Toestemming voor elektronisch delen medische gegevens: na zes jaar terug bij af?

Twee jaar geleden werd een wet aangenomen die regelt hoe burgers toestemming kunnen geven voor het elektronisch uitwisselen van hun gegevens tussen zorgaanbieders. Dat nieuwe systeem voor zogeheten specifieke toestemming zouden dokters vanaf 1 juli 2020 moeten gaan gebruiken. Een klein probleem: niemand weet nog hoe de uitwerking van dat stuk van die wet eruit gaan zien. De projectorganisatie van zorgpartijen die de wetsartikelen moest uitwerken komt er niet uit, en vraagt in een brief aan de ministers van VWS hoe het verder moet.

Wanneer je als burger ermee instemt dat je dokter of apotheek je medische gegevens deelt met andere zorgaanbieders, dan moet je hem of haar daarvoor bijna altijd expliciet toestemming geven. Dit is een hoofdregel in de Wet op de geneeskundige behandelingsovereenkomst (WGBO). Als een dokter of apotheek jouw medische gegevens elektronisch beschikbaar wil maken voor collega’s, dan heeft hij of zij sinds 1 juli 2017 ook te maken met een aantal aanvullende voorwaarden die voortvloeien uit nieuwe wetgeving.

Die wetgeving is ontwikkeld, nadat al in 2012 de plannen voor een landelijk systeem voor het uitwisselen van medische dossiers in Nederland niet haalbaar bleken. Het ministerie van VWS mocht die plannen niet verder ontwikkelen van de Eerste Kamer, maar kreeg wel de opdracht mee om nieuwe wetgeving te ontwikkelen voor digitale communicatie tussen zorgaanbieders.

Losse eindjes met grote gevolgen

Het kostte minister Edith Schippers enkele jaren om die wetgeving door het parlement te laveren, maar iets meer dan twee jaar geleden ging ook de Eerste Kamer akkoord. Het wetsvoorstel bleek echter losse eindjes te hebben.

Tijdens de eerdere behandeling in de Tweede Kamer in 2016 hadden enkele politieke partijen bedongen dat burgers expliciet moeten kunnen aangeven welke gegevens ze al dan niet willen delen, en welke (groepen) zorgaanbieders die gegevens vervolgens mogen inzien. Dat gaat dus veel verder dan de simpele ja/nee vraag die tot dan toe (en ook vandaag de dag nog) wordt gebruikt om toestemming vast te leggen. Schippers ging daarin mee, en het wetsvoorstel werd zodanig aangepast dat een simpele ja/nee vraag niet meer zou voldoen. Minister Schippers kwam dus tegemoet aan de wens van de Tweede Kamer, maar het is achteraf bezien wel de vraag of de volksvertegenwoordigers rekening hielden met de consequenties van de nieuwe toestemmingsregels.

Ex-minister Edith Schippers: wetsvoorstel door parlement gelaveerd

Minister Schippers begreep in ieder geval wel terdege dat het ondoenlijk zou zijn om deze regels al direct bij ingang van de nieuwe wet in 2017 te laten ingaan. Daarom liet ze zorgaanbieders weten dat het systeem van specifieke toestemming pas op 1 juli 2020 verplicht zou worden. Ze had er alle vertrouwen in dat ‘het veld” voor die tijd een werkbaar voorstel voor de invoering van de regels zou kunnen produceren.

Schijn bedriegt: wat staat hier eigenlijk?

De betreffende tekst van de nieuwe wetsartikelen lijkt op het eerste gezicht niet al te ingewikkeld:

1. De zorgaanbieder stelt gegevens van de cliënt slechts beschikbaar via een elektronisch
uitwisselingssysteem, voor zover de zorgaanbieder heeft vastgesteld dat de cliënt daartoe uitdrukkelijk toestemming heeft gegeven.

2. De in het eerste lid bedoelde toestemming betreft gespecificeerde toestemming voor het
beschikbaar stellen van alle of bepaalde gegevens aan bepaalde door de cliënt aan te duiden zorgaanbieders of categorieën van zorgaanbieders.

Maar als je even nadenkt over wat er staat, dan wordt al snel duidelijk dat begrippen als “bepaalde’ gegevens” en “categorieën van zorgaanbieders” verre van eenduidig zijn.

