Brief regering : Uitkomsten van het onderzoek door het programma Gespecificeerde Toestemming Structureel (GTS)

Nr. 192
BRIEF VAN DE MINISTER VOOR MEDISCHE ZORG

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 4 oktober 2019

In de derde brief elektronische gegevensuitwisseling in de zorg1 heb ik toegezegd uw Kamer te informeren over de uitkomsten van het onderzoek door
het programma Gespecificeerde Toestemming Structureel (GTS). Het programma GTS heeft
gezocht naar een zo gebruiksvriendelijk mogelijke oplossing voor de uitvoering van
artikel 15a, lid 2 van de Wet aanvullende bepalingen verwerking persoonsgegevens in
de zorg (Wabvpz)2. Via deze brief informeer ik u hierover.

Samenvatting

Deze brief gaat over gespecificeerde toestemming. Deze gespecificeerde toestemming
geldt nadrukkelijk alleen voor die situaties waarin gegevens beschikbaar worden gesteld
voor nog onbekend later gebruik. Als een zorginfrastructuur zo werkt is door die infrastructurele
keuze gespecificeerde toestemming aan de orde. Terwijl het zorgproces daar helemaal
niet om vraagt. In vrijwel alle gevallen gaat het immers om een behandelrelatie waarbinnen
gegevens gewoon mogen worden uitgewisseld.

Het programma GTS heeft onderzoek gedaan naar een praktische uitwerking van gespecificeerde toestemming.
Uit de eerste praktische uitwerking van de wet werden 160 toestemmingsmogelijkheden
door PBLQ als juridisch optimum betiteld. Meerdere partijen, waaronder leden van de
Tweede Kamer, plaatsten vraagtekens bij de haalbaarheid van dit hoge aantal toestemmingsmogelijkheden.
Het programma GTS heeft daarom een alternatief scenario uitgewerkt met 28 toestemmingsmogelijkheden.

Het Adviescollege toetsing regeldruk (ATR) heeft een oordeel uitgebracht over de werkbaarheid (van de uitwerking van)
gespecificeerde toestemming. De ATR concludeert dat gespecificeerde toestemming niet van een werkbare invulling
is te voorzien.

Hierdoor is een complexe situatie ontstaan. Ik streef naar gegevensuitwisseling die
bij voorkeur de zorg zelf volgt en niet werkt met beschikbaarstelling vooraf. Mijn
ideale situatie is echter (nog) niet altijd realistisch, dus bleef invulling geven
aan de wens van uw Kamer voor gespecificeerde toestemming steeds het uitgangspunt.

Het advies van de ATR maar ook onderzoek in opdracht van het Zorginstituut3 waaruit veel onrust bij zorgaanbieders blijkt over de toestemmingenregistratie noopt
tot herijking. Dit leidt ertoe dat de inwerkingtreding van het artikel 15a, lid 2
van de Wabvpz op 1 juli 2020 niet haalbaar is. In de eerste helft van 2020 doe ik
uw Kamer een voorstel voor de herijking van de invoering van gespecificeerde toestemming
op basis van in deze brief genoemde adviezen. Ik ga tegelijkertijd verder met het
zoeken naar een oplossing voor uitwisseling van informatie via een elektronisch uitwisselingssysteem
specifiek voor spoedzorg. Hier kom ik aan het eind van dit jaar op terug.

Gegevensuitwisseling en toestemming

Graag stel ik voorop dat elektronische uitwisseling van gegevens geen achteruitgang
mag zijn ten opzichte van de huidige dagelijkse praktijk van gegevensuitwisseling.
Ik vind het onwenselijk als voor het elektronisch uitwisselen van gegevens vaker toestemming
moet worden gevraagd dan voor gegevensuitwisseling op papier. Ook mag zonder die toestemming
geen achteruitgang optreden ten opzichte van de huidige praktijk.

