2e magazine 2022-2023

VERENIGINGSBLAD ROTTERDAMS GEZONDHEIDSRECHT DISPUUT NR. 2 - 2023 JAARGANG 10

Privacy in de zorg

ARTIKEL AGEETH KLAASSEN

REISVERSLAG LISSABON

ARTIKEL HOLLA

Gezond eten en leven was nog nooit zo eenvoudig | 08

In vogelvlucht door de waanzinnige studiereis naar Lissabon | 12

“Actualiteiten privacy in de gezondheidszorg”- een drieluik | 16

Inhoudsopgave 04

Voorwoord redactie

06

Terugblik activiteiten

08

Ageeth Klaasen: het belang van cyberbewustzijn voor bestuurders

12

Reisverslag studiereis

16

Anna de nijs en Ruben Krul: “Actualiteiten privacy in de gezondheidszorg”- een drieluik

20

Bine Schoenmaker en Anamika Wilbrink: (titel artikel Ploum)

24

Agenda

26

Vacatures

Colofon Het RGD magazine is een uitgave van het Rotterdams Gezondheidsrecht Dispuut en verschijnt circa drie keer per collegejaar.

Jaargang 10 Nummer 2 Mei 2023 Redactie Ayeesha Bottse

Bezoek RGDISPUUT.NL Om eerdere uitgaves van het magazine te lezen

Voorwoord redactie Lieve medestudenten, Het is alweer mei wat betekent dat blok 5 is begonnen en het collegejaar bijna tot zijn einde gaat komen. Menig student heeft de afgelopen maanden ervaren als zwaar met elk blok twee vakken tegelijk en daar ook nog eens de eerste scriptie bijeenkomsten naast.

Gelukkig was er nog (net) voldoende tijd voor enkele activiteiten buiten de collegebanken.

Zo vond er een bezoek plaats aan het Regionaal Tuchtcollege in Amsterdam, was er wederom een borrel in cafe de Smitse en niet te vergeten de studiereis naar Lissabon.

Het thema van dit magazine is Privacy in de zorg. In het magazine vinden jullie onder andere een artikel over het belang van cyberbewustzijn door bestuurders, een artikel van Ploum als voorproefje van het symposium en een reisverslag van de waanzinnige studiereis naar Lissabon.

Voor nu wens ik jullie veel leesplezier en succes met de laatste loodjes toe!

Activiteiten afgelopen periode Zoals al naar voren kwam in het voorwoord hebben we de afgelopen maanden niet stilgezeten. In februari was het tijd voor het eerste door het RGD georganiseerde bezoek. Een aantal studenten zijn afgereisd naar Amsterdam om daar een bezoek te brengen aan het Regionaal Tuchtcollege (hierna: RTC). Hierbij waren ook studenten van het GRSA aanwezig. Bij het RTC zijn twee tuchtzaken bezocht. Een hiervan ging over een plastisch chirurg en de ander over een arts die een MRI-scan heeft gemaakt, maar hierbij niet nauwkeurig genoeg gewerkt zou hebben.

Maart was nog drukker. We begonnen blok 4 goed met een borrel in café de Smitse ter voorbereiding op de studiereis naar Lissabon. Het was leuk om het grotendeel van de mensen die meegingen naar Lissabon al eens te spreken onder het genot van een drankje. Er werd een globale planning besproken en zelfs al gespeculeerd over een bezoek aan de karaokebar. Al met al een zeer positief vooruitzicht op de studiereis.

Voordat we ook daadwerkelijk met z'n allen zijn afgereisd naar het zonnige Lissabon was er nog tijd voor een bezoek aan het advocatenkantoor Holla legal & tax in Den Bosch. Wederom reisden we af met zowel studenten van het RGD als het GRSA. Het bezoek bestond onder andere uit informatie over Holla zelf en het gezondheidsrecht. Er werden voorbeelden gegeven aan de hand van zaken uit hun dagelijkse praktijk Toen was het toch eindelijk zover; met 15 man reisden we af naar het zuiden om het congres waar André den Exter voorzitter was te bezoeken. Het waren waanzinnige dagen waar we ontzettend uit waren met z'n allen. Naast het bezoek aan de universiteit van Lissabon voor het congres is er volop genoten van het lekkere weer en eten, de vele bezienswaardigheden en van elkaar. Kijk snel op pagina ?? voor een uitgebreid reisverslag!

AGEETH KLAASSEN

Inleiding

HET BELANG VAN CYBERBEWUST ZIJN VOOR BESTUURDERS

In de zorg verlopen steeds meer processen digitaal en draaien meer systemen in de cloud. Bijna elke zorgaanbieder heeft een elektronisch patiëntendossier en ook de uitwisseling van medische gegevens tussen zorgaanbieders gebeurt vaak digitaal.

Door de groeiende digitalisering is de zorgsector vatbaarder voor (ICT-)verstoringen(1) en datalekken(2). Met persoonsgegevens, waaronder bijzondere persoonsgegevens zoals gezondheidsgegevens, moet zorgvuldig worden omgegaan(3). Dit betekent niet dat altijd alles goed gaat. De privacy kan dan in het geding zijn(4). Willekeurige voorbeelden zijn de privacyproblemen bij de GGD(5), de diefstal van twee schijven uit de kluis bij het Donorregister(6), het verschaffen van

Ageeth Klaassen is universitair hoofddocent ondernemings- en gezondheidsrecht aan de Erasmus School of Law. Zij is lid van een raad van toezicht in de gehandicaptenzorg.

toegang van onbevoegden tot het computernetwerk bij WLGroep(7) en het stelen van gegevens bij Joris Zorg(8). Uit het Cybersecurity Dreigingsbeeld voor de zorg blijkt dat de zorgsector kwetsbaar is voor ransomware-incidenten(9). Het dreigingsniveau voor datalekken in de zorg veroorzaakt door hacking wordt ingeschat als hoog. Cybercriminelen dreigen met het lekken van gevoelige data als er niet wordt betaald(10). Privacy en cybersecurity zijn in dit geval onlosmakelijk met elkaar verbonden. De vraag is, wat wordt van bestuurders en leden van de raad van toezicht (RvT) van zorgorganisaties verwacht als het gaat om cybersecurity.

(1)Zie bijv. de ict-storingen en cyberaanvallen op Maastricht UMC en UMC Groningen, Aanhangsel II 2022/23, nr. 1880. Zie ook IGJ, ICT-storingen in ziekenhuizen: lessen voor bestuurders en ICT-managers, september 2022.

(2)Zie bijv. de mislukte dataoverzetting bij het Albert Schweitzerziekenhuis, zie het bericht van 21 maart 2022 op de website van het ziekenhuis, < www.asz.nl/nieuws/nieuwsberichten/2022/3/30416/> (Vragen en antwoorden over te vroeg verwijderde oude patiëntdocumenten).