Om de wet te kunnen uitvoeren, moeten de ICT-systemen van zorgaanbieders "bepaalde gegevens" uit het dossier van de patiënt kunnen selecteren. Maar hoe fijnmazig moet die zeef zijn? Moet je geestelijke en seksuele aandoeningen kunnen uitsluiten? Bepaalde periodes? Met het ja/nee systeem dat nu wordt gebruikt spelen die vragen veel minder. De huidige generatie software voor huisartsen, apotheken, ziekenhuizen en andere zorginstelling voorziet nog niet in zo'n fijnmazigheid, en iedere ICT-aanbieder gebruikt een eigen systeem om delen van het dossier eventueel op slot te zetten.

Ook het schijnbaar eenvoudiger begrip “categorieën van zorgaanbieders” is bedrieglijk. Bedoelen we hier bijvoorbeeld alle chirurgen behalve Janssen? Alle specialisten in ziekenhuis A maar niet die in B? Alle huisartsen in de regio, maar niet de diëtisten of psychologen?

Toestemming moet in software worden ingebouwd, bijvoorbeeld in Chipsoft EPD

Schippers: het "veld" moet voor invulling zorgen

Er moesten dus snel concrete en werkbare antwoorden op dit soort vragen komen. In 2016 startte op verzoek van en samen met het ministerie van VWS het programma Gespecificeerde Toestemming Structureel (GTS). Dit is door de belangrijkste zorgorganisaties opgezet om uit te werken hoe je de nieuwe fijnmaziger toestemming aan de burger moet vragen en deze daarna technisch moet opslaan en beheren. Bij de behandeling van de nieuwe wet in de Tweede en Eerste Kamer riepen de artsenorganisaties in koor dat een nieuwe wet wel uitvoerbaar moest. Door die organisaties (en ook de Patiëntenfederatie) te betrekken bij de uitwerking van die nieuwe toestemmingsprocedures, hoopte VWS die voetangel in ieder geval uit de weg te kunnen gaan.

Binnen het programma is in de afgelopen twee jaar gekeken naar de uitwerking van de wet. Daarbij zijn twee hoofdroutes volgt. Enerzijds is er een technische werkgroep, die inventariseert hoe de architectuur eruit moet zien voor een landelijke voorziening voor het beheer van zogeheten toestemmingsprofielen.

Architectuur voor de technische invulling van de toestemming

Zo’n centrale voorziening moet op een veilige manier kunnen communiceren met de ICT-systemen die door huisartsen, apotheken, medisch specialisten en andere zorgaanbieders worden gebruikt. Bovendien moeten burgers via een online voorziening zelf hun toestemmingsprofiel kunnen inzien en beheren, en moet het systeem op verzoek van de Eerste Kamer volgens privacy by design principes worden ontworpen. Dat traject heeft een technisch architectuur opgeleverd die werkbaar lijkt.

Taaie kost: meer dan honderd mogelijkheden

Een tweede groep hield zich vooral bezig met de ‘inhoud’ van de toestemming. Het gaat daarbij om vragen als: hoe formuleer je de toestemmingsvraag op een voor alle burgers begrijpelijke wijze, hoe knip je een medisch dossier op in overzichtelijke delen, welke groepen van zorgaanbieders onderscheid je en welke zorgprofessionals hebben in de praktijk toegang nodig tot medische informatie?

Dat bleek taaie kost. Door de letter van de wet zo goed mogelijk te volgen kwam het programma uit op meer dan honderd verschillende toestemmingmogelijkheden. Een toetsing van het eerste voorstel leek aan te geven dat de interpretatie die door GTS is gekozen juridisch wel leek te kloppen.

Snapt de burger het nog wel?

Maar de GTS-partijen vroegen zich af of die veelheid van vragen, hoe slim ze ook zouden worden geclusterd, wel begrijpelijk zouden zijn voor de burger, en of ze wel in de software van artsen en apothekers konden worden ingebouwd. Die twijfel werd gemeld aan de inmiddels nieuwe ministers van VWS De Jonge en Bruins. Die lieten de Eerste Kamer dit voorjaar in een brief weten dat de uitwerking van de wet nog niet zo eenvoudig was:

“Een te grote complexiteit voor patiënten zal bovendien extra inspanningen van zorgverleners vragen om de patiënt te informeren en te ondersteunen bij het vastleggen van de toestemmingen. Waar toestemmingen onbedoeld niet zijn gegeven, vraagt dit extra inspanning in het alsnog registeren van de medische informatie.”

