De Nederlandse Zorgautoriteit (NZa) heeft vorig jaar een tik op de vingers gekregen van het College van Beroep voor het bedrijfsleven (CBb). Dat stelde dat de verplichting voor artsen om persoonlijke gegevens van patiënten, zoals diagnoses, op te laten nemen in de landelijke database DIS, te privacygevoelig is. De NZa wil die informatie vermeld zien op de rekeningen die de artsen indienen. Zonder die informatie willen de zorgverzekeraars de artsen niet uitbetalen.

De artsen, vooral die in de geestelijke gezondheidszorg, willen die diagnoses helemaal niet vermelden op de rekeningen, omdat zij daarmee naar eigen zeggen de privacy zouden schenden van de patiënt. Daarnaast zijn zij gehouden aan hun beroepsgeheim. De rechter bepaalde dat NZa een nieuwe werkbare manier moest vinden om de declaraties te verwerken, waarin de privacy van patiënten beter werd geborgd.

NZa negeert rechter

NZa kwam eerder dit jaar tot het besluit niets te veranderen aan de wijze van gegevensopslag en legde daarmee het besluit van de rechter naast zich neer. De artsen, verenigd in de stichting de Koepel van DBC-Vrije Praktijken van Psychotherapeuten en Psychiaters (KDVP) laten het er echter niet bij zitten. Ze hebben het Amsterdamse advocatenkantoor Kennedy van der Laan ingeschakeld om een beroepszaak aan te spannen tegen die beslissing.

De artsen hebben problemen met de diagnosedatabase omdat die persoonlijke informatie makkelijk is te koppelen met andere bestanden. De informatie is dan wel versleuteld, maar onlangs nog heeft het ministerie van Justitie voorgesteld dat de mogelijkheid open moet blijven dat de gegevens in de toekomst zijn te gebruiken voor andere doeleinden. De informatie van patiënten zijn opgeslagen onder het burgerservicenummer en dat maakt koppeling met andere bestanden relatief simpel, zegt de KDVP.

Koppeling via BSN makkelijk

Dat burgerservicenummer (BSN) blijkt ook al te worden gebruikt door de zorgverzekeraars om de kwaliteit van het werk van psychotherapeuten en psychiaters te controleren, de zogenoemde Routine Outcome Monitoring (ROM). Wanneer een patiënt wordt ingevoerd in het ROM-systeem, dient het BSN te worden ingevoerd. De informatie is dan makkelijk te koppelen met andere bestanden die opgeslagen zijn onder BSN’s, zoals dus het DIS. Maar de artsen denken zelfs aan een koppeling met bijvoorbeeld de bestanden van de Belastingdienst en dergelijke instanties.

Daar bovenop komt nog eens, stelt de KDVP, dat het gebruik van BSN’s niet eens mag. “De Wetenschappelijke Raad voor het Regeringsbeleid heeft onlangs gesteld dat het BSN alleen mag worden gehanteerd in informatie-uitwisseling met de overheid. Alleen de overheid mag het BSN ontvangen, andere partijen schenden de privacy van de burger als zij het BSN opvragen”, stelt de KDVP.

CBP waarschuwde al eerder

Het College Bescherming Persoonsgegevens heeft al in 2004 aan de bel getrokken bij het toenmalige ministerie van VWS dat gebruik van het BSN, toen nog sofinummer geheten, niet door de beugel kon en dat gebruik van een andere, anonieme codering, beter was. De minister legde dat toen naast zich neer.

Volgens het ministerie was gebruik van dat nummer nodig voor de zorgverzekeraars. Wel wordt de data versleuteld opgeslagen. Overigens beschikt statistiekenorganisatie CBS over de sleutel om die data weer aan identiteiten te koppelen. Het CBS gebruikt de data voor zijn informatieproducten.

Meest risicovolle database in Nederland

In een brief aan het ministerie van VWS noemt het CBP de database “zowel qua omvang, dekking als inhoud een van de meest risicovolle verwerkingen binnen Nederland.” Het college wijst erop dat er voor de verwerking van persoonsgegevens in DIS “geen rechtsgrond bestaat” en is bij mogelijke herleiding van de data naar personen sprake van een wetsovertreding. “In dat geval is er sprake van een onrechtmatige gegevensverwerking.” Het CBP zegt dat er geregeld moet worden gecontroleerd of de gegevens niet te herleiden zijn naar identificeerbare personen.

Volgens de artsen wordt aan de voorwaarden die het CBP heeft gesteld aan de verwerking van persoonsgegevens in het DIS, niet (meer) voldaan. Het is nog onbekend wanneer het beroep van de belangenorganisatie bij de rechter zal voorkomen.