Rechtbank Midden-Nederland, 23-07-2014, ECLI:NL:RBMNE:2014:3097, C/16/340505 / HA ZA 13-205

VPH is een vereniging van huisartsen en heeft als statutaire doelstelling (artikel 2 van de oprichtingsakte):

“- de belangen van praktijkhoudende huisartsen in heel Nederland te behartigen, zowel in financieel-economisch opzicht als in andere opzichten;

- de professionele autonomie van de huisartsen te bewaken en te ondersteunen.”

VZVZ is opgericht met het doel om na de doorstart op te treden als “verantwoordelijke” in de zin van artikel 1 aanhef en onder d Wet bescherming persoonsgegevens (Wbp), dat wil zeggen dat VZVZ optreedt als de rechtspersoon die het doel en de middelen voor de verwerking van de persoonsgegevens vaststelt. In artikel 3 van de statuten van VZVZ is daartoe als doelstelling opgenomen:

“het bevorderen van de gezondheidszorg door het optreden als verantwoordelijke in de zin van de Wbp voor de verwerking van (medische) persoonsgegevens in een landelijke verwijsindex ten behoeve van de uitwisseling van die gegevens. (...)”

Bij brief van 18 januari 2012 heeft het Cbp aan VZVZ (in deze brief aangeduid als VVZ) meegedeeld dat zij het Doorstartmodel voor de bestaande landelijke infrastructuur voor uitwisseling van medische gegevens (door het Cbp aangeduid als landelijk Elektronisch patiëntendossier, EPD) heeft bestudeerd waarbij zij de volgende aspecten heeft betrokken:

“- gaat het model uit van toestemming van de patiënt/burger voor de gegevensverwerking(en) conform de zienswijze van het CBP van 9 augustus 2011;

- is de verantwoordelijkheid voor de gegevensverwerking helder belegd;

- hoe kan de betrokkene straks zijn rechten ingevolge de Wbp effectueren;

- wordt de juiste (normering van de) informatiebeveiliging gehanteerd;

- is helder geregeld wie toegang krijgt tot het landelijk EPD;

- wat is de duur van de zogeheten transitiefase.”

De conclusie van het Cbp luidt dat zij op basis van het Doorstartmodel op het moment van beoordeling geen bijzondere risico’s op overtreding van de Wbp onderkent in verband met de verwerkingen die vanaf 1 januari 2012 onder verantwoordelijkheid van VZVZ plaatsvinden. Het Cbp wijst er op dat deze conclusie slechts een beoordeling van het Doorstartmodel betreft en nog niets zegt over de praktijk.

Brancheorganisaties van zorgaanbieders, de Nederlandse Patiënten/Consumenten Federatie (NPCF), de brancheorganisatie Zorgverzekeraars Nederland (ZN) en Nictiz hebben afspraken gemaakt over de ontwikkeling en het gebruik van de zorginfrastructuur en deze vastgelegd in het “Convenant Gebruik Landelijke Zorginfrastructuur 2013-2016” (hierna: het Convenant). VZVZ heeft het Businessplan 2013-2016 (hierna: het Businessplan) vastgesteld. Het convenant is “oplegger” bij het Businessplan. In de preambule van het Convenant is opgenomen dat de convenantpartijen de volgende doelstellingen hebben:

“a. betere en veiliger zorg door gegevens beschikbaar te hebben voor de waarneming en medebehandeling en voor het uitvoeren van de richtlijn overdracht van medicatiegegevens en door het doorvoeren van gemeenschappelijke standaarden voor registratie en uitwisseling van medische gegevens;

b. het bevorderen van doelmatigheid in de zorg door vermindering van administratieve lasten en overdrachtsproblemen;

c. het hiertoe in stand houden en verder ontwikkelen van een betrouwbare, werkbare en betaalbare infrastructuur;

d. het behouden van door zorg geleverde investeringen in de infrastructuur, in aanpassingen van hun systemen, in ingevoerde standaardisatie en ervaringen en knowhow;

e. meer betrokkenheid van patiënten bij hun eigen gezondheid en behandeling door:

- het vergroten van inzicht in en zeggenschap over de uitwisseling van medische gegevens

- toegang tot en communicatie over zijn medische gegevens

- het bieden van faciliteiten voor E-health en zelfmanagement toepassingen”

“(...)

