Wet- en regelgeving niet klaar voor online huisartsen

Constamed gooide begin dit jaar de knuppel in het hoenderhok. Het online platform waarmee consumenten medische vragen kunnen stellen aan deelnemende huisartsen riep veel vragen op. SmartHealth schreef er eerder over. Nu het stof wat is neergedwarreld, blijkt dat overheidsinstanties, verzekeraars en beroepsorganisaties van medici het antwoord op veel van die vragen vooralsnog schuldig moeten blijven. Jan Jacobs over de status van online consulten en organisaties die over en weer naar elkaars standpunten verwijzen.

De meest gehoorde vragen afgelopen weken: Constamed gebruikt DigiD, maar is het eigenlijk wel een publieke of overheidstaak? Aan welke beveiligingseisen moeten Constamed of de huisartsen die eraan deelnemen voldoen? Is er eigenlijk wel sprake van een formele behandelrelatie als een huisarts via Internet een vraag beantwoordt? En mag elke vraag die de huisarts beantwoordt als (e)consult worden gedeclareerd?

Een simpele vraag met een moeilijk antwoord

Het is maar de vraag of Erik Schoones en Kate van der Heijden, de oprichters van Constamed, wisten wat ze overhoop haalden toen ze besloten om hun nieuwe dienst via billboards en televisie aan te kondigen. Het idee lijkt zo gek nog niet: 24 uur per dag een

huisarts online kunnen raadplegen. In Nederland is zo’n dienst nooit in enige omvang van de grond gekomen. Natuurlijk: sommige huisartsen bieden aan eigen patiënten als sinds jaar en dag e-mail en soms videoconsulten.

Maar bij Constamed zit je niet vast aan je eigen huisarts, en kun je terecht bij alle, inmiddels veertig, huisartsen die meedoen. Je logt in via DigiD, zodat de arts die je vraag beantwoordt aan de hand van je Burger Service Nummer (BSN) weet wie je bent en bovendien op de goede manier kan declareren bij de verzekeraar. Daarvoor is namelijk het BSN essentieel.

Dat Constamed DigiD mag gebruiken is nog niet helemaal voor de hand liggend. Immers: deze manier van beveiligen is ontwikkeld voor publieke en overheidstaken, zoals gemeentelijke loketten, de Belastingdienst en studiefinanciering. Daarom stelde SmartHealth drie weken geleden een simpele vraag aan Logius, de organisatie die DigiD beheert: “Voert Constamed een publieke of overheidstaak uit?” Omdat de toestemming voor het gebruik van DigiD al is verstrekt, zou je een bevestigend antwoord verwachten.

Het antwoord is kennelijk niet zo simpel dat het met drie weken bedenktijd te geven is. Logius is er druk mee bezig, maar kan er eigenlijk niets over zeggen, zegt woordvoerder Rick Bron. Men is met Constamed in gesprek, dat wilde hij gisteren wel kwijt.

Een harde noot voor Logius?

Het is niet zo moelijk om in te zien waarom Logius een harde noot te kraken heeft. In het verleden is ervoor gekozen om het gebruik van DigiD toe te staan aan zorgorganisaties, bijvoorbeeld om patiënten te laten inloggen op een persoonlijk dossier. Maar daarbij ging het tot nu toe altijd wel om patiënten die inloggen op een dossier van een zorgaanbieder met wie ze al een bestaande relatie hebben, bijvoorbeeld hun huisarts of internist in het ziekenhuis.

Hebben de Constamed huisartsen die de vragen van consumenten beantwoorden ook zo’n soort relatie met hun online patiënten? In dat geval is de inzet van DigiD gerechtvaardigd. Maar als je zegt dat er dus eigenlijk sprake is van een volwaardige behandelrelatie, zoal beschreven in de Wet op de geneeskundige behandelingsovereenkomst (WBGO), dan haal je een hele nieuwe can of worms tevoorschijn.