(3)Wanneer dit niet gebeurt, kan dit leiden tot brede maatschappelijke onrust en woede, zeker wanneer er ook slachtoffers vallen én omdat er mogelijk gevoelige gezondheidsinformatie op straat komt te liggen. Veel mensen zijn zich niet bewust van de hoeveelheid data die in dit soort systemen is opgeslagen. Dit leidt tot negatieve beeldvorming en verlies van vertrouwen in zorgsector door schending van privacy, zie Analistennetwerk Nationale Veiligheid (ANV), Themarapportage cyberdreigingen, 2022, p.

62. Deze themarapportage is onderdeel van de Rijksbrede Risicoanalyse Nationale Veiligheid.

(4)Zie voor relevante wetten: de AVG, de Uitvoeringswet AVG (hierna: UAVG) en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz).

(5)Zie bijv. Kamerstukken II 2020/21, 27 529, nr. 234. Zie ook Skipr Redactie, GGD GHOR na dagvaarding: privacy staat hoog in het vaandel, 28 maart 2023 en Skipr Redactie, Staat voor rechter om schadevergoeding na roof privédata bij GGD, 28 maart 2023.

(6)Zie bijv. Kamerstukken II 2019/20, 32 761, nr. 162.

(7)Zie bijv. Skipr Redactie, Systemen van Noord-Hollandse zorginstelling gehackt, 10 maart 2023.

(8)Skipr Redactie, Gegevens gestolen bij Brabantse zorginstelling na cyberaanval, 20 april 2023.

(9)Z-Cert, Cybersecurity Dreigingsbeeld Zorg 2022, p. 7.

(10)Z-Cert, Cybersecurity Dreigingsbeeld Zorg 2022, p. 28.

Ontwikkelingen in de zorgsector De ontwikkelingen op het gebied digitalisering in de zorgsector gaan steeds sneller. Passende zorg, arbeidsbesparing, betaalbaarheid, duurzame toegankelijkheid en verduurzaming van de zorgsector vragen om ZorgAkkoord (IZA)(11). Het Actieplan Zorg-ICT-markt moet bijdragen aan de effectieve en efficiënte ICTsystemen die nodig zijn voor de verbetering van elektronische gegevensuitwisseling en (op termijn) databeschikbaarheid in de zorg(12).

Om de werkdruk van zorgverleners te verlichten is elektronische gegevensuitwisseling een belangrijke randvoorwaarde. Partijen werken in het Integraal ZorgAkkoord - onder regie van VWS - aan het wegnemen van knelpunten om ervoor te zorgen dat elektronische gegevensuitwisseling de standaard wordt. Hierbij worden het belang van privacy en gegevensbescherming altijd meegewogen(13).

Het wetsvoorstel Elektronische gegevensuitwisseling in de zorg (Wegiz)(14) is op 18 april 2023 door de Eerste Kamer aangenomen(15). De wet verplicht niet tot het uitwisselen van gegevens, de verplichting ziet alleen op het hoe van de uitwisseling, namelijk op elektronische wijze(16). De manier waarop dit gebeurt, dient te voldoen aan de gestelde eisen aan beveiliging en privacy. De bedoeling is dat deze wet per 1 juli 2023 in werking treedt(17).

De Nationale visie en strategie op het gezondheidstelsel neemt de toekomst van zorg, gezondheid en informatievoorziening in samenhang. Uit deze visie blijkt dat het voldoen aan NEN 7510(18) en de NIB2richtlijn(19) randvoorwaarden zijn voor een duurzaam zorginformatiestelsel(20). NEN 7510 is al een gangbare norm(21) in de zorg en de NIB2-richtlijn zal de eisen voor netwerk- en informatiebeveiliging aanscherpen.

Doel is het gemeenschappelijke niveau van cybersecurity te verhogen.

Bestuur Het bestuur is verantwoordelijk voor risicobeheersing(22). Cyberrisico's vormen inmiddels een kritiek, potentieel materieel bedrijfsrisico(23). Dit geldt zeker voor de zorg. Dit betekent dat cybersecurity inmiddels een bestuurstaak is. Voor beursgenoteerde vennootschappen is deze taak van het bestuur in de literatuur al meermaals benadrukt(24), maar het is de vraag of alle bestuurders van zorgorganisaties deze taak ook voldoende op het netvlies hebben staan. Helaas wordt in de Governancecode Zorg cybersecurity niet apart benoemd(25). Dit lijkt mij een belangrijk toevoeging, gezien het belang van deze taak.

(11)Integraal Zorgakkoord, Samen werken aan gezonde zorg, 2022, p. 92.

(12)Dit Actieplan gaat verder dan het huidige staande beleid van VWS dat zich, wat betreft het verbeteren van de voorwaarden voor zorg-ICT, vooral richt op gezamenlijke afspraken (standaardisatie en normering) en de implementatie en naleving ervan, zoals onder de Wet elektronische gegevensuitwisseling in de zorg (Wegiz).

(13)Integraal Zorgakkoord, Samen werken aan gezonde zorg, 2022, p. 15.

(14)Zie Kamerstukken II 2022/23, 35 824, nr. A. (15)Vanuit de Europese Commissie is er ook nog de European Health Data Space (EHDS).

(16)Kamerstukken II 2020/21, 35 824, nr. 3, p. 5.

(17)< www.gegevensuitwisselingindezorg.nl>. Zie bericht van 18 april (Eerste Kamer stemt voor wetsvoorstel elektronische gegevensuitwisseling in de zorg).

(18)Om de informatiebeveiliging verder te verbeteren neemt VWS het initiatief om voor 2025 zorgaanbieders te ondersteunen bij de naleving van NEN 7510 door implementatietools beschikbaar te maken, zie Integraal Zorgakkoord, Samen werken aan gezonde zorg, 2022, p. 95. In het kader van preventie en detectie zal Z-CERT oefen- en testactiviteiten organiseren samen met aangesloten zorginstellingen en best practices ontwikkelen in relatie tot de vigerende, zorgsector specifieke, informatiebeveiligingsnorm NEN 7510, zie Actieplan Nederlandse Cybersecuritystrategie 2022-2028, p. 17.

(19)Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148. Deze richtlijn wordt ook wel de NIS 2-Richtlijn genoemd. De NIS 1-Richtlijn is in 2018 geïmplementeerd in de Wet beveiligingsnetwerk- en informatiesystemen en (Wbni). Op dit moment loopt een wetgevingstraject om de NIS 2-Richtlijn in Nederlandse wetgeving te implementeren. De lidstaten moeten de richtlijn uiterlijk op 17 oktober 2024 hebben geïmplementeerd. De Minister van Justitie en Veiligheid zal de Tweede Kamer hierover informeren in het voorjaar (van 2023), zie Aanhangsel II 2022/23, nr. 1882, p. 3. De sector gezondheidszorg is wel Europees NIB-vitaal (op grond van NIS 1-Richtlijn), maar is in het kader van de Wbni tot op heden niet vitaal verklaard en er zijn ook geen AED’s (Aanbieder van een Essentiële Dienst) in de zorg aangewezen. Het ministerie van VWS gaat opnieuw beoordelen wat er van de zorg of delen van de zorg vitaal verklaard zal worden. Het is nu nog niet duidelijk welke consequenties dat gaat hebben voor het toezicht van de IGJ en dat van anderen als bepaalde delen van de zorg vitaal worden verklaard, zie Inspectie Justitie en Veiligheid, Samenhangend inspectiebeleid cybersecurity vitale processen 2021-2022, p.