Gegevensuitwisseling wanneer nodig

Ik wil dat er zoveel mogelijk gezocht wordt naar een (infrastructurele) oplossing
voor gegevensuitwisseling wanneer nodig. De behandelrelatie volgens de WGBO (Wet op de geneeskundige behandelovereenkomst)
vormt de basis. Zorgverleners hebben de plicht tot geheimhouding. Dit komt voort uit
het medisch beroepsgeheim in de Wet BIG en de WGBO. Alleen met toestemming van de
patiënt mag de zorgverlener zijn beroepsgeheim doorbreken. Deze toestemming kan de
patiënt echter pas geven als hij vooraf is ingelicht over het doel, de inhoud en de
mogelijke gevolgen van de gegevensuitwisseling.

Toestemming veronderstellen

In sommige gevallen mogen zorgverleners echter toestemming veronderstellen. Bijvoorbeeld wanneer een zorgverlener een patiënt bij een actuele hulpvraag doorverwijst
naar een andere zorgverlener, die de behandeling overneemt. Ook een medisch specialist
die de huisarts van zijn patiënt wil informeren, mag toestemming daarvoor veronderstellen.

Uitzonderingen WGBO

Daarnaast bevat de WGBO uitzonderingen op het verbod om informatie aan derden te verstrekken.
Op grond van de artikelen 7:457 lid 1 en 450 BW kan een zorgverlener zonder toestemming
van de patiënt informatie verstrekken aan medebehandelaars en vervangers.

Geplande zorg

In de derde brief elektronische gegevensuitwisseling in de zorg gaf ik aan dat we
infrastructuren kunnen kiezen die de gegevensuitwisseling zoveel mogelijk beperken
tot de bij de behandeling betrokken zorgverleners. Ik hecht hier veel waarde aan.
Medische gegevens zijn immers bijzonder gevoelige gegevens. Daarom staan gegevensbescherming
en «privacy by design» voor mij voorop. Dit sluit bovendien aan bij de door uw Kamer
aangenomen motie van de leden Van den Berg en Raemakers4. Deze motie stelt dat de meeste zorg geplande zorg is. Bij geplande zorg kunnen zorgverleners bewust kiezen welke gegevens ze moeten
delen, en met wie.

Wel toestemming nodig

Er zijn ook situaties in de zorgpraktijk waarin toestemming wel nodig is, voor welke
infrastructuur we ook kiezen. Denk aan een arts die oud beeldmateriaal wil opvragen
bij een vorige arts om de situatie toen te vergelijken met nu. Dan moet de patiënt
toestemming geven om het oude beeldmateriaal te delen met de huidige arts.

Spoedzorg

Toestemming is ook nodig voor het van tevoren raadpleegbaar maken van basisgegevens.
Dan gaat het om ongeplande zorg, als iemand ooit spoedzorg nodig heeft van een nog onbekende zorgverlener. Zoals
ik in de derde brief gegevensuitwisseling in de zorg al aangaf, zoek ik nog naar een
specifieke oplossing voor uitwisseling van informatie bij spoedzorg. Deze zoektocht
sluit aan bij Europese afspraken over gegevensuitwisseling, bedoeld voor inwoners
van de Europese Unie die in een andere lidstaat ongeplande zorg nodig hebben. Zoals
ik in de brief over zorginformatiedeling in internationale context5 heb gemeld, doen op dit moment vijf ziekenhuizen mee aan een project om patiëntgegevens
uit een ander EU-land digitaal op te halen. Zodat bij spoedzorg de diagnose en behandeling
veiliger, persoonsgerichter en efficiënter zijn. De vijf ziekenhuizen zijn Saxenburgh
Groep, Erasmus MC, Maastricht UMC+, ZorgSaam en Spaarne Gasthuis. Met dit project
sluit Nederland aan op de eHealth Digital Service Infrastructure (eHDSI).