De Constamed app

Voorschriften, handreikingen, leidraden en wetten

De behandelrelatie tussen arts en patiënt kent veel wettelijke kanten rond aansprakelijkheid, geheimhouding en zorgvuldigheid. Neem bijvoorbeeld de medische gegevens die een patiënt via Constamed ter beschikking stelt aan de online huisarts. Wanneer er sprake is van een behandelrelatie, zijn Constamed en/of de huisartsen die meedoen namelijk opeens gebonden aan tal van voorschriften, handreikingen, leidraden en wetten die te maken hebben met de opslag, het gebruik en de bescherming van elektronische patiëntengegevens.

De feitelijke regelgeving rond elektronische patiëntgegevens is een intimiderend mijnenveld waar consultants likkebaardend naar kijken. De twee belangrijkste controlerende organisaties, het College Bescherming Persoonsgegevens (CBP) en de Inspectie voor de Gezondheidszorg (IGZ) hebben richtlijnen opgesteld om aan medici en zorgorganisaties duidelijk te maken hoe je aan de wetgeving moet voldoen. Die richtlijnen verwijzen zelf ook weer naar

richtlijnen en normen, waarvan de NEN 7510 de meest bekende is. De 146 pagina tellende publicatie waarin de norm beschreven wordt is een mooi cadeau wanneer je een hekel hebt aan iemand. Minister Schippers, het CBP en de IGZ hebben in de afgelopen jaren duidelijk gemaakt dat deze beveiligingsstandaard wat hun betreft maatgevend is voor de beveiliging van elektronische gegevens, en daarmee de privacy van de patiënt.

In een recente nota liet minister Schippers overigens weten dat een consument wat haar betreft ook die rechten heeft wanneer er geen sprake is van een formele behandelovereenkomst: “Zolang een zorgaanbieder gegevens van een cliënt beheert, moet een cliënt een beroep kunnen doen op zijn rechten. Dit uitgangspunt geldt evenzeer bij elektronische gegevensuitwisseling tussen zorgaanbieders en staat los van de vraag of op dat moment wel of geen sprake is van een geneeskundige behandelovereenkomst.” Dit lijkt op een bruikbaar standpunt over online huisartsen, maar Schippers heeft het hier over wetgeving die er (nog) niet is.

NEN 7510: serious stuff

Er is nog een andere reden waarom Constamed en soortgelijke diensten te maken hebben met NEN 7510. Het gebruik van het Burger Service Nummer (BSN) in de zorg is met een speciale wet geregeld. Die heeft de fantasievolle naam Wet gebruik burgerservicenummer in de zorg, en stamt al uit 2008. Deze wet, en de besluiten die erbij horen, vraagt een grote zorgvuldigheid van organisaties die het BSN voor medische dossiers gebruiken. Begrijpelijk, want een BSN hoort direct bij een bepaalde persoon, waarmee je medische gegevens zou kunnen herleiden tot een bepaald individu.

Ook hier zegt de wetgever dat de NEN 7510 norm verplicht is als je BSN-nummers in je elektronische dossier gebruikt. Maar voor wie? Voor de dienst (Constamed) of voor de huisarts die meedoet? Een woordvoerder van het College Bescherming Persoonsgegevens (CPB) zegt dat men daar echt in moet duiken, en dat het bijvoorbeeld kan afhangen van de overeenkomst tussen de huisarts en Constamed of soortgelijke diensten.

Geen norm voor individuele arts

Lieuwe-Jan Koning is chief technical officer van beveiligingsbedrijf ON2IT en goed bekend met de NEN 7510 norm. “Vergeet het maar dat een individuele huisarts ooit kan voldoen aan die norm”, zegt hij. “NEN 7510 en de normen die erbij horen zijn bedoeld voor grotere organisaties. Deze norm beschrijft niet alleen de techniek, maar ook een grote hoeveelheid organisatorische en procedurele eisen, zoals screening, functiescheiding, maar ook fysieke toegangseisen.” Uit diverse onderzoeken blijkt overigens dat lang niet alle ziekenhuizen en grote zorginstellingen al voldoen aan alle eisen. Minister Schippers sprak in een brief aan de Tweede Kamer eind vorig jaar uit dat ze dit onwenselijk vindt, en dat de Inspectie strenger moet gaan controleren.