31, noot 18.

(20)Zie bijlage 1 bij Ministerie van VWS, Nationale visie en strategie op het gezondheidstelsel, maart 2023.

(21)Naast ISO 27001, ISO 27002, ISO 27701, NEN 7512, NEN 7513 en NTA 7516, zie J. Hof & P. Oden, Inbreuken op data protection by design in de zorgsector, Leidt handhaving tot verbetering van eHealth?, NJB 2023, p. 770 e.v.

(22)Bepaling 5.4.1 GCZ 2022.

(23)F. Dezeure, L. Moerel, G. Weber, Cyberrisico’s rapporteren aan raden van bestuur, Bestuursuitgave 2022, p. 2.

(24)Zie bijvoorbeeld C.D.J. Bulten, B.P.F. Jacobs & C.J.H. Jansen, ‘Cybersecurity: Chefsache!’, Ondernemingsrecht 2021/79, p. 475 e.v.; M.J.C. van Falier & A.J.F. Lafarre, ‘Risicomanagement in een data-gedreven wereld: de rol en expertise van bestuurders en commissarissen nader beschouwd’, TvOB 2020/4, p. 122-123.

(25)Bij bepaling 1.2.1 van de Nederlandse Corporate Governancecode 2022 wordt cybersecurity in de toelichting genoemd.

AGEETH KLAASSEN

een versnelling in digitalisering. Actie is nodig om de (ICT-) basis op orde te brengen, aldus het Integraal

In de NIB2-richtlijn komt de verantwoordelijkheid van het bestuur op dit punt nog sterker naar voren, aangezien expliciet is opgenomen dat bestuurders aansprakelijk kunnen worden gehouden bij noncompliance. Er kan zelfs een tijdelijk bestuursverbod worden opgelegd. Hiermee verschuift de NIB2-richtlijn Mil(26), voor zover dat al niet het geval was. Bestuurders zijn een belangrijke schakel in de digitalisering van de zorg en ondersteuning. Zij volgen de ontwikkelingen en vertalen die naar digitale strategieën voor hun eigen organisatie, zo blijkt uit de Nationale visie en strategie op het gezondheidstelsel(27). Bestuurders dienen leiderschap te tonen bij het formuleren, implementeren en handhaven van het cybersecuritybeleid.

Het is een continu proces dat bestuurlijke aandacht nodig heeft volgens de Handreiking voor de bestuurder van de CyberSecurityRaad(28). De vraag is of het onderwerp de weg naar de bestuursagenda al voldoende (structureel) heeft gevonden. Bestuurders kunnen overwegen een cyberverzekering af te sluiten(29), evenals aansluiting van de zorgorganisatie bij het expertisecentrum voor cybersecurity Z-Cert(30). Om de informatiebeveiliging verder te verbeteren neemt VWS het initiatief om voor 2025 het veld, waaronder huisartsen, apotheken, tandartsen, de ambulancezorg, de VVT-sector en de gehandicaptensector(31) te stimuleren zich aan te sluiten bij Z-CERT en VWS verleent daarbij (financiële) ondersteuning(32).

Binnen het bestuur, wanneer er meerdere bestuurders zijn, kan een portefeuillehouder worden aangewezen(33). Dit kan de bestuurder zijn met de portefeuille bedrijfsvoering. Voor bestuurders is het van belang dat zij voldoende kennis hebben. Bij alle bestuurders dient de kennis van cybersecurity op het gewenste basisniveau te zijn, aldus de Handreiking voor de bestuurder van de CyberSecurityRaad(34). De NIB2-richtlijn schrijft zelfs voor dat bestuurders zich moeten scholen. Zij moeten dus een cybersecurityopleiding (gaan) volgen(35). Digitaal leiderschap is niet beperkt tot het bestuurlijk niveau. Het kan wenselijk zijn dat een Chief Information Security Officer (CISO) wordt aangesteld(36). Deze CISO heeft een adviserende rol richting het bestuur en is belast met het formuleren en bewaken van het digitale, en soms een deel van het fysieke, informatiebeveiligingsbeleid(37). De Chief Privacy Officer en de Chief Medical Information Officer (CMIO)(38) hebben al hun intrede in de zorg gemaakt(39).

Raad van toezicht Wat betekent dit voor de raden van toezicht? De RvT heeft een toezichthoudende en adviserende taak. In dit kader bespreekt en verantwoordt het bestuur regelmatig de risicoanalyses en de werking van de risicobeheersingssystemen met de RvT, dit mede in het licht van de strategie en de effecten van die beheersing op de regeldichtheid in de organisatie(40). Het is zijn taak toezicht te houden op de strategie en daarmee de digitale veiligheid. Niet iedere RvT is hiervoor voldoende geëquipeerd(41).

(26)N. Brouwer & J. van Mil, Cybersecurity in Europa, De herziene Netwerk- en Informatiebeveiligingsrichtlijn (NIS 2), NJB 2023/674, p. 756. Zie art. 20 lid 1 NIS 2, zie ook art. 32 lid 6 NIS 2. De tijd zal moeten leren door wie en waarvoor bestuurders op grond van NIS 2 aansprakelijk kunnen zijn en om wat voor soort aansprakelijkheid het dan gaat (p. 755).

(27)Ministerie van VWS, Nationale visie en strategie op het gezondheidstelsel, maart 2023, p. 42.

(28)CyberSecurityRaad (CSR), Handreiking cybersecurity voor de bestuurder, p. 6.

(29)Zie hierover N. van der Voort & W.M. Warnaars, Cybersecurity anno 2020, TBS&H 2020, p. 257 e.v. en over de voor- en nadelen van een dergelijke verzekering.

(30)De missie van Z-Cert is het versterken van de digitale veiligheid van de zorgsector.

(31)Alle Nederlandse ziekenhuizen die lid zijn van de Nederlandse Federatie van Universitair Medische Centra (NFU) of de Nederlandse Vereniging van Ziekenhuizen (NVZ) zijn aangesloten bij Z-CERT. Hetzelfde geldt voor de Nederlandse GGZ instellingen, zie Aanhangsel II 2022/23, nr. 1880, p. 3.

(32)Integraal Zorgakkoord, Samen werken aan gezonde zorg, 2022, p. 95.

(33)CyberSecurityRaad (CSR), Handreiking cybersecurity voor de bestuurder, p. 6. Overigens zijn daarmee de overige bestuurders niet ontslagen van hun verantwoordelijkheden.