Gespecificeerde toestemming

Wat de huidige situatie complex maakt, is dat sommige zorginfrastructuren niet pas
informatie uitwisselen als er een behandelrelatie is, maar gegevens opvraagbaar maken
voor nog onbekend later gebruik. Op deze infrastructuren is gespecificeerde toestemming
van toepassing. Een beschrijving van de totstandkoming van gespecificeerde toestemming
vindt u in de bijlagen6.

De belangrijkste punten op een rij

– Gespecificeerde toestemming geldt nadrukkelijk alleen voor die situaties waarin gegevens
beschikbaar worden gesteld voor nog onbekend later gebruik.

– Soms zijn dit situaties die voortkomen uit het zorgproces zelf, denk aan spoedzorg.
In dat geval gaat het om het beschikbaar stellen van een set minimale gegevens voorafgaand
aan een nog onbekende acute zorgbehoefte.

– Veel vaker zijn dit situaties waarin de zorginfrastructuur werkt met beschikbaarstelling
vooraf. Dan is door die infrastructurele keuze gespecificeerde toestemming aan de
orde. Terwijl het zorgproces daar helemaal niet om vraagt. In vrijwel alle gevallen
gaat het immers om een behandelrelatie waarbinnen gegevens gewoon mogen worden uitgewisseld.

Voorbeeld beelduitwisseling

Beelduitwisseling is een goed voorbeeld. Bij verwijzing van het ene ziekenhuis naar
een ander ziekenhuis mag een arts beeldmateriaal meesturen (binnen de behandelrelatie!).
Nu gebeurt dit vaak omslachtig op dvd. Juist die dvd willen we de zorg uit hebben
en vervangen door elektronische uitwisseling. En dan blijkt de meest gebruikte infrastructuur
daar een stokje voor te steken. Omdat het een infrastructuur is die werkt met beschikbaarstelling
vooraf. Dan moeten patiënten om in dit ene geval de dvd te vervangen door elektronische
uitwisseling, toestemming geven voor alle beelduitwisseling tussen alle ziekenhuizen.
Dat is een onwenselijke situatie en bovendien staat de AVG het niet toe.

Voorlopig is gespecificeerde toestemming nog wel nodig

Teruggrijpend op het voorbeeld van beelduitwisseling hierboven vind ik dat er andere
infrastructurele keuzes moeten worden gemaakt. Namelijk voor systemen die niet werken
met beschikbaarstelling vooraf, maar met het uitwisselen in de behandelrelatie zelf.
Deze wat mij betreft ideale situatie – zoveel mogelijk werken met uitwisseling binnen
de behandelrelatie en niet met beschikbaarstelling vooraf – is echter nog niet bereikt.
Veel infrastructuren in de zorg – bijvoorbeeld de meeste regionale netwerken voor
beelduitwisseling – werken nu met het vooraf opvraagbaar maken van gegevens.

Onderzoeken programma GTS

Zoals ik in eerdere rapportages al heb gemeld, heb ik een subsidie beschikbaar gesteld
aan zorgpartijen verenigd in de stuurgroep GTS. Met als doel dat zij met experts en
partijen in de zorg onderzoeken of – en zo ja hoe – gespecificeerde toestemming werkbaar
en uitvoerbaar gemaakt kan worden voor burgers en zorgaanbieders.

160 toestemmingsmogelijkheden

Het eerste onderzoek van het programma GTS -gevalideerd door PBLQ- leverde 160 toestemmingsmogelijkheden
op, als juridisch optimum om invulling te geven aan het wetsartikel. In de eerste
en tweede voortgangsrapportage Wet cliëntenrechten bij elektronische verwerking van
gegevens7, die ik uw Kamer in december 2017 en december 2018 stuurde, ging ik hierop in. Meerdere
partijen, waaronder zowel de stuurgroep GTS, leden van uw Kamer8 als ikzelf, plaatsten vraagtekens bij de uitvoerbaarheid van het hoge aantal toestemmingsmogelijkheden.