Ook de koepels van huisartsen en specialisten vinden dat verantwoordelijken voor elektronische systemen voor de uitwisseling van medische gegevens (lees: artsen of instellingen) moeten voldoen aan deze stevige NEN-normen. Ze schrijven dat in de Gedragscode Elektronische Gegevensuitwisseling in de Zorg die vorig jaar uitkwam, en waarmee ze “praktische richtlijnen voor zorgaanbieders en samenwerkingsverbanden geven om aan geldende regelgeving te kunnen voldoen.” Of ze daarmee ook een online platform als Constamed bedoelen is niet duidelijk, maar ligt voor de hand.

Controleert Logius eigenlijk of een gebruiker van DigiD voldoet aan de passende normen, zoals NEN 7510? “We eisen het wel, maar we controleren het niet. Dat is de verantwoordelijkheid van de organisatie zelf”, zegt Rick Bron van Logius. Dat klopt aantoonbaar, want het is een publiek geheim dat bijvoorbeeld ook niet alle gemeenten (die DigiD gebruiken) hun informatiesystemen geheel volgens de Logius eisen op orde hebben.

Wat vinden andere instanties?

Je zou denken dat andere overheidsinstanties ook iets te melden hebben over de vraag of een e-consult via Internet nu reguliere zorg is (en daarmee moet voldoen aan medische wetten en richtlijnen). Het College voor Zorgverzekeringen stelt vast welke zorg vergoed word (wat zit in het basispakket?). In een notitie uit 2011, die volgens woordvoerder Michiel Geldof nog steeds leidend is, stelt het College dat “als bestaande, al verzekerde zorg in een eHealth-vorm aangeboden wordt, die zorg verzekerde zorg blijft als de samenstelling en de effectiviteit ervan niet wezenlijk wijzigen ten opzichte van de oorspronkelijke zorg.”

Online een vraag stellen

De verzekeraar bepaalt of het reguliere zorg is?

De beoordeling of het bij eHealth-consulten inderdaad alleen om een andere aanbiedingsvorm gaat, ligt bij de zorgverzekeraar. Wouter Kniest, woordvoerder van Zorgverzekeraars Nederland (ZN) zegt desgevraagd dat ZN over Constamed nog geen standpunt heeft ingenomen. “Het is niet a priori uitgesloten dat een consult via Constamed onder de reguliere contractering valt. Ik zie wel een aantal kanttekeningen.

Het is belangrijk om er zeker van te zijn het om goede zorg gaat. Dat is een aspect waar met name de huisartsen zelf ook een uitspraak over moeten doen. Het NHG heeft hier bijvoorbeeld wel een standpunt over. Wat we denk ik niet moeten willen is dat min of meer vrijblijvende vragen, die je ook op een andere openbare site had kunnen vinden, met premiegeld beantwoord worden. Zo is het systeem niet bedoeld.”

Het is volgens Kniest duidelijk een nieuw gebied, waarvoor de richtlijnen zich verder zullen ontwikkelen. “Wij hebben op dit moment geen inzicht in het aantal consulten dat via deze weg wordt vergoed. Dat is ook niet zo eenvoudig, want wij herkennen een Constamed consult ook niet specifiek in de declaratiestroom van e-consulten. Het systeem is nu gebaseerd op het oordeel van de huisarts over wanneer een consult redelijk is. [ZN liet na publicatie van dit artikel overigens weten dat er een nader standpunt is bepaald. Woordvoerder Kniest: "ZN gaat ervan uit dat alleen e-consulten met de eigen huisarts in een bestaande relatie vergoed worden. Daarmee sluiten we aan bij de tariefbeschikking van de NZa op het punt van e-consulten."