(34)CyberSecurityRaad (CSR), Handreiking cybersecurity voor de bestuurder, p. 6, zodat de bestuurders elkaar, de CISO en andere experts scherp kunnen houden.

(35)Art. 20 lid 2 NIS 2.

(36)Volgens Brouwer & Van Mil 2023 p. 757 is een opvallend detail dat, anders dan bijvoorbeeld de AVG, de NIS 2-richtlijn niet nadrukkelijk verplicht tot het aanstellen van een onafhankelijke, interne toezichthouder, zoals de Functionaris Gegevensbescherming (FG) onder de AVG. De FG houdt binnen de organisatie toezicht op de toepassing en naleving van de AVG. De FG wordt ook wel Chief Privacy Officer (CPO) genoemd. Mogelijk biedt volgens hen de governancebepaling in de NIS 2-richtlijn aanknopingspunten voor bestuurders om een CISO aan te stellen.

(37)Zie F. Dezeure e.a., Cyberrisico’s rapporten aan Raden van Bestuur, CISO-uitgave april 2022. De functie van Functionaris Gegevensbescherming kan niet zomaar worden samengevoegd met de CISO-functie, zie L. Mensink, FG, DPO, CISO, PO: wie is wie?, te vinden op <www. www.ictrecht.nl/blog/fg-dpo-ciso-po-wie-is-wie>.

(38)Evt. naast de chief information officer (CIO), de chief medical data officer (CMDO) en CNIO (Chief Medical/Nursing Information Officer).

(39)Zie hierover < www. nictiz.nl/nieuws/chief-medical-officer-cmio-essentieel-voor-digitalisering-zorg-in-het-ziekenhuis/>.

(40)Bepaling 5.4.2 GCZ 2022.

(41)Zie ook in bredere zin, A. Klaassen, D. Klaassen, O. Toebosch, H. Rijken, Welke risico’s vormt de commissaris zelf? Cybersecurity-audit bij rvc- en rvb-leden thuis lijkt nog een brug te ver, Commissarissen benchmarkonderzoek 2021-2022.

AGEETH KLAASSEN

de verantwoordelijkheid voor cybersecurity duidelijk omhoog richting de boardroom, volgens Brouwer & Van

Dit komt door een tekort aan kennis van de toepasselijke regelgeving en van de digitale stand van zaken van de zorgorganisatie(42). Daarom dient ook de RvT zijn kennis bij te spijkeren(43), om zo het onderwerp cybersecurity tot op het hoogste niveau in de organisatie te (kunnen) beleggen(44). De RvT moet zijn bestuur gevraagd naar RvT-leden met als profiel digitalisering en ICT. De CyberSecurityRaad stelt voor dat de auditcommissie van de RvT de taak krijgt die ziet op de toepassing van informatie en communicatietechnologie, in het bijzonder de beheersing van risico's op het gebied van cybersecurity(46). De vraag is of de auditcommissie daarvoor geschikt is of dat er een nieuwe technologiecommissie moet komen(47). De keuze voor de auditcommissie ligt in de zorgsector nu het meest voor de hand(48). Bijkomende ontwikkelingen kunnen leiden tot een heroverweging.

Tot slot De ontwikkelingen in de zorgsector staan duidelijk niet stil. Bovendien wordt veel van bestuurders en leden van de RvT gevraagd en verwacht. Staat bijvoorbeeld nieuwe wet- en regelgeving, zoals de NIB2-richtlijn, al op de agenda? Is de zorgorganisatie voldoende voorbereid op een cyberincident(49)? Het is niet de vraag of de zorgorganisatie gehackt wordt, maar wanneer(50). Cyberbewustzijn is van groot belang.

(42)C. Bulten & C. Jansen, De taak van de commissaris in een digitale wereld: de noodzaak van awareness van cyber security, Ondernemingsrecht 2016/74, p. 358.

(43)N. van Tent & S. Vlaar, Versterking digitaal DNA in raden van toezicht gaat te langzaam, Zorgvisie 22 maart 2022.

(44)CyberSecurityRaad (CSR), Handreiking cybersecurity voor de bestuurder, p. 6.

(45)De NVTZ kent de cursus Toezicht op ICT in een dag en de verdiepende leergang toezicht op ICT en digitalisering.

(46)<www.cybersecurityraad.nl/documenten/adviezen/2016/03/31/csr-advies-herziening-corporate-governance-code---csr-advies-2016>.

(47)L. Moerel, Reflecties over de impact van de digitale revolutie op corporate governance van Nederlandse beursgenoteerde ondernemingen, in: Onderneming, digitalisering en data, Over corporate governance en handhaving in het digitale tijdperk, preadvies van de Vereeniging Handelsrecht, Zutphen: Paris 2019, p. 35.

(48)Zie verder E. Boerrigter e.a., Toezicht op digitalisering en ICT in de zorg, september 2021 < mxi.nl/uploads/files/publication/toezicht-op-digitalisering-en-ict-in-de-zorg.pdf> en de vier aanbevelingen.

(49)Is er een protocol, waarin staat hoe te handelen en bij wie de verantwoordelijkheid berust?

(50)Deels ontleend aan de ondertitel bij het artikel van Van der Voort & Warnaars, 2020, p. 253.

AGEETH KLAASSEN

kunnen bevragen op het digitale veiligheidsbeleid van de zorgorganisatie(45). Gelukkig wordt steeds meer

MAART 2023 zijn we een aantal barretjes langs gegaan die ons gratis shots aanboden, om zodra ze op waren bijna meteen weer te vertrekken. Hierna zijn we beland in een Irish Pub

STUDIEREIS NAAR LISSABON

waar ook karaoke werd gezongen. afbeelding meiden irish pub De avond is tot een einde gekomen op een terrasje onder het genot van een cocktail.

Dag 2: sightseeing Ondanks de gezelligheid van de avond ervoor zaten we donderdagochtend fris en

Dag 1: vertrek Op woensdag 22 maart was het dan eindelijk zo ver, met 15 man reisden we af naar Lissabon. De dag begon met een ellendig lange rij bij de security op Eindhoven Airport, maar gelukkig zaten we uiteindelijk allemaal alsnog op tijd in het vliegtuig. Eenmaal aangekomen op het vliegveld vertrokken we met de Bolt naar het appartement. Bolt bleek uiteindelijk onze beste vriend deze reis.

Nadat we ons allemaal even hadden opgefrist was het tijd om wat te gaan eten. Reisleider Sjoerd bracht ons naar een klein restaurantje met overheerlijk eten. Na het eten was het tijd om het nachtleven van Lissabon te ontdekken. We begonnen in een bar met Bizzey en Lil kleine waarmee luidkeels werd meegezongen. Vervolgens

fruitig aan het ontbijt. In een leuk ingericht tentje in het centrum genoten we van heerlijke ontbijtgerechten. Daarna was het tijd om de stad te gaan verkennen. We hebben kerken bezocht, souvernirtjes gekocht, het centrale plein bezocht waar ook het gerechtshof staat en een kasteel met een gigantische tuin en vele pauwen.

