De Hoge Raad over de aanvaardbaarheid van de zorginfrastructuur van het LSP

Bij een – steeds meer – gedigitaliseerde samenleving hoort tevens een medische cloud waarbij medische persoonsgegevens elektronisch beschikbaar zijn en uitgewisseld kunnen worden. Een dergelijk systeem is het Elektronisch Patiënten Dossier (EPD). Het EPD kwam in 2011 niet van de grond: het werd wegens een gebrek aan veiligheid door de Eerste Kamer verworpen. Nadien is er met de reeds ontwikkelde infrastructuur een ´doorstart´ opgesteld: de zogenoemde zorginfrastructuur. De zorginfrastructuur is een systeem waarmee een waarnemer van de huisarts inzage kan krijgen in bepaalde gegevens over de patiënt die de huisarts via het Landelijk Schakelpunt (LSP) – en in overleg met die patiënt – ter beschikking heeft gesteld. In de onderhavige zaak bepleit de Vereniging van Praktijkhoudende Huisartsen (VPH) dat de zorginfrastructuur vanuit het oogpunt van privacy, de Wet bescherming persoonsgegevens (Wbp) en het medisch beroepsgeheim onrechtmatig is. De Vereniging van Zorgaanbieders voor Zorgcommunicatie (VZVZ), dat is opgericht om na de doorstart op te treden als ‘verantwoordelijke’ in de zin van art. 1 sub d van de Wbp, verweert zich hiertegen. Nadat de VPH door de rechtbank en het hof in het ongelijk is gesteld, wendt zij zich tot de Hoge Raad.

Belang bij het toetsen van een ‘vrijwillige’ zorginfrastructuur

Allereerst toetst de Hoge Raad of de VPH voldoende belang heeft bij haar vorderingen, nu VZVZ stelt dat de deelname aan de zorginfrastructuur voor zowel patiënten als zorgverleners volledig vrijwillig is. De Hoge Raad overweegt daartoe dat ‘de zorginfrastructuur gaat fungeren als het gangbare systeem voor de elektronische uitwisseling van medische gegevens (…)Weliswaar blijft voor hen dan de mogelijkheid bestaan om geheel van elektronische gegevensuitwisseling af te zien, maar de daaraan verbonden nadelen kunnen dusdanig groot zijn, dat er zowel vanuit het perspectief van de huisartsen als uit dat van de patiënten voldoende belang bestaat om het gebruik van de zorginfrastructuur in rechte te laten toetsen.’ De VPH – en andere partijen – zijn dus gerechtigd om het gebruik van de zorginfrastructuur in rechte te laten  toetsen. Handig om te weten voor iedere jurist die met de zorginfrastructuur in aanraking komt.

Gegevensverwerking in geval van toestemming patiënt: proportioneel en niet subsidiair

Na deze vaststelling spitst het geschil zich met name toe op de situaties waarin de verwerking van (medische) persoonsgegevens is toegestaan (artikel 8 Wbp) en aan welke voorwaarden daarbij voldaan moet zijn. Op grond van artikel 16 Wbp is de bijzondere verwerking van medische gegevens niet toegestaan. Lid 3 van artikel 23 Wbp bepaalt dat het verbod onder artikel 16 niet van toepassing is voor zover dit geschiedt met uitdrukkelijke toestemming van de betrokkene. Ook als de gegevensverwerking in beginsel is toegestaan op een van de in artikel 8 Wbp limitatief opgesomde gronden, blijft – mede gelet op artikel 11 Wbp – de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. Kortom: de aanwezigheid van een wettelijke rechtvaardigheidsgrond (zoals toestemming) maakt een belangenafweging op grond van artikel 11 en 13 Wbp niet overbodig (Vgl. HR 9 september 2011, ECLI NL:HR:2011:BQ8097, (Santander), r.o. 3.3).

Het hof heeft, in tegenstelling tot wat VPH bepleit, naar het oordeel van de Hoge Raad wel degelijk aan de voorwaarden van proportionaliteit en subsidiariteit getoetst. Zo overwoog het hof dat de toestemming van de patiënt m.n. ziet op waarnemingssituaties of noodgevallen waarbij de eigen huisarts niet beschikbaar is om de gegevens uit het medisch dossier aan de andere behandelaar ter beschikking te stellen. In die situaties is een algemene en erkende professionele standaard van toepassing die al sinds 1998 wordt gehanteerd. Dat daarbij niet in elke situatie gegevens worden verzameld die relevant zijn, is inherent aan het samenstellen van algemene aard. Tot slot heeft de patiënt ook de mogelijkheid om in overleg met de huisarts informatie uit te sluiten van opname in waarnemingsdossiers.

Specifieke toestemming: specifiek genoeg?

De VPH bestrijdt nog een aantal punten, waarvan de specifieke toestemming het meest relevant is. In de kern komt het bezwaar van VPH erop neer dat de specifieke toestemming betekent dat deze niet te algemeen mag luiden en dat – zoals het hof toegeeft – van VZVZ verwacht mag worden dat de simpele ‘iedereen-of-niemand-toestemming’ wordt vervangen door een meer specifiek systeem. Op het toestemmingsformulier kan momenteel namelijk slechts ‘ja’ of ‘nee’ worden ingevuld. Op de vraag of de inrichting van de huidige zorginfrastructuur aanvaardbaar is, antwoordt het hof – met instemming van de Hoge Raad – eveneens bevestigend, omdat zij berust op een voldoende specifieke toestemming van de betrokken patiënten. Het hof heeft daarbij onderkend dat de zorginfrastructuur ook kan worden ingericht op een wijze waarbij meer onderscheid tussen (soorten) gegevens en (categorieën) zorgaanbieders kan worden gemaakt, met de mogelijkheid om de gegevensverwerking bij toestemming tot spoedeisende gevallen te beperken. Deze inrichting is meer en beter in overeenstemming met de beginselen die aan de Privacyrichtlijn en de Wbp ten grondslag liggen, maar dit kon ten tijde van het bestreden arrest nog niet van VZVZ worden geëist. Het hof houdt daarbij wel een slag om de arm: zodra het voor VZVZ technisch mogelijk en uitvoerbaar is, dient het systeem aanpast te worden door daarin meer keuzevrijheid te bieden.

Conclusie

Nu de bezwaren tegen de hernieuwde zorginfrastructuur tot aan de Hoge Raad zijn gestrand, lijkt het voor privacyvechters een gelopen race. Het punt ten aanzien van de specifieke toestemming krijgt mogelijkerwijs nog wel een staartje, daar van VZVZ in de toekomst verwacht kan worden dat zij het systeem aanpast. Het is nog maar de vraag of VZVZ dit op een juiste manier – te weten in overeenstemming met de beginselen uit de Privacyrichtlijn en de Wbp – gaat uitvoeren. Hoe dan ook: dit arrest schept een belangrijk precedent voor zaken met betrekking tot de zorginfrastructuur van het LSP. Deze is vooralsnog in overeenstemming met de Wbp, de privacyrichtlijn en de medische geheimhoudingsplicht. 

Terug naar overzicht