Algemeen overleg gegevensuitwisseling in de zorg

In het algemeen overleg gegevensuitwisseling in de zorg/gegevensbescherming op 30 januari
dit jaar heb ik met uw Kamer van gedachten gewisseld over GTS. Samen concludeerden
we dat de uitwerking van het wetsartikel weliswaar juridisch en technisch passend
was, maar eenvoudiger moest om de bedoeling van het wetsartikel te halen: de cliënt
de regie geven over de eigen gegevens.

Motie Van den Berg/Raemakers

Naar aanleiding van dit overleg heeft uw Kamer op 5 maart van dit jaar de motie van
de leden Van den Berg en Raemakers aangenomen (Handelingen II 2018/19, nr. 58, item 13). De motie vraagt mij bij de inrichting van GTS recht te doen aan vier overwegingen:

– Richt de gespecificeerde toestemming zo in dat de patiënt op een eenvoudige en eenduidige
manier toestemming kan geven voor het overdragen van de eigen cliëntgegevens.

– De patiënt heeft er belang bij dat in een acute situatie zijn essentiële gegevens
snel toegankelijk zijn. Denk aan ziektes waaraan een patiënt lijdt, medicijngebruik,
recente labuitslagen en allergieën.

– De meeste zorg is geplande zorg en daarbij kan bewust gekozen worden welke gegevens
gedeeld moeten worden met een andere zorgverlener.

– In noodsituaties mogen artsen al patiëntgegevens delen zonder toestemming van de patiënt.

Voorstel voor vereenvoudiging

In januari 2019 informeerde de stuurgroep GTS mij dat ze het volgende gingen uitwerken:

– Een beproefde methode om gespecificeerde toestemmingsmogelijkheden te bepalen.

– De eerste gespecificeerde toestemmingsmogelijkheden voor huisartsen, apotheken en
ziekenhuizen die aansluiten bij de definitie van gespecificeerde toestemming in het
wetsartikel en die in lijn zijn met digitale gegevensuitwisseling en beproefd door
een representatief patiëntenpanel.

– Een beredeneerd overzicht van alle verwachte toestemmingsmogelijkheden, waaronder
voor het medisch-specialistisch-dossier.

– Implementatieadviezen voor adoptie door patiënten.

Het resultaat is het advies «Scenario wetsartikel Gespecificeerde Toestemming, een
praktisch optimum van toestemmingsmogelijkheden en adviezen voor de ontwikkeling en
het gebruik van een online toestemmingsvoorziening»9 dat het programma mij onlangs aanbood. U vindt het advies in de bijlagen10.

Het scenario

Het scenario bevat:

1. Een model met 28 toestemmingsmogelijkheden voor het beschikbaar stellen van gegevens
vanuit huisartsenpraktijken, apotheken, ziekenhuizen, GGZ-instellingen, medische onderzoekscentra,
wijkverpleging en tandartspraktijken aan andere behandelaars. Dat ziet er zo uit:

2. Een beschrijving van een test met een representatief patiëntenpanel. Hieruit kwam
naar voren dat het aantal toestemmingsmogelijkheden voor patiënten een praktisch optimum
is. Het zijn voldoende mogelijkheden om keuzes te maken die recht doen aan persoonlijke
privacyvoorkeuren. Tegelijkertijd zijn het niet te veel mogelijkheden. Het risico
dat de patiënt het overzicht kwijtraakt daardoor geen keuzes maakt is dus klein.

3. Randvoorwaarden om het toenemen van regeldruk bij zorgaanbieders en overmatige ICT-inspanningen
te voorkomen:

– Zorg voor een unieke digitale identificatie van zorgverleners.

– Regel de wettelijke grondslag voor het gebruik van het BSN voor een online toestemmingsvoorziening.

4. Implementatieadviezen voor zowel gebruik door de patiënt als het werkbaar en uitvoerbaar
houden van gespecificeerde toestemming.