Tussendoor hebben we geluncht bij een straatrestaurantje met live muziek waar regelmatig een tram langs reed, terwijl we de laatste zonnestraaltjes opvingen. Vervolgens moesten we onszelf weer even opladen in het appartement, waarna we zijn vertrokken naar een terrasje om nog wat te drinken met z'n allen. Dit keer niet tot te laat, want de volgende dag stond het hoogtepunt van de reis op vakantie: het congres.

Dag 3: het congres We moesten deze dag al vroeg uit de veren waardoor het niet haalbaar was om weer uitgebreid in een tentje te ontbijten. Dus hebben we de avond van te voren boodschappen ingeslagen en mochten we deze dag genieten van een heerlijk zelfgemaakt ontbijt in de toch wel sfeervolle binnenplaats van het appartement.

Nadat we waren uitgegeten vertrokken we naar de universiteit van Lissabon voor het congres. Voordat het congres begon was er nog tijd voor een kopje koffie in de prachtige tuin die aan de kantine van het de Universiteit ligt. Het congres begon met proffesor Len Fleck van de Michigan State University die sprak over 'Precision Medicine and Distributive Justice' waar hij stilstond bij "wicked" problems. Hierna volgden nog vele net zo interessante sprekers en onderwerpen.

Zo werd er gesproken over Health data, personalised drugs en informed consent.

Na het congres vertrokken we weer richting het appartement om ons even op te laden.

Een aantal gingen door naar het terras om nog even van de zon te genieten onder het genot van een drankje en een potje Qwixx. Voor het eten zijn we weer met z'n allen bij elkaar gekomen en hebben we wederom heerlijk gegeten. Hierna vervolgede ons pad zich naar een rooftop bar waar we uitzicht hadden over de hele stad.

Dag 4: laatste echte dag Aangezien we zondag al vroeg in de ochtend terug zouden vliegen was zaterdag de laatste echte dag. We begonnen de dag bij het ontbijtzaakje van dag 2 omdat het zo goed was bevallen. Na het ontbijt vertrokken een groepje naar het strand om van het heerlijke weer te genieten. De rest begon bij een verlaten restaurant waar nu mooie street art te zien is met een uitzicht over de hele stad.

Na hier wat tijd gespendeerd te hebben begaven we ons naar de haven van Lissabon.

Hier hebben we een kathedraal bekeken (van buiten) en zijn we een monument beklommen.

Aan het water zat een terras met vele verschillende foodtrucks waar je allerlei hapjes en cocktails kon halen. Hier hebben we dan ook de rest van de middag gespendeerd.

Af en toe werd er nog een stukje gestept en een aantal zijn het kasteel op het water nog gaan bezoeken, maar al met al was het een relaxte middag aan het water. Na ons in het appartement te hebben opgefrist zijn we voor een laatste keer met z'n allen gaan eten. Dit zijn we gaan doen in een soort markthal met tientallen verschillende kraampjes waar je lekkers kon halen. Het was een rijkelijk assortiment met onder andere zeevruchten, kroketten, streetfood, stukken vlees sushi, en een ijssalon. Laat is het niet geworden deze avond want het was zondag om 04:00 uur al tijd om te vertrekken naar het vliegveld.

Dag 5: terug naar huis Vroeg in de ochtend vertrokken we (met de bolt uiteraard) naar het vliegveld. Gezien het tijdstip hebben velen tijdens de vlucht hun ogen gesloten. Op Eindhoven Airport was het toch echt tijd om na een waanzinnig leuke reis afscheid van elkaar te nemen. Namens het RGD bestuur hartelijk voor jullie aanwezigheid en enthousiasme tijdens de reis, we zijn ontzettend uit geweest met zijn allen.

ANNA DE NIJS RUBEN KRUL strikte set aan regels van toepassing zijn op het gebruik van persoonsgegevens in de gezondheidszorg.

“ACTUALITEITEN PRIVACY IN DE GEZONDHEIDSZORG” – EEN DRIELUIK

Vanwege de gevoeligheid van de persoonsgegevens en de strikte regelgeving daaromtrent, is de omgang met persoonsgegevens in de gezondheidszorg een bron voor conflict en dus rechtspraak. In deze bijdrage schetsen we, aan de hand van een drietal recente uitspraken, op welke manieren het privacyrecht een rol speelt in de gezondheidszorg.

Anna de Nijs is advocaat Gezondheidsrecht en Ruben Krul is advocaat Privacy & ICT. Beiden zijn zij werkzaam bij Holla legal & tax.

Verwijdering persoonsgegevens

Inleiding

verwijdering van zijn persoonsgegevens op grond van artikel

Het privacyrecht speelt een belangrijke rol in de gezondheidszorg. In de gezondheidszorg wordt immers veel gewerkt met personen en hun (medische) informatie.

Zo staat allereerst in een uitspraak van het Gerechtshof Den Haag van 3 februari 2023(1) de vraag centraal of een man recht heeft op verwijdering van zijn persoonsgegevens die door Veilig Thuis worden verwerkt. De man vordert 17 van de Algemene Verordening Gegevensbescherming (‘AVG’) en de Wet maatschappelijke ondersteuning 2015 (‘Wmo 2015’).

Gezondheidsgegevens zijn zeer gevoelige

Veilig Thuis bezit twee dossiers waarin persoonsgegevens van

persoonsgegevens en het is dan ook van groot belang dat

de man staan. Die vordert vernietiging van het eerste dossier

daar zorgvuldig mee wordt omgegaan. Het is met name

en verwijdering van bepaalde gegevens uit het tweede dossier.

niet de bedoeling dat deze gegevens terechtkomen bij

De genoemde dossiers bevatten gegevens over de aangifte van

partijen die niets met de behandeling van de persoon te

huiselijk geweld die de ex-partner van de man tegen hem heeft

maken hebben en dat deze gegevens te lang in dossiers

gedaan. De man stelt dat Veilig thuis onjuiste gegevens heeft

blijven zitten. De bescherming van verschillende

vastgesteld in de twee dossiers, zoals de vermeende onjuiste

aspecten van privacy is dan ook verankerd in de

vermelding dat hem een woningverbod zou zijn opgelegd.

nationale gezondheidswetgeving, waarmee een vrij

Daarnaast is de man van mening dat de noodzaak tot

(1)Gerechtshof Den Haag 3 februari 2023, ECLI:NL:GHDHA:2023:306.

verwerking van de gegevens is komen te vervallen, omdat Veilig Thuis heeft besloten geen (verder)

De rechtbank wijst de verzoeken van de man in eerste instantie toe. Het hof is het daar echter niet mee eens en vernietigt de uitspraak van de rechtbank. Het hof oordeelt dat de man niet- ontvankelijk is in die verzoeken, omdat deze niet kunnen worden behandeld zonder de ex-partner in de gelegenheid te stellen haar zienswijze naar voren te brengen. Ten overvloede – en interessanter (!) – licht het hof ook nog toe dat om inhoudelijke redenen de verwijderingsverzoeken niet toewijsbaar zijn.

