieders bij de uitvoering van de Zvw, kunnen er zowel aan de 21. Zie voor de adviezen van het CBP met betrekking tot de Wbsn-z: www.cbpweb.nl. 22. Zie onder andere het persbericht van de LHV van 28 augustus jongstleden, BSN in zorg verplicht huisarts tot patiëntonvriendelijke benadering. Zie lhv.artsennet.nl (via Nieuwsarchief, Persberichten (openbaar), LHV-persberichten 2006 ). 23. NVZ Nieuws 29 juni 2005, nr. 24, p.2. Zie www. nvz-ziekenhuizen.nl (via actueel, NVZ-Nieuws, 2005, juni. 24. In art. 118 lid 3 en 4 Zvw staat namelijk dat het sofinummer moet worden verwerkt. Het derde lid is echter, voor zover het betreft de verplichting het sofinummer van de verzekerde in de administratie op te nemen, nog niet in werking getreden, net als artikel 118 lid 4 Zvw. Zie het Besluit van 9 december 2005 tot vaststelling van het tijdstip van inwerkingtreding van de Wet toelating zorginstellingen, de Zorgverzekeringswet, de Wet op de zorgtoeslag en de Invoeringsen aanpassingswet Zorgverzekeringswet, Stb. 2005, 649. Dit, omdat de verwachting was dat de Wbsn-z op korte termijn in werking zou treden. 32 het bsn in de zorg; de zwakke plekken

kant van de patiënt als aan de kant van de registrerende zorgaanbieder (schrijf)fouten optreden bij de registratie van het sofinummer en kunnen patiënten die geen sofinummer hebben zich ook gedwongen voelen een vals nummer op te geven, ook hebben er ter voorbereiding op de invoering van het BSN reeds meerdere schoningsoperaties plaatsgevonden. Fouten die de afgelopen jaren in de administratie van sofinummers bij de Belastingdienst waren geslopen zijn gecorrigeerd en ook hebben bijvoorbeeld groepen voormalige asielzoekers, die op een bepaald moment als groep één sofinummer kregen toegewezen, alsnog ieder een eigen nummer gekregen. Op verzoek van het CBP heeft de LHV inmiddels alle verwijzingen naar het opvragen van het sofinummer uit haar informatiemateriaal geschrapt. 25 4 conclusie Invoering van het BSN in de zorg zal de reeds bestaande risico s op het onrechtmatig koppelen van bestanden en fouten in medische dossiers vergroten. Deze risico s zullen nog groter worden door invoering van zijn belangrijkste toepassing, het landelijk EPD. De zwakste plek in het BSN-stelsel dat in de zorg wordt ingevoerd is naar mijn mening de grote verantwoordelijkheid die bij de zorgaanbieders wordt gelegd. Het succesvol invoeren van het BSN in de zorg is grotendeels afhankelijk van de wijze waarop zorgaanbieders omgaan met de verplichtingen die de wet hen oplegt. De meerderheid meent echter dat slechts sprake is van administratieve verplichtingen of, erger nog, van overbodige administratieve lasten, zonder te beseffen dat deze verplichtingen een doel dienen en wel primair de kwaliteit van zorg. Goede voorlichting op dit terrein en de inzet van alle zorgaanbieders zijn dan ook hard nodig om de invoering van het BSN in de zorg tot een succes te maken en de kwaliteit van zorg ook in de toekomst te kunnen garanderen. 25. CBP 4 april 2006, uitspraak Verbod op voortijdig opvragen sofinummer door huisartsen (z2006-00238). Zie www.cbpweb.nl (via maatschappelijke sectoren, zorg en welzijn ). Tijdschrift voor Gezondheidsrecht 1-2007 www.gezondheidsrecht.bsl.nl 33