De Autoriteit Persoonsgegevens (AP) gaat een grens stellen aan het gebruik van persoonsgegevens van ggz-patiënten door de Nederlandse Zorgautoriteit (NZa). De NZa wil zorgverleners in de ggz verplichten om informatie over hun patiënten te verstrekken. De toezichthouder verwacht met deze gevoelige data graag meer zicht te krijgen op de toekomstige zorgvraag. Aan de invulling van dit plan stelt de AP nu strikte voorwaarden. Begin december had een meerderheid in de Tweede Kamer al gesteld dat de NZa geen persoonsgegevens mag verzamelen van ggz-patiënten.
In het kader van het zogeheten zorgprestatiemodel wil de NZa uitgebreide datasets van patiënten ontvangen. Het registreren van zorgvraagtyperingen en het vermelden van de uitkomst op de facturen, is daadwerkelijk gestart op 1 juli 2022. Bij de zorgvraagtypering moeten ook antwoorden op HoNOS+ vragen worden toegevoegd, maar die verplichting werd uitgesteld tot 1 januari 2023 na protest van psychiaters en psychologen, die de privacygevoelige gegevens van 800.000 ggz-patiënten moeten aanleveren.
Nauwkeuriger bekostiging
Met de informatie wil de NZa een systeem ontwikkelen waarmee met name complexe zorg nauwkeuriger wordt bekostigd. De patiëntgegevens worden volgens NZa versleuteld en de herleidbaarheid tot personen is tot een minimum beperkt. Patiënten kunnen zélf in de huidige plannen via een soort opt-out constructie de gegevensuitwisseling tegenhouden. Ze moeten dan dus zelf in actie komen en met een privacyverklaring bij hun behandelaar schriftelijk bezwaar maken tegen het doorspelen van hun medische gegevens.
De Tweede Kamer vindt echter dat deze wijze van gegevensverzameling van NZa te ver gaat. Dit komt met name omdat de antwoorden op de HoNOS+ vragen veel vertellen over de psychische aandoening van een cliënt. En weten patiënten wel dat straks al hun slaapkamergeheimen, psychiatrische aandoeningen, verslavingen en andere privacygevoelige info straks gewoon op ‘het bord’ van NZa ligt?
Gegevens over (geestelijke) gezondheid zijn zeer gevoelig van aard, zo stelt de AP nu in een eigen oordeel. Daarom zijn gezondheidsgegevens door de privacywet extra beschermd. De NZa verklaart expliciet dat zij geen gegevens zal ontvangen die rechtstreeks te herleiden zijn tot individuele patiënten. En dat de veralgemeniseerde informatie die zij ontvangt niet gekoppeld wordt aan bestanden waarmee de informatie alsnog tot individuele personen te herleiden zou zijn.
Strenge voorwaarden
De AP voegt hier nog enkele strenge voorwaarden aan toe. Zo mag de NZa slechts gegevens van alle ggz-patiënten over de periode van één jaar opvragen op basis van de Regeling geestelijke gezondheidszorg en forensische zorg. Mocht de NZa op een later moment opnieuw gegevens nodig hebben voor het nieuwe systeem, dan moet daarvoor eerst een nieuwe wettelijke regeling komen met een onderbouwing van de noodzaak.
Bovendien moet die nieuwe regeling dan eerst worden voorgelegd aan de AP, zodat die kan beoordelen of de regeling rechtmatig is en of de privacy van patiënten geborgd is. De NZa garandeert verder dat zij de opgevraagde gegevens enkel gebruikt voor de ontwikkeling van het nieuwe systeem in de ggz. De AP geeft aan dat de toezichthouder dit zwart-op-wit moet vastleggen in een nieuwe versie van de Regeling geestelijke gezondheidszorg en forensische zorg.
NZa tevreden
De NZa stelt in een reactie op de uitspraak van de AP tevreden te zijn dat de privacy-toezichthouder de gewenste uitvraag van patiëntgegevens gerechtvaardigd vindt. Het ziet wat de AP omschrijft als enkele ‘strenge voorwaarden’ als ‘kleine aanpassingen’. Ook komt de NZa naar eigen zeggen tegemoet aan de wens van de Tweede Kamer.
‘In de regelgeving beschrijven we duidelijker dat we de data na 2 jaar verwijderen en dat we die niet koppelen aan andere datastromen binnen de NZa. We gaan de gegevens eenmalig over één jaar uitvragen. Met deze aangepaste regeling volgen we het advies van de AP. Daarnaast is de uitvraag, zoals door de NZa is vormgegeven, in overeenstemming met de recent in de Tweede Kamer aangenomen motie Hijink/Westerveld.’