De genoemde dossiers bevatten gegevens over de aangifte van huiselijk geweld die de ex-partner van de man heeft gedaan. Deze gegevens moeten worden aangemerkt als gegevens betreffende strafbare feiten in de zin van artikel 10 AVG. De verwerking van die gegevens door Veilig Thuis is toegestaan in artikel 5.1.6 lid 2 Wmo 2015, dat bepaalt dat Veilig Thuis bevoegd is persoonsgegevens, waaronder gegevens over huiselijk geweld of kindermishandeling, te verwerken van personen die betrokken zijn bij huiselijk geweld of kindermishandeling, indien i) uit een melding redelijkerwijs een vermoeden van huiselijk geweld of kindermishandeling kan worden afgeleid, en ii) de verwerking noodzakelijk is voor de uitoefening van de taken van Veilig Thuis bedoeld in artikel 4.1.1 lid 2 Wmo 2015. Het hof oordeelt in deze kwestie dat aan beide vereisten is voldaan.

De noodzaak tot verwerking van de gegevens is anders dan de man stelde, niet komen te vervallen op het moment dat Veilig Thuis heeft besloten geen (verder) onderzoek te doen naar de gemelde feiten. De verwerking van die gegevens is namelijk niet alleen noodzakelijk voor het doen van onderzoek naar de melding en het nemen van stappen op basis van die melding, zoals het bieden van professionele hulp.

Gegevens over een zorgmelding kunnen ook relevant zijn voor de beoordeling van latere meldingen, omdat een opeenstapeling van meldingen aanleiding kan geven tot meer onderzoek of verdergaande stappen. De wettelijke taak van Veilig Thuis om te dienen als meldpunt voor gevallen of vermoedens van huiselijk geweld of kindermishandeling brengt daarom volgens het hof mee dat het noodzakelijk is dat Veilig Thuis de gegevens over een melding, in beginsel, bewaart. Ook na sluiting van het dossier.

Het betoog van de man dat Veilig Thuis onjuiste gegevens heeft vastgelegd, zoals de onjuiste vermelding dat hem een ‘woningverbod’ zou zijn opgelegd, maakt het oordeel van het hof niet anders. Indien sprake is van onjuiste gegevens, biedt dat slechts grond voor correctie van de gegevens als bedoeld in artikel 16 AVG en niet tot vernietiging. Dat is echter niet door de man gevorderd.

Een beroep op het correctierecht op grond van de AVG kan ook slechts worden gedaan, voor zover het om correctie van feitelijke gegevens gaat. Dat iemand zich niet kan verenigen met gedeelten van rapportages, is dus op zichzelf geen grond voor het oordeel dat die gedeelten op grond van de AVG moeten worden gecorrigeerd(2). Indien iemand geen recht heeft op rectificatie, kan hij wel vragen een schriftelijke mening aan zijn dossier toe te voegen. Een dergelijke regeling kan men (ook) vinden in artikel 7:454 van het Burgerlijk Wetboek (‘BW’), oftewel de Wet op de geneeskundige behandelingsovereenkomst (‘WGBO’). De hulpverlener is verplicht om aan een dergelijk verzoek van de cliënt te voldoen. Betwijfelt de cliënt vervolgens of de aanvullende verklaring in het dossier is opgenomen, dan kan hij om inzage vragen. Van een behandelingsovereenkomst in de zin van de WGBO is echter, in deze kwestie, geen sprake.

Het hof concludeert uiteindelijk dat de verwerking van de gegevens van de man door Veilig Thuis rechtmatig.

Veilig Thuis is niet verplicht persoonlijke gegevens van de man te wissen om te voldoen aan artikel 17 AVG, omdat er dwingende gerechtvaardigde gronden zijn voor de verwerking van de persoonsgegevens van de man.

(2)Zie o.a. Rb. Den Haag 25 februari 2022, ECLI:NL:RBDHA:2022:2432; RvS 25 juli 2017, ECLI:NL:RVS:2018:2503.

ANNA DE NIJS RUBEN KRUL

onderzoek te doen naar de gemelde feiten.

Eiseres vordert schadevergoeding, omdat het ziekenhuis jegens haar onrechtmatig zou hebben gehandeld.

Het ziekenhuis zou, onder andere, onvoldoende beschermingsmaatregelen hebben getroffen om haar medische gegevens te beschermen.

Op grond van artikel 32 AVG moeten organisaties ervoor zorgen dat zij persoonsgegevens voldoende beveiligen, zodat voorkomen wordt dat persoonsgegevens zomaar verwijderd worden, kwijtraken en aangepast worden en om ervoor te zorgen dat alleen bevoegde personen toegang hebben tot de persoonsgegevens. Wanneer beveiliging ‘voldoende’ is, is afhankelijk van de omstandigheden. De AVG zelf vult enkele omstandigheden in, zoals de stand van de techniek, de uitvoeringskosten, de aard, omvang en context van de verwerkingsdoeleinden en de waarschijnlijk en ernst van de mogelijke risico’s voor de rechten en vrijheden van personen. Dit brengt bijvoorbeeld mee dat een ziekenhuis, waar op grote schaal erg veel gevoelige persoonsgegevens verwerkt worden, meer beveiligingsmaatregelen moet treffen dan ‘de bakker op de hoek’.

De beveiligingsplicht van artikel 32 AVG wordt voor ziekenhuizen ingevuld door de NEN 7510. De NEN 7510 is een internationale standaard voor informatiebeveiliging, specifiek gericht op de zorg. De NEN-norm bevat een lijst aan regels en procedures die een zorginstelling moet volgen. Kan een zorginstelling aantonen dat ze aan deze regels en procedures voldoen, dan krijgen ze een certificaat en voldoen ze in beginsel aan de beveiligingsplicht.

De rechter toetst in de zaak bij het Bravis ziekenhuis ook aan de NEN 7510. Allereerst oordeelt de rechter dat de betrokken medewerker vanuit haar rol wel toegang mag hebben tot de persoonsgegevens. Zij werkt immers als secretaresse op de spoedeisende hulp en daarom heeft zij volledige en ongelimiteerde toegang tot patiëntendossiers. Daarmee is voldaan aan het ‘need to know’-beginsel. Waar het echter in deze zaak fout gaat bij het ziekenhuis, is het controlebeleid. De NEN 7510 stelt immers dat logging-gegevens (gegevens die tonen welke medewerker wanneer in een dossier heeft gekeken) regelmatig dienen te worden gecontroleerd.

Er moet dan sprake zijn van systematische en consequente controle. Bij het Bravis ziekenhuis is dat echter niet gebeurd. De rechter oordeelt dat geen sprake is van een (vastgesteld) controlebeleid, logging-gegevens van patiëntendossiers die door medewerkers met onbegrensde toegang zijn ingezien, zijn in het geheel niet gecontroleerd, en maandelijks zijn slechts twee patiëntendossiers steekproefsgewijs gecontroleerd. Daarmee is volgens de rechter evident geen sprake van een systematische en risicogerichte controle en bovendien is de controle ook in omvang onvoldoende.

