Is de internethuisarts een overheidstaak?

DigiD, het beveiligde inlogmechanisme van de overheid, wordt steeds vaker gebruikt in de zorg. Het meest recente voorbeeld is de site van Constamed, waar zorgconsumenten via een beveiligde verbinding vragen kunnen stellen aan huisartsen. We schreven eerder deze week over Constamed. Volgens de website van DigiD mogen alleen ‘organisaties die overheidstaken uitvoeren’ gebruik maken van DigiD. Hoe passen online zorgportalen en huisartsen die via Internet vragen beantwoorden in die definitie? SmartHealth logt in.

Burgers kennen DigiD om in te loggen bij de Belastingdienst of studiefinanciering, voor een pensioenoverzicht of bij de gemeente. Op de site van DigiD staat bij de lijst van instellingen die met DigiD werken de volgende tekst: "Dit zijn overheden en organisaties die een overheidstaak uitvoeren en daarbij het burgerservicenummer in hun administratie mogen gebruiken. Bijvoorbeeld een ziekenhuis of een zorgverzekeraar.”

En op de website van Logius, de organisatie die voor de overheid de infrastructuur voor DigiD beheert, meldt men dat  DigiD “het digitale authenticatiesysteem voor de overheid en publieke dienstverleners” is.

DigiD is van de overheid

De overheid en de aanbieder van DigiD wekken hiermee op zijn minst de suggestie dat een onderneming die DigiD mag gebruiken als inlogmethode een publieke of openbare taak uitvoert. Die suggestie wordt nog eens versterkt door het scherm waarmee je als gebruiker inlogt bij een dienst die DigiD gebruikt. Daarin is het beeldmerk van de overheid prominent in zicht.

Inloggen met DigiD: logo van de overheid

Wat is een ‘publieke taak’?

Het is dus een interessante vraag:  wanneer vindt Logius, maar daarmee eigenlijk de overheid, dat een organisatie een publieke taak uitvoert. Kennelijk is dat bij Constamed.nl het geval. Zij hebben immers succesvol de formele aanvraagprocedure voor een DigiD-aansluiting doorlopen (om precies te zijn heeft hun ICT-dienstverlener dat gedaan).  Ze hebben daarmee ook voldaan aan tal van technische en formele kwaliteitseisen. Zij zijn geen uitzondering. Ook zorgautomatiseerder PharmaPartners gebruikt DigiD voor een produkt als MijnGezondheid.net. Daarmee kunnen huisartsen of apotheken een zorgportaal voor hun klanten inrichten en met hun DigiD inloggen. Een ander voorbeeld is een dienst als Pazio, ook een platform waarmee zorginstellingen hun patiënten online toegang kunnen geven tot informatie.

In het geval van MijnGezondheid.net en Pazio gaat het om producten die worden ingezet door zorginstellingen. De opdrachtgevers zijn bijvoorbeeld gezondheidscentra, huisartsenpraktijken of ziekenhuizen. Hiermee wordt volgens Logius kennelijk voldaan het criterium dat een publieke of openbare taak moet worden uitgevoerd. Constamed doet niets anders dan wat andere zorg-ICT ondernemingen al langer doen: DigiD gebruiken als beveiliging voor een dienst die door hun klant (de zorgaanbieder) aan patiënten wordt geboden.

Maar wie is de zorgaanbieder?

In het geval van Constamed zijn die zorgaanbieders echter individuele huisartsen die zich hebben aangemeld bij de webdienst, omdat ze vragen willen beantwoorden van zorgconsumenten. Dat hoeven niet hun eigen patiënten te zijn. De huisarts die via Internet een antwoord heeft op een vraag van een Constamed-bezoeker leent of huurt feitelijk de DigiD beveiliging via Constamed om te communiceren met een klant. Dit is de ‘publieke’ of  ‘openbare’ taak die Constamed faciliteert. Dit is een begrijpelijke constructie, omdat een individuele huisarts te veel kosten zou moeten maken om de DigiD aansluiting voor één praktijk te realiseren.

Maar bij wie ligt bij zo’n dienstverlening via Internet nu de eindverantwoordelijkheid voor de wettelijk verplichtingen die een zorgaanbieder (zoals een huisarts) heeft? Een arts of zorgaanbieder heeft bijvoorbeeld te maken met de Wet op de geneeskundige behandelingsovereenkomst (WGBO), die onder meer de dossierplicht, het recht op privacy en de geheimhouding van medische gegevens regelt. Daarnaast is er de algemenere Wet bescherming persoonsgegevens (Wbp). Onder welke regimes valt een huisarts die via Internet een vraag beantwoordt? Is er sprake van een behandelrelatie, en van een reguliere vergoeding? En is de arts zelf dus ook verantwoordelijk voor de kwaliteit van de ICT-systemen die hij of zij daarvoor gebruikt?