5. Adviezen voor het beheer van het dynamisch toestemmingsmodel.

a. Zorg voor openbare publieksinformatie over elektronische uitwisseling.

b. Organiseer betrokkenheid van burgers bij de (door)ontwikkeling van een online toestemmingsvoorziening.

c. Vergroot adoptie en gebruik door het beheren van toestemmingen te relateren aan de
zorgvraag.

d. Vergroot digitale inclusie van burgers via zorgverleners.

e. Voer een standaard in voor controle op elektronische uitwisseling via logging.

Advies Adviescollege toetsing regeldruk (ATR)

Het ATR heeft daarna een advies gegeven over het scenario voor gespecificeerde toestemming.
U vindt het advies in de bijlagen11. De centrale vraag in het advies is of gespecificeerde toestemming voor elektronische
gegevensuitwisseling in de zorg werkbaar is. Bij de behandeling van de voortgangsrapportage
van het programma GTS heb ik eerder al aangegeven belang te hechten aan het oordeel
van het ATR over de werkbaarheid van (de uitwerking van) gespecificeerde toestemming.

Twee belangen

Het ATR constateert dat bij de uitwisseling van (medische) gegevens in de zorg en
het werken met een toestemming van de patiënt twee belangen een rol spelen:

1. de kwaliteit van zorg;

2. de privacy en mogelijkheid van de patiënt om regie te kunnen voeren over de omgang
met zijn gegevens.

Risico’s voor de kwaliteit van zorg

Het ATR komt op basis van de rapporten en gesprekken met partijen uit de zorg tot
de conclusie dat de introductie van gespecificeerde toestemming voor gegevensuitwisseling
in de zorg risico’s voor de kwaliteit van de zorg met zich meebrengt. Kwaliteit van
zorg is gediend met een goede, tijdige en zorgvuldige uitwisseling van (medische)
gegevens en het ontbreken van onnodige belemmeringen. Als patiënten -bewust of onbewust-
geen toestemming verlenen kunnen (medische) gegevens niet uitgewisseld worden. In
het meest extreme geval kan dit leiden tot onnodig overlijden. Andere mogelijke gevolgen
zijn klachten, verzekeringsclaims en tuchtrechtelijke procedures, aldus het ATR.

Aanzienlijke regeldruk

De strikte interpretatie van de regierol leidt volgens het ATR tot een aanzienlijke
regeldruk voor patiënten, instellingen en professionals.

Werkbare invulling niet mogelijk

Bovendien vindt het ATR dat het laatste scenario van het programma GTS geen recht
meer doet aan gespecificeerde toestemming zoals in de wet is opgenomen. De 160 toestemmingsmogelijkheden
zijn teruggebracht tot 28. De mogelijkheden zijn nu minder concreet en dat maakt het
voor de patiënt moeilijker om een (goede) keuze te maken. Hierdoor ontstaat een nieuwe
risico. Namelijk dat in procedures bij incidenten -denk aan fouten in de behandeling
of onnodig overlijden- blijkt dat het toestemmingenregister juridisch niet houdbaar
is, omdat (te veel) is wegbewogen van de specificatie-eis in de wet. Dit maakt een
herinrichting en hernieuwde invulling van het register noodzakelijk en dat vergt van
alle partijen veel tijd en geld (en regeldruk). Het ATR concludeert dat een werkbare
invulling van gespecificeerde toestemming, zoals opgenomen in de wet, niet mogelijk
is.

Advies ATR

Het ATR adviseert:

1. een heroverweging van de wet om risico’s voor de kwaliteit van de zorg en ongewenste
regeldruk te voorkomen;

2. een duidelijke keuze te maken tussen het belang van goede zorg en die van de regie
van de patiënt over de gegevensuitwisseling;

3. in de wet te opteren voor een stelsel dat voor gegevensuitwisseling voor goede zorg
uitgaat van vertrouwen in de (zorg)instelling en professional en waarin de uitoefening
van de regierol via het inzagerecht loopt.