Daarmee concludeert de rechter dat sprake is van een onrechtmatige daad en veroordeelt het Bravis ziekenhuis tot betaling van een schadevergoeding aan de vrouw ter hoogte van € 2.000,-.

Gebruik factuur met zorgspecificatie: schending AVG? De laatste uitspraak(4) in deze bijdrage gaat over de vraag of het gebruik van een factuur met daarop een summiere specificatie van de verleende zorg een schending van de AVG of de geheimhoudingsplicht oplevert.

De rekening van de tandarts komt doorgaans bij de patiënt binnen via een e-mail of brief van Infomedics. Dit is een partij die de rekeningen van zorgaanbieders int. Een dergelijke partij wordt een medical factoringbedrijf genoemd. Een dergelijk bericht van Infomedics aan een patiënte, is in deze kwestie onderwerp van geschil.

De patiënte in deze zaak heeft een medische behandeling bij een medisch centrum ondergaan. Daarvoor heeft zij een factuur ter hoogte van € 320,- ontvangen. De patiënte heeft deze factuur niet betaald.

Infomedics heeft vervolgens aan de patiënte een betalingsherinnering gestuurd. Daarop staat als omschrijving van de verrichte diensten: “099899060 1 of 2 polikliniekbezoeken/consultaties op afstand bij hartfalen of andere hartaandoening”. Het medisch centrum heeft de vordering vervolgens overgedragen aan Infomedics (‘gecedeerd’).

Bij de rechtbank vordert Infomedics dat de patiënte zou worden veroordeeld tot betaling van de factuur.

Daartegenover vordert patiënte dat Infomedics veroordeeld wordt tot betaling van een schadevergoeding wegens een inbreuk op haar privacy, tot vernietiging van haar medisch dossier en tot vergoeding van haar werkelijke proceskosten. Zij stelt dat Infomedics in haar hoedanigheid van verwerker in strijd heeft gehandeld met de AVG en de geheimhoudingplicht. Dit door kennis te nemen van het medische dossier en in de (incasso)procedure gebruik te maken van de factuur en betalingsherinnering, met daarop vermeld de aard van de medische behandeling.

De rechtbank wijst de vorderingen van Infomedics toe en veroordeelt de patiënte tot betaling van € 320. De rechtbank wijst de vordering van de patiënte af. Zij laat het er hier echter niet bij zitten en gaat in hoger beroep. Ze stelt dat de rechtbank ten onrechte heeft geoordeeld dat de verwerking van haar persoonsgegevens (het vermelden op en in de procedure brengen van de factuur met daarop de aard van de medische behandeling) door Infomedics rechtmatig is geweest, omdat Infomedics niet als zorgaanbieder kwalificeert en bij het gebruik van de gegevens ook geen voldoende belang heeft. Het overleggen van deze

(3)Rb. Zeeland-West Brabant 21 september 2022, ECLI:NL:RBZWB:2022:5457.

(4)Gerechtshof Amsterdam 10 januari 2023, ECLI:NL:GHAMS:2023:48.

ANNA DE NIJS RUBEN KRUL

Beveiliging van medische gegevens Een spraakmakende zaak binnen het privacyrecht in de gezondheidszorg, is de zaak betreffende een ‘soapwaardige’ casus in het Bravis ziekenhuis te Roosendaal(3). Bij het ziekenhuis heeft een medewerker jarenlang dossiers van een vrouw, eiseres in de zaak, zonder goede reden bekeken. Eiseres krijgt hier lucht van bij de verschijning van een boek over de echtscheiding van eiseres en haar ex-partner. Het boek, geschreven door de ex-partner, beschrijft allerlei medische gegevens van eiseres. Na een inzageverzoek in de logginggegevens blijkt dat een ziekenhuismedewerker, die (al dan niet) toevallig de nieuwe vriendin van de expartner blijkt te zijn, het dossier van eiseres meermaals heeft ingezien. Daarop besluit eiseres het ziekenhuis aansprakelijk te stellen.

Het hof overweegt dat Infomedics kwalificeert als zorgaanbieder in de zin van de Wet marktordening gezondheidszorg (‘Wmg’). Op grond van de Wmg is ook de (rechts)persoon die tarieven in rekening brengt namens, ten behoeve van of in verband met het verlenen van zorg door een zorgaanbieder, aan te merken als ‘zorgaanbieder’. Op grond van artikel 38 lid 2 Wmg dienen zorgaanbieders een tarief in rekening te brengen onder vermelding van de daarbij behorende prestatieomschrijving. Volgens het hof is de op de factuur omschreven prestatieomschrijving vastgesteld door de Nederlandse Zorgautoriteit (‘NZa’). Naar het oordeel van het hof heeft Infomedics deze (wettelijke) verplichting dan ook op juiste en gerechtvaardigde wijze uitgevoerd, met een (zeer) beknopte vermelding van de verrichte zorgprestatie op de factuur en de betalingsherinnering. Daarmee is dan ook geen sprake van een schending van de geheimhoudingsplicht die op een zorgaanbieder rust, aldus het hof.

Daarnaast is het gebruik van de gegevens in de procedure rechtmatig gelet op het bepaalde in artikel 9 lid 2 sub f en g AVG, nu dit gebruik noodzakelijk is voor de instelling, uitoefening en onderbouwing van een rechtsvordering en voorts proportioneel. Daarmee is ook het verwerkingsverbod zoals dat is neergelegd in artikel 9 lid 1 AVG niet op Infomedics van toepassing. Het hof voegt hier nog aan toe dat de op zichzelf begrijpelijke bezwaren die de patiënte heeft tegen de openbaring van gegevens over haar behandeling (die inderdaad zeer persoonlijk zijn), onvoldoende zwaarwegend zijn om af te wijken van de afweging die de wetgever heeft gemaakt. De vordering tot een schadevergoeding wordt dan ook afgewezen.

Het hof wijst ook de vordering tot vernietiging van het medisch dossier af. Infomedics heeft voldoende gemotiveerd betwist dat zij zou beschikken over het medisch dossier van patiënte. Bovendien heeft patiënte onvoldoende aannemelijk gemaakt dat Infomedics méér informatie heeft ontvangen dan de omschrijving van de verrichte behandeling.

Deze uitspraak laat zien dat een zorgaanbieder, waaronder ook een factoringbedrijf zoals Infomedics, voor het in rekening brengen van kosten voor verleende zorg kan en zelfs moet volstaan met de productomschrijving zoals vastgesteld door de NZa. Het factoringbedrijf kan die informatie dus ook gebruiken voor het instellen van een rechtsvordering, bijvoorbeeld om ervoor te zorgen dat de factuur wordt voldaan. Daarmee is geen sprake van een schending van de AVG of de geheimhoudingsplicht.