De Nederlandse normen voor informatiebeveiliging in de zorg, ook wel aangeduid als de ‘NEN-normen’ vormen de basis voor de maatregelen in het kader van informatiebeveiliging voor ieder onderdeel van AORTA. Het betreft de NEN 7510/7511 normen en de in de subnormen NEN 7512 en NEN 7513 vastgelegde normen. De gereviseerde NEN 7510-11 zal in een nieuwe release worden doorgevoerd zover van belang.

Vertrouwelijkheid

Binnen AORTA zijn diverse maatregelen getroffen die waarborgen dat patiëntgegevens vertrouwelijk blijven en niet toegankelijk worden voor onbevoegde partijen. In de eerste plaats waarborgt het landelijk schakelpunt door middel van de UZI-pas en andere beveiligingscertificaten van het UZI-register dat gegevens slechts kunnen worden opgevraagd of verstuurd vanuit gekwalificeerde zorgsystemen en enkel door personen waarvan de identiteit is vastgesteld en gevalideerd.

In de tweede plaats worden de gegevens die tussen een GBZ en het landelijk schakelpunt worden uitgewisseld tijdens het transport versleuteld. Zodoende kunnen onbevoegden de gegevens niet inzien of wijzigen. De beveiligingscertificaten die hiervoor nodig zijn worden uitgegeven door het UZI-register. Het netwerk van de ZSP is overigens een besloten netwerk en geen onderdeel van het internet.

Om patiëntgegevens te mogen aanmelden bij of opvragen via het landelijk schakelpunt dient een zorgaanbieder over de juiste toegangsrechten te beschikken. De concrete toegangsrechten van een zorgaanbieder hangen samen met de rolcode die is geregistreerd op de UZI-pas. Rolcodes komen overeen met beroepstitels in het BIG-register (zie de passage over het UZI-register in de bijlage).

Integriteit

Om ervoor te zorgen dat zorgaanbieders elkaar voorzien van volledige en correcte informatie, zijn binnen AORTA verschillende maatregelen getroffen. In de eerste plaats wordt tijdens het kwalificatietraject van een goed beheerd zorgsysteem (GBZ) getoetst of gegevens die worden verstuurd op de juiste wijze worden gecodeerd,

In de tweede plaats vindt ook tijdens de daadwerkelijke uitwisseling validatie plaats. Er wordt daarbij onderscheid gemaakt tussen twee situaties:

1. van gegevens die in het landelijk schakelpunt zelf worden verwerkt en opgeslagen (bijvoorbeeld verwijsindexgegevens) wordt gecontroleerd of het bericht correct is ontvangen;

2. van gegevens die door het landelijk schakelpunt slechts worden doorgestuurd naar een GBZ controleert het landelijk schakelpunt slechts de ‘envelop’ waarin de gegevens zijn verpakt.

Fouten die het landelijk schakelpunt constateert worden geregistreerd in de centrale logging, zodat passende maatregelen kunnen worden genomen.

Tijdens het transport word de integriteit van gegevens beschermd door het versleutelen van de verbinding, alsmede door versleuteling van enkele voor het bericht kenmerkende gegevens in het bericht zelf.

(...)

Toelichting op toetsing behandelrelatie

(...)

Het autorisatieproces

De autorisatie van zorgaanbieder met betrekking tot index- en patiëntgegevens verloopt in twee stappen:

1. in het goed beheerd zorgsysteem (GBZ) wordt getoetst of de zorgaanbieder een behandelrelatie heeft met de patiënt van wie hij gegevens wenst op te vragen;

2. de opvraging wordt getoetst aan het autorisatieprotocol. Hierin is, aan de hand van BIG-rolcodes, vastgelegd welke bevoegdheden de zorgaanbieder op grond van zijn zorginhoudelijke rol en functie heeft.