De betreffende tariefbeschikking geeft aan dat een e-mail consult wordt vergoed voor een "ingeschreven patiënt, in geval van een bestaande behandelrelatie, het geen eerste consult van een aandoening betreft en indien er een overeenkomst is met de zorgverzekeraar voor het declareren van een e-mailconsult. Maar: is er bij Constamed sprake van een e-mail consult? De specifieke online dienstverlening via een online platform of een app is nog niet voorzien in de beschikking, en daarmee blijft er ruimte voor interpretatie.]

Nieuwe wetgeving nu echt op komst

Kortom: Logius, de verzekeraars, het CBP, de NZa, de koepels, en de Inspectie kijken elk vanuit een eigen perspectief naar de wet- en regelgeving, maar zijn daarbij deels afhankelijk van elkaars standpunten en interpretaties.

Eigenlijk is er nieuws onder de zon. Als de wetgeving op dit gebied zonneklaar was, zouden er niet zoveel richtlijnen en handreikingen nodig zijn om de wet te interpreteren. Bovendien zouden we dan al een specifieke wet hebben die de rechten en plichten voor patiënten en zorgaanbieders inzake elektronische dossiers en diensten zoals die van Constamed helder beschrijft. De Eerste Kamer vroeg via de zogeheten motie Tan al in 2011 aan minister Schippers om een wettelijke regeling uit te werken waardoor patiënten op een veilige manier toegang kunnen krijgen tot hun medische dossiers. Toen hadden we al vijf jaar voorbereidende wetgeving voor het landelijke EPD achter de rug, die uiteindelijke sneuvelde.

Nu komt er dus een nieuwe wet die het goed moet gaan regelen: de wet Cliëntenrechten bij elektronische verwerking van gegevens. In aanvulling op dit wetsvoorstel heeft de minister eind vorig jaar een concept-richtlijn gestuurd voor de technische en organisatorische normen waaraan elektronische zorgdossiers die worden gedeeld moeten voldoen. De wetgeving is nu nog in behandeling bij de Tweede Kamer, het is de bedoeling van de minister om deze regels in 2015 te laten ingaan. Dat wordt spannend.

Als de wetgever al zoveel moeite heeft met wetgeving voor reguliere zorgaanbieders en zorgconsumenten en hun digitale patiëntendossiers, dan is direct duidelijk waarom nieuwe online diensten als die van Constamed vragen oproepen die niet direct een klip en klaar antwoord hebben.

Op zorgconsument toegesneden dienstverlening

Negeren is in ieder geval geen optie. Want naast kritiek en scepsis oogst Constamed ook de nodige bijval van huisartsen en zorgconsumenten die ruimte zien voor een nieuw soort, meer op de wensen van de zorgconsument toegesneden dienstverlening. Je hoeft geen raketgeleerde te zijn om te zien dat Constamed navolging zal krijgen, en dat uiteindelijk ook buitenlandse bedrijven dit type dienstverlening hier zullen gaan aanbieden. Je kunt het dan maar beter zo goed en vooral helder mogelijk geregeld hebben.

Zelfs dat geeft geen garanties, overigens. Het CBP constateerde onlangs dat WhatsApp in strijd handelt met een aantal punten van de Nederlandse privacy-wetgeving. Men schreef een brief. Wij richten ons niet op Nederland, was naar verluidt het verweer van Whatsapp, wij kunnen er ook niets aan doen dat Nederlandse gebruikers onze dienst gebruiken. Of dat verweer juridisch stand houdt is volgens kenners de vraag, maar of het CBP zelfs als ze gelijk krijgt daadwerkelijk een vuist kan maken naar Facebook/Whatsapp is een net zo’n grote vraag. Toch ook iets om in het achterhoofd te houden wanneer het om zorgwetgeving voor de toekomst gaat.