De ATR concludeert in het advies dat gespecificeerde toestemming, zoals opgenomen
in de Wabvpz, niet van een werkbare invulling is te voorzien.

Beleidsreactie en vervolgstappen: herbezinning

Complexe situatie

Er is een complexe situatie ontstaan:

– Bij de totstandkoming van de Wabvpz werd uitgegaan van beschikbaarstelling van gegevens
vooraf en dus de noodzaak tot gespecificeerde toestemming.

– Ik streef naar gegevensuitwisseling die bij voorkeur de zorg zelf volgt en niet werkt
met beschikbaarstelling vooraf.

– Mijn ideale situatie is echter (nog) niet altijd realistisch, dus bleef invulling
geven aan de wens van uw Kamer voor gespecificeerde toestemming steeds het uitgangspunt.

– Nu blijkt gespecificeerde toestemming lastiger dan gedacht.

– Bovendien leiden de onduidelijkheid en onzekerheid, zo blijkt uit onderzoek in opdracht
van het Zorginstituut12, tot veel onrust bij zorgaanbieders over de toestemmingenregistratie. U vindt het
onderzoek in de bijlagen13.

– Ik wil daarom ook nog steeds dat er voor elektronische uitwisselingssystemen één set
van regels voor toestemming komt.

– Ik neem het advies van het ATR mee om te gaan naar een stelsel van vertrouwen in de
(zorg)instelling en professional. Een stelsel waarin de patiënt via het inzagerecht
de uitwisseling kan controleren en de regierol kan pakken.

– Dit alles leidt ertoe dat de inwerkingtreding van het artikel 15a, lid 2 van de Wabvpz
op 1 juli 2020 niet haalbaar is.

Logging

Ik bezin mij momenteel op een zinvolle stap vooruit. Ik neem het advies van het ATR
mee dat de patiënt in alle gevallen de mogelijkheid moet hebben om in te zien welke
zorgverlener gegevens heeft verzonden en ingezien. Dit recht heeft de patiënt ook
op grond van de AVG. «Logging» is daarvoor een goed instrument. Logging is het bijhouden
wie welke data in een IT-systeem heeft verwerkt, verzameld, geraadpleegd, gewijzigd,
gewist of verzonden. Op 10 juli van dit jaar heb ik alvast een bewaartermijn voor
logging14 vastgesteld en in de Staatscourant gepubliceerd.

Stelsel van vertrouwen

Ook neem ik het advies van het ATR mee om te gaan naar een stelsel van vertrouwen
in de (zorg)instelling en professional. Een stelsel waarin de patiënt via het inzagerecht
de uitwisseling kan controleren en zo de regierol kan pakken.

Spoedzorg

Eerder in deze brief beschreef ik dat beschikbaarstelling van gegevens vooraf wel
een logische infrastructurele keuze lijkt voor spoedzorg. De motie Van den Berg/Raemakers
vraagt mij bij de inrichting van gespecificeerde toestemming hieraan recht te doen.
Ik ga verder met het zoeken naar een oplossing voor uitwisseling van informatie via
een elektronisch uitwisselingssysteem specifiek voor spoedzorg. Hier kom ik aan het
eind van dit jaar op terug.

Inwerkingtreding artikel 15a, lid 2 niet haalbaar

Dit alles leidt ertoe dat de inwerkingtreding van het artikel 15a, lid 2 van de Wabvpz
op 1 juli 2020 niet haalbaar is. In de eerste helft van 2020 doe ik uw Kamer een voorstel
voor de herijking van de invoering van gespecificeerde toestemming op basis van de
in deze brief genoemde adviezen. Daarbij besteed ik ook aandacht aan de implementatie
in de zorgpraktijk en de wetgeving die nodig is voor een eventuele toestemmingsvoorziening
die werkt op basis van het BSN.

De Minister voor Medische Zorg,
B.J. Bruins