Toetsing behandelrelatie

De toegang tot de landelijke infrastructuur is uitsluitend voorbehouden aan zorgaanbieders die een behandelrelatie hebben met de betreffende patiënt. Voorafgaand aan het verlenen van toegang tot de verwijsindex en de patiëntgegevens wordt de behandelrelatie getoetst. Deze toetsing vindt decentraal plaats op het niveau van het GBZ. De eisen die ten aanzien van het toetsen van de behandelrelatie aan de GBZ applicatie worden gesteld zijn vastgelegd in het Programma van Eisen (PvE) GBZ. Deze eisen worden tijdens een kwalificatie getoetst.

De toetsing van de behandelrelatie verloopt in de hieronder genoemde stappen. De stappen a t/m c betreffen een technische toetsing. Een schematische weergave is opgenomen als bijlage.

A: Is de patiënt ingeschreven in het opvragend goed beheerd zorgsysteem (GBZ)?

Allereerst wordt nagegaan of de patiënt is ingeschreven in de patiëntenadministratie van de zorgaanbieder die patiëntgegevens wenst op te vragen. Voor dit doel wordt nagegaan of het burgerservicenummer van de patiënt voorkomt in deze administratie en of dit geverifieerd is.

Indien de patiënt niet is geregistreerd in het GBA wordt de toegang tot de landelijke infrastructuur geweigerd.

B1.: Heeft de beroepsbeoefenaar eerder patiëntgegevens van deze patiënt aangemeld bij het landelijk schakelpunt?.

Indien de beroepsbeoefenaar eerder patiëntgegevens van de patiënt heeft aangemeld, wordt hieruit op GBZ-niveau afgeleid dat er een behandelrelatie met deze patiënt bestaat. Vervolgens wordt nagegaan of de behandelrelatie nog steeds aanwezig is (zie B2). Indien geen sprake is van een eerdere aanmelding, wordt nagegaan of de behandelrelatie blijkt uit de werkcontext (zie onder C).

B2: Is de behandelrelatie nog steeds aanwezig?

Om er zeker van te zijn dat de behandelrelatie nog steeds bestaat, wordt geverifieerd of de behandelrelatie niet inmiddels is verlopen of expliciet is beëindigd. Als dit niet het geval is, wordt de aanvraag doorgeleid naar het autorisatieprotocol. Hierin is voor ieder type beroepsbeoefenaar vastgelegd tot welke gegevens hij toegang krijgt en welke gebruikshandelingen hij mag verrichten. Indien de behandelrelatie inmiddels beëindigd is, wordt nagegaan of er sprake is van een nieuwe behandelrelatie die blijkt uit de werkcontext (zie onder C).

C: blijkt de behandelrelatie met de beroepsbeoefenaar uit de werkcontext?

Indien de opvragende beroepsbeoefenaar niet eerder patiëntgegevens van de patiënt heeft aangemeld bij het landelijk schakelpunt (Zie B1) kan de behandelrelatie in bepaalde gevallen worden afgeleid uit de context waarin de aanvraag is gedaan. Dit is het geval wanneer:

- in het GBZ, bijvoorbeeld in het ziekenhuis, is geregistreerd dat de betreffende patiënt een afspraak heeft met een specifieke arts of specialist;

- de apotheker een recept heeft ontvangen van de huisarts;

- een verwijzing naar de zorgaanbieder is geregistreerd;

- de patiënt in het kader van een verzoek van de zorgaanbieder tot het verrichten van onderzoek is geregistreerd in het systeem van een laborant;

- de zorgaanbieder een dossier voert over de betreffende patiënt.

D: De beroepsbeoefenaar dient de behandelrelatie en de toestemming van de patiënt expliciet te bevestigen.

Indien de behandelrelatie niet blijkt uit de werkcontext dan wel de stappen onder B, dient de beroepsbeoefenaar de behandelrelatie expliciet te bevestigen. Deze bevestiging geschiedt via een bevestigingsscherm. Indien deze bevestiging wordt gegeven, wordt de opvraging doorgeleid naar het autorisatieprotocol. Indien deze bevestiging uitblijft, wordt de toegang geweigerd.

De vaste huisarts wordt via een ‘waarneembericht’ geïnformeerd over de zorg die de patiënt heeft ontvangen. De apotheek en apotheekhoudende huisarts kunnen aan het LSP melden dat zij medicatie aan een patiënt hebben verstrekt. Collega-zorgaanbieders (apothekers, huisartsen en medisch specialisten) kunnen vervolgens opvragen welke medicatie aan een patiënt is verstrekt.

