Vandaag treedt aanvullende regelgeving in werking over digitale patiëntgegevens. De patiënt heeft vanaf vandaag:
- Het recht op elektronische inzage of afschrift van de gegevens die digitaal zijn uitgewisseld met andere zorgaanbieders via een elektronisch uitwisselingssysteem of gericht berichtenverkeer, bijvoorbeeld via het Landelijk Schakelpunt, inzageportalen en de Edifact-postbus.
- Het recht op elektronische inzage of afschrift van het (papieren) medische dossier.
- Het recht op inzage of afschrift van loggingsinformatie.
In deze blog beantwoord ik zes vragen over deze nieuwe regels, die voortvloeien uit de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (‘Wabvpz’).
1. Voor wie gelden deze nieuwe regels?
De nieuwe regels zijn relevant voor zorgaanbieders en voor zorgaanbieders die gebruik maken van een elektronisch uitwisselingsysteem of elektronisch gegevens uitwisselen met andere zorgaanbieders.
Een elektronisch uitwisselingsysteem is – kort gezegd – een systeem waarmee dossiers of gedeelten daarvan op elektronische wijze raadpleegbaar kunnen worden gemaakt voor andere zorgaanbieders.
2. Waarom zijn er aanvullende regels nodig voor inzage en afschrift van patiëntgegevens?
Vanaf 1 juli kan de patiënt de zorgaanbieder verzoeken om elektronisch inzage te geven in zijn of haar medische dossier. Maar ook vóór 1 juli hadden patiënten al een aantal rechten ten aanzien van hun medische gegevens:
- Inzagerecht onder de AVG: De AVG voorziet in een algemeen recht op inzage (artikel 15 AVG, zie o.a. deze blog van collega Lora Mourcous). Een zorgaanbieder is verplicht om een afschrift in een gangbare elektronische vorm te verstrekken als de patient het verzoek om inzage ook zelf elektronisch indient.
- Recht op dataportabiliteit onder de AVG: Ook heeft de patiënt op basis van de AVG het recht op overdraagbaarheid van gegevens (artikel 20 AVG). De patiënt kan verzoeken om een bestand in een elektronisch bestand in gangbaar formaat te ontvangen, zodat de persoonsgegevens kunnen worden meegenomen naar een andere zorgaanbieder. Dit recht geldt echter alleen voor persoonsgegevens die de patiënt zelf actief en bewust heeft verstrekt, en niet voor bijvoorbeeld diagnoses of behandelplannen van de zorgaanbieder.
- Inzagerecht onder de WGBO: De Wet op de geneeskundige behandelingsovereenkomst (‘WGBO’) bevat aanvullingen op het algemene inzagerecht dat in de AVG wordt geregeld. Ook op grond van de WGBO heeft de patiënt al het recht op inzage in- en afschrift van het medische dossier (artikel 7:456 BW).
De rechten uit de WGBO en de AVG blijven van kracht. De regels uit de Wabvpz vormen een toevoeging op de bestaande regels. Ook als de patiënt zijn verzoek op inzage of afschrift niet elektronisch indient, heeft de patiënt het recht om – indien gewenst – een elektronisch exemplaar te ontvangen of in te zien.
3. Moeten zorgaanbieders een elektronisch dossier gaan bijhouden?
Zorgaanbieders worden door het wetsvoorstel niet verplicht om een elektronisch dossier van de patiënt bij te houden, of de inhoud of vorm van het dossier aan te passen. Op die verplichting ziet de WGBO al toe (artikel 7:454 lid 1 BW). Wel worden zorgaanbieders door de Wabpvz verplicht om een elektronische versie van een papieren dossier te verstrekken als de patiënt daarom verzoekt. Dat kan dus bijvoorbeeld betekenen dat een papieren dossier moet worden gescand en op een usb wordt verstrekt. Maar als de patiënt geen elektronische inzage of afschrift wenst staat het de zorgaanbieder vrij om het dossier fysiek te verstrekken.
4. Waar moet het elektronische afschrift of inzage aan voldoen?
De Wabvpz schrijft niet voor hoe een zorgaanbieder precies inzage of afschrift moet verstrekken van het medische dossier. Ook zet de Wabvpz niet uiteen of dat door middel van een bepaalde functionaliteit moet gebeuren. Een zorgaanbieder kan dit zelf inrichten, maar moet er wel voor zorgen dat het verstrekken van een afschrift op een veilige en zorgvuldige wijze gebeurt en in lijn is met het Besluit elektronische gegevensverwerking door zorgaanbieders. Het besluit schrijft voor dat moet worden voldaan aan de NEN-norm 7510 en de NEN-norm 7512. Ook NEN-norm 7516 is in dit kader relevant.