En ook Tweede Kamerleden kregen in een zogeheten technische briefing op 4 december meer informatie over de dilemma's waar het programma GST tegenaan was gelopen.

Discussie weer terug bij af?

Het programma GST heeft de ministers recent een brief gestuurd waarin wordt gevraagd wat nu de beste weg vooruit is.  Daarmee lijkt de discussie, die zijn oorsprong heeft in het stopzetten van een landelijke infrastructuur in 2012, na zes jaar weer terug bij af te zijn. Het idee dat softwareleveranciers vanaf 1 juli 2020 klaar zullen zijn om de wet (die dan ingaat) in hun systemen in te bouwen is in ieder geval niet langer realistisch, nu er zelfs nog geen praktische uitwerking is waaraan de software zou moeten voldoen.

De Tweede Kamer kijkt tegelijk uit naar een reeds eerder toegezegde brief van minister Bruins waarin hij uitwerkt op welke manier hij meer regie gaat nemen in diverse eHealth dossiers, zoals standaardisatie, centrale landelijke voorzieningen en daarmee waarschijnlijk ook de verdere voortgang van de manier waarop burgers het elektronisch delen van hun dossier kunnen beheren. De brief zal naar verwachting volgende week worden verstuurd.

Volgjezorg.nl

De bal ligt dus bij de minister. Maar de wereld draait gewoon door. Het LSP, de door de verzekeraars via VZVZ betaalde infrastructuur voor het elektronisch uitwisselen van gegevens, blijft voorlopig nog werken met de bestaande ja/nee toestemming. De burger kan dus niet specificeren welke gegevens worden gedeeld, en of bepaalde zorgaanbieders ze al dan niet mogen inzien. Je moet wél per zorgaanbieder toestemming geven of die je dossier mag delen. Of een andere zorgaanbieders die vervolgens mogen opvragen is niet afhankelijk van jouw specifieke toestemming, maar van bestaande wetgeving, zoals de WGBO en de AVG.

VZVZ lanceerde enige tijd geleden de website volgjezorg.nl. Daar kunnen burgers in een met DigiD beveiligde persoonlijke omgeving hun ja/nee toestemming voor het LSP geven en intrekken, en ook inzien welke zorgaanbieders hun gegevens hebben opgevraagd. Zo'n 7 miljoen Nederlanders (40%) heeft inmiddels aan hun huisarts toestemming gegeven om hun huisartsdossier te delen met andere artsen. Dit percentage groeit overigens niet zo snel meer als voorheen.

LSP: vooral uitwisseling van medicatiegegevens

De verzekeraars willen als opdrachtgever samen met de zorgpartijen in 2019 in verder met de ontwikkeling van een nieuwe online toestemmingsvoorziening, omdat daar volgens hen behoefte aan is. Deze voorziening wordt samen met de zorg vormgegeven, en de patiënt moet er op uniforme wijze zijn of haar toestemmingen kunnen registeren en beheren. Voorlopig volgens de bestaande wetgeving, maar zodra de uitwerking van de wet duidelijk is, zal die nieuwe voorziening deze gaan ondersteunen. Ook de verzekeraars wachten dus nu op de ministers.

Wachten op VWS

Op het ministerie en in de Tweede Kamer gaan al langer stemmen op dat een groot deel van de Nederlandse burgers tevreden zal zijn met een beperkte uitbreiding van het huidige ja/nee systeem. Het idee hierachter is dat veel burgers het sowieso niet begrijpen dat artsen onderling standaard geen elektronische toegang hebben tot hun medisch dossier, wanneer dat wenselijk is. Maar andere Tweede Kamer leden en privacy-organisaties blijven waarschuwen voor de gevaren van een systeem waarbij de patiënt wellicht veel meer gegevens deelt dan hij of zij overziet.

Edith Schippers zal er in ieder geval niet niet rouwig om zijn dat ze verlost is van dit dossier.