VZVZ heeft een formulier (hierna: het Toestemmingformulier) ontwikkeld waarmee patiënten toestemming kunnen geven voor het elektronisch uitwisselen van medische gegevens:

Dit formulier bevat de volgende keuzemogelijkheden:

“Ik geef toestemming aan onderstaande zorgverlener om mijn gegevens beschikbaar te stellen voor raadpleging door andere zorgverleners zoals in de brochure ‘Uw medische gegevens elektronisch delen?’ is aangegeven.”, of de tekst:

“Ik geef geen toestemming aan onderstaande zorgverlener om mijn gegevens beschikbaar te stellen voor raadpleging door andere zorgverleners zoals in de brochure ‘Uw medische gegevens elektronisch delen?’ is aangegeven.”

Boven deze teksten kan “ja” of “nee” worden aangekruist.

In de brochure “Uw medische gegevens elektronisch delen?” (hierna: de Brochure) is het volgende vermeld:

“(...)

Zo werkt de zorginfrastructuur

Uw huisarts en apotheek houden ieder een eigen dossier bij over u. Hierin staat informatie die van belang is voor uw behandeling. Zo legt uw huisarts bijvoorbeeld vast wat uw klachten zijn en welke behandelingen u krijgt. En uw apotheker vermeldt in uw dossier welke medicijnen hij u verstrekt heeft en of u allergisch bent voor bepaalde medicijnen.

Als u toestemming hebt gegeven aan uw huisarts en apotheek dan mogen zij uw belangrijkste medische gegevens beschikbaar stellen aan andere zorgverleners. Bijvoorbeeld een waarnemend huisarts van de huisartsenpost, andere apotheek of een medisch specialist. Als u naar een andere zorgverlener gaat, dan kan deze uw gegevens raadplegen.

Zorgverleners kunnen gegevens elektronisch raadplegen via een netwerk dat hiervoor speciaal is gemaakt: de zorginfrastructuur. Dit is een beveiligd netwerk waarop huisartsen, apotheken, huisartsenposten en medisch specialisten in Nederland hun computersystemen kunnen aansluiten.

Als uw huisarts of apotheek is aangesloten op het netwerk, dan vraagt hij uw toestemming voor de uitwisseling van uw gegevens. Als u toestemming geeft, zal hij uw Burgerservicenummer (BSN) aanmelden bij het netwerk. Als een zorgverlener dan uw gegevens opvraagt, wordt met behulp van uw BSN opgezocht wie gegevens over u hebben aangemeld. Die zorgverlener kan vervolgens uw belangrijkste gegevens inzien. Dat kan alleen als u toestemming hebt gegeven en als het nodig is voor uw behandeling.

In het netwerk staat alleen uw BSN en welke huisarts en apotheek gegevens over u beschikbaar hebben. Uw medische gegevens worden dus niet opgeslagen in het netwerk. Ze blijven in de computer van uw eigen huisarts en apotheek. Andere zorgverleners kunnen alleen de belangrijkste informatie uit uw dossier inzien. Uw huisarts of apotheek houdt uw dossier bij. Zo zijn steeds de laatste gegevens over uw gezondheid beschikbaar en kunt u onjuistheden laten herstellen

(...)

Alleen huisartsen, waarnemend huisartsen (huisartsenposten), apothekers, ziekenhuisapothekers en medisch specialisten kunnen nu aansluiten op de zorginfrastructuur. Alleen deze zorgverleners kunnen dus uw belangrijkste medische gegevens inzien

(...)

Zorgverleners die aangesloten zijn op de zorginfrastructuur kunnen uw persoonlijke gegevens zien, zoals uw naam, adres, geboortedatum, leeftijd en geslacht. Ze kunnen ook een overzicht zien van de medicijnen die u gebruikt. Een waarnemend huisarts kan ook een samenvatting van het huisartsdossier opvragen. Daarin staan:

 uw huidige gezondheidsproblemen

 welke medicijnen u gebruikt

 bekende allergieën

 informatie over contacten met u in de laatste vier maanden of over de laatste vijf contacten;

 bijzonderheden die belangrijk zijn voor een waarnemend arts

(...)”