Mogelijkheden voor het verstrekken van een afschrift zijn bijvoorbeeld het verzenden van een e-mail met een hyperlink naar een beveiligde omgeving en het verstrekken van gegevens via een Persoonlijke Gezondheidsomgeving (‘PGO’) met een MedMij-label. Een mogelijkheid voor het faciliteren van elektronische inzage is om de patiënt te laten meekijken op het beeldscherm van de zorgaanbieder.
5. Welke gegevens uit het medische dossier moeten inzichtelijk worden gemaakt?
Dat hangt af van het verzoek van de patiënt. De patiënt kan op grond van de nieuwe regels uit de Wabvpz (artikel 15d) verzoeken om (i) een geheel of gedeeltelijk elektronisch afschrift van het medische dossier of (ii) inzage in de informatie die beschikbaar is gesteld via een elektronisch uitwisselingsysteem / de informatie die aan een specifieke zorgaanbieder met een vaststaande (of beoogde) behandelrelatie worden toegezonden. Bovendien krijgt de patiënt het recht op inzage in loggingsgegevens. Zie daarvoor vraag 6.
i. Inzage of afschrift van het medisch dossier
De patiënt kan verzoeken om een elektronische versie van zijn (papieren) medische dossier te ontvangen. Dit verzoek moet volgens de regels hieromtrent in de AVG en WGBO worden afgehandeld. In de Wabvpz wordt aan de bestaande regels toegevoegd dat de patiëntgegevens elektronisch moet worden verstrekt en/of de patiënt de mogelijkheid moet krijgen om het dossier elektronisch in te zien als de patiënt daarom verzoekt.
ii. Inzage of afschrift van gegevens die door zorgaanbieders onderling worden uitgewisseld
Daarnaast heeft de patiënt vanaf vandaag het recht om inzage te krijgen in de informatie die over de patiënt via een elektronisch uitwisselingssysteem beschikbaar wordt gesteld voor een (ongedefinieerde) groep zorgaanbieders (pull-verkeer). Ook heeft de patiënt het recht om inzage te krijgen in de informatie die gericht door een brondossierhouder aan zorgaanbieders wordt verzonden met een (beoogde) behandelrelatie (push-verkeer).
Het recht op inzage en afschrift geldt dus zowel voor berichtenverkeer via de Edifact-postbus, als voor beschikbaarstelling via het Landelijk Schakelpunt (push- en pull-verkeer, zie voor een korte uitleg over deze begrippen mijn eerdere blog).
De zorgaanbieder hoeft alleen de informatie te verstrekken die de zorgaanbieder zelf beschikbaar heeft gesteld. De gegevens die een andere zorgaanbieder beschikbaar heeft gesteld, kunnen op basis van de Wabvpz niet aan de patiënt worden verstrekt. Wel moeten de loggegevens beschikbaar worden gesteld als de patiënt daarom vraagt, zodat de patiënt op basis daarvan kan zien of uitgewisselde gegevens zijn ingezien door een andere zorgaanbieder.
6. Welke loggingsgegevens moeten bij het verzoek om een afschrift worden verstrekt?
In het afschrift zoals omschreven onder vraag 5 dient op verzoek van de patiënt ook loggingsinformatie te worden opgenomen (artikel 15e Wabvpz). Ook deze regel betreft een aanvulling op al bestaande regels.
De zorgaanbieder is verplicht om te vermelden:
- wie bepaalde informatie via het elektronisch uitwisselingssysteem beschikbaar heeft gesteld en op welke datum (deze regel geldt alleen voor pull-verkeer);
- wie bepaalde informatie heeft ingezien of opgevraagd en op welke datum.
De zorgaanbieder is ook verplicht om loggingsinformatie te verstrekken over een andere zorgaanbieder. De patiënt heeft de mogelijkheid om in te zien welke zorgverleners zijn of haar gegevens hebben ingezien.
Dat er in de zorg loggegevens bijgehouden moeten worden, volgt al impliciet uit artikel 32 AVG en expliciet uit het Besluit elektronische gegevensverwerking in de zorg. Op basis daarvan zijn zorgaanbieders doorgaans al verplicht om ervoor te zorgen dat logging voldoet aan de NEN-norm 7513. Ook op grond van artikel 15 AVG moest al informatie worden verstrekt over de herkomst van de gegevens. In aanvulling op deze regels verkrijgen patiënten ook op basis van de Wabvpz het recht op logging.
Tot slot
Veel zorgaanbieders krijgen inzageverzoeken van patiënten. Vanaf 1 juli 2020 voegt de Wabvpz regels toe aan de reeds bestaande verplichtingen uit de WGBO, AVG en het Besluit elektronische gegevensverwerking in de zorg over elektronische inzage, elektronisch afschrift en logging. Door deze nieuwe regels worden de rechten van de patiënten uitgebreid. De zorgaanbieder is er verantwoordelijk voor dat de patiënt inderdaad een beroep kan doen op deze rechten.
Heeft u vragen naar aanleiding van het bovenstaande, neem dan gerust contact met ons op.