Gre Conradi, Directeur St.GezondheidsCentra Maarssenbroek

Gré Conradi, directeur van Stichting Gezondheidscentra Maarssenbroek,  gaat ervan uit dat de beroepsverantwoordelijkheid in eerste instantie bij de zorgaanbieder ligt. Haar centrum  biedt patiënten als een van de nog weinige eerstelijns organisaties een beveiligde omgeving waarop met DigiD kan worden ingelogd. “Je kunt natuurlijk niet alle aspecten tot in detail zelf controleren, dus is het belangrijk dat je hoge eisen stelt aan je ICT-dienstverleners. Wij eisen een certificering volgens de verschillende NEN-normen. Je zult altijd moeten kunnen aantonen dat je zelf al het mogelijke doet om zorgvuldig met patiëntgegevens om te gaan. En bij de aspecten die je niet onder controle hebt moet je aantonen dat je zorgvuldig bent geweest in de leverancierkeuze en in de contracten met die leveranciers.”

Marketingcampagne van Constamed valt op

Hoe is het contractueel geregeld?

Huisartsen die een online dienst als Constamed gebruiken hebben – zo lijkt het in ieder geval - zelf een zorgplicht voor de medische informatie die wordt uitgewisseld bij de beantwoording van hun vraag. Dat is ook de indruk van Johan Krijgsman van Nictiz, het expertisecentrum van de overheid dat ontwikkeling van ICT in de zorg faciliteert. "Ik denk dat in de Constamed-constructie de huisarts uiteindelijk de verantwoordelijkheid draagt voor de geleverde zorgdienst. De vraag is echter hoe helder dit geregeld is in de contracten tussen Constamed en deelnemende huisartsen. Deze vraag is ook van groot belang als het gaat om wie verantwoordelijke is in de zin van de Wbp (Wet bescherming persoonsgegevens) en of je Constamed hier dan als bewerker in de zin van de Wbp moet zien. Deze vraag speelt overigens altijd als een zorgverlener met een IT-leverancier in zee gaat, maar in dit geval is hij extra interessant omdat onduidelijk is hoeveel invloed de individuele huisartsen hebben op de keuzes die door de dienstverlener worden gemaakt."

Johan Krijgsman, Manager Monitoring & TrendITion

To DigiD or not to DigiD?

Maar wat heeft het al dan niet gebruiken van DigiD nu te maken met een eventuele aansprakelijkheid van een zorgverlener? DigiD lijkt immers op het eerste gezicht alleen maar een technische oplossing voor een technisch probleem: hoe kun met een iemand herkennen en laten inloggen op een beveiligde dienst?

De overheid heeft het gebruik van DigiD echter nadrukkelijk beperkt tot publieke diensten. Zorgaanbieders als artsen en ziekenhuizen die online willen communiceren met patiënten vallen klaarblijkelijk onder die definitie. En ook de huisartsen die hun diensten beschikbaar stellen via Constamed. Maar daarmee is het dus ook de desbetreffende huisarts - niet Constamed -  die de dienst aanbiedt, lijkt Logius te redeneren. Constamed is – net als de producten van Pharmapartners en Pazio – een technisch neutraal doorgeefluik.

De crux lijkt hem te zitten in het feit dat een huisarts via Internet ook vragen van andere dan zijn of haar eigen patiënten kan beantwoorden. Wanneer een huisarts Constamed uitsluitend zou gebruiken om alleen de eigen patiënten online te bedienen, dan is er sprake van een situatie als bij het eerder genoemde gezondheidscentrum. Constamed betreedt met zijn concept nieuwe paden, en dat leidt onvermijdelijk tot interpretatievragen over bestaande regelingen.

Wat vindt Logius?

Hoe kijkt Logius aan tegen de kennelijke overheidstaak van organisaties als Constamed en anderen? Michiel Groeneveld, woordvoerder van Logius, kan desgevraagd niet direct antwoord geven op deze vraag. "We zijn het dossier aan het bekijken, en ik hoop dat ik uw vraag op korte termijn kan beantwoorden", meldde hij in antwoord op onze vraag.

Een dag later zegt zijn collega Rick Bron dat het toch iets meer werk is. Hij bevestigt dat het gebruik van DigiD voorbehouden is aan organisaties die een publieke of overheidstaak uitvoeren, maar zegt dat het tijd kost om uit te zoeken of Constamed onder die definitie valt. Maar de toestemming voor het gebruik van DigiD is toch verstrekt? "Het lijkt erop dat in deze constructie de huisartsen de overheidstaak uitvoeren, maar ik kan er verder niets over zeggen", aldus Bron, die belooft erop terug te komen.

Vooruitlopen op de toekomst?

Het ziet er overigens naar uit dat het in de toekomst voor bedrijven en instellingen gemakkelijker gaat worden om een landelijk geaccepteerd inlogsysteem te gaan gebruiken. De opvolger van DigiD staat al te trappelen in de coulissen. Eind vorig jaar kondigde minister Plasterk aan dat hij in 2015 het zogeheten eID-stelsel, in 2015 wil introduceren. Hierin wil hij 'afspraken maken over elektronische identiteit in den brede, voor zowel burgers, bedrijven als professionals'.  eID moet veiliger worden dan DigiD, en zal waarschijnlijk gaan werken met een fysieke component, zoals een smartcard. Het is de bedoeling dat ook bedrijven zoals bijvoorbeeld webwinkels gebruik moeten kunnen gaan maken van de nieuwe beveiliging.  Het is nog onduidelijk onder welke voorwaarden bedrijven (en dus ook zorgverleners) gebruik kunnen gaan maken van de opvolger van DigiD.

Meer lezen over Constamed? Lees hier: Bijklussende dokters of huisarts-van-de-toekomst?