Afsluiting In deze hebben we, aan de hand van een drietal recente uitspraken, geschetst op welke manieren het privacyrecht een rol speelt in de (gezondheids)zorg. De omgang met persoonsgegevens in de zorg is een bron voor rechtspraak. Niet alleen spelen geschillen in de directe relatie tussen de zorgverlener en de patiënt. Veel vaker spelen ook andere personen, organisaties en belangen een rol bij de verwerking van persoonsgegevens in de zorg. Zo kan het voor een patiënt soms verwarrend zijn wie welke rechten heeft en zijn of haar persoonsgegevens mag gebruiken. Dit zien we onder andere terug in de Veilig Thuis-zaak en de kwestie betreffende het medical factoringbedrijf. Een heldere privacyverklaring kan al veel onduidelijkheid bij patiënten wegnemen. Daarnaast leren we uit de Bravis-zaak (opnieuw) dat het belangrijk is voor zorginstellingen om de beveiliging van persoonsgegevens goed te borgen en meer in het bijzonder het autorisatie- en loggingbeleid op orde te hebben. Zorginstellingen ontkomen niet aan aansprakelijkheid indien zij hier te gemakzuchtig mee omgaan.

ANNA DE NIJS RUBEN KRUL

deze informatie in een gerechtelijke procedure is volgens de patiënte op grond van de wet ook niet vereist.

Het bewaren van het medisch dossier door Infomedics is ook niet gerechtvaardigd.

BINE SCHOENMAKER ANAMIKA WILBRINK vallen hieronder (o.a. ziekenhuizen, centra voor geboortezorg, verpleeghuizen, huisartsen en apothekers). Ook voor

WEGIZ AANGENOMEN; WAT GAAT ER VERANDEREN VOOR ZORGVERLENERS?

softwareleveranciers is de Wegiz relevant, nu er voor gegevensuitwisselingen eisen zullen worden gesteld aan de systemen die worden gebruikt.

Wat zal de Wegiz betekenen voor zorgverleners?

De Wegiz is een zogenaamde ‘kaderwet’. Dit betekent dat de Wegiz het mogelijk maakt om via nadere regelgeving voor

Bine Schoenmaker en Anamika Wilbrink zijn beide werkzaam bij Ploum Rotterdam Law Firm.

aangewezen gegevensuitwisselingen te bepalen hoe gegevens moeten worden uitgewisseld. Bij een ‘aangewezen gegevensuitwisseling’ kan bijvoorbeeld worden gedacht aan de uitwisseling van beelden tussen instellingen voor Medisch Specialistische Zorg. Verder worden onder andere de

Op 18 april 2023 is het Wetsvoorstel Elektronische

verpleegkundige overdracht, medicatie- en

Gegevensuitwisseling in de Zorg (Wegiz) aangenomen

toedieningsgegevens en laboratoriumgegevens voor medicatie,

door de Eerste Kamer. Aanleiding voor het wetsvoorstel

genoemd als ‘aangewezen gegevensuitwisseling’.

is dat door zorgverleners gebruik wordt gemaakt van verschillende manieren om patiëntgegevens met elkaar

De Wegiz verplicht zorgaanbieders erop toe te zien dat bij een

uit te wisselen. Dit wetsvoorstel moet ervoor zorgen dat

aangewezen gegevensuitwisseling door een onder hem

de betreffende gegevens, door gebruik van ‘eenduidige

ressorterende zorgverlener ten minste gebruik wordt gemaakt

eisen aan taal en techniek’, elektronisch en op een

van een elektronische infrastructuur. Zorgaanbieders moeten

eenduidige manier tijdig worden uitgewisseld.

hier dus op zijn voorbereid wanneer de Wegiz in werking treedt (hieronder daarover meer). Het niet meer uitwisselen

Voor wie gaat de Wegiz gelden?

van patiëntgegevens tussen zorgverleners via bijvoorbeeld een

De Wegiz zal gelden voor ‘zorgaanbieders’. Hiermee

USB of DVD, zal voor zorgverleners de belangrijkste wijziging

worden zorgaanbieders bedoeld in de zin van de Wet

zijn die met het intreden van de Wegiz zal plaatsvinden.

kwaliteit, klachten en geschillen zorg (Wkkgz). Zowel solistisch werkende zorgverleners als zorginstellingen

De Wegiz wordt nader ingevuld door ‘spoor 1’ en ‘spoor 2’. Spoor 1 houdt in dat bepaalde gegevens verplicht elektronisch worden uitgewisseld. Spoor 2 houdt in dat aangewezen gegevensuitwisselingen worden uitgewisseld volgens een voor die uitwisseling aangewezen (NEN-)norm. In deze norm worden eisen gesteld met betrekking tot ‘taal en techniek’, zodat verschillende systemen die worden gebruikt elkaar kunnen begrijpen. Dit betekent dat de verplichtingen die uit de Wegiz volgen op twee manieren kunnen worden opgelegd: alleen de verplichting om gegevens elektronisch uit te wisselen op te leggen (alleen spoor 1) of de verplichting om gegevens elektronisch uit te wisselen op basis van NEN-normen (spoor 2).

Welke gegevensuitwisselingen verlopen via welk spoor?

In de Meerjarenagenda Wegiz van het Ministerie van Volksgezondheid, Welzijn en Sport zijn op dit moment vijf gegevensuitwisselingen geprioriteerd: -Basisgegevensset Zorg (BgZ) -Beeldbeschikbaarheid -Verpleegkundige overdracht -Medicatieoverdracht -Acute zorg Voor de uitwisseling van de Basisgegevensset Zorg (BgZ) tussen medisch specialistische instellingen is de voorbereidingsfase afgerond. Momenteel wordt de NEN-norm voor deze uitwisseling ontwikkeld. Het idee van deze uitwisseling is dat per 2025 de BgZ bij iedere verwijzing van een patiënt naar een andere zorgverlener wordt meegestuurd binnen de medisch specialistische zorg.

De uitwisseling Beeldbeschikbaarheid is gericht op de situatie dat bij een verwijzing binnen de medisch specialistische zorg of het bevolkingsonderzoek beelden elektronisch worden verzonden. De elektronische uitwisseling van Beeldbeschikbaarheid moet ervoor zorgen dat medische beelden sneller en effectiever bij een andere zorgverlener terecht komen. Dit kan bijvoorbeeld handig zijn voor een multidisciplinair overleg tussen specialisten van verschillende zorginstellingen. De NEN-normen en de bijbehorende AMvB voor deze uitwisseling zullen in 2023 in consultatie gaan.

De uitwisseling Verpleegkundige overdracht (eOverdracht) is bedoeld voor de situatie dat een patiënt naar een andere zorgverlener wordt overgedragen. Het idee van deze uitwisseling is dat de elektronische zorgdossiers beter op elkaar aansluiten. De informatiestandaard is al gepubliceerd en de kwaliteitsstandaard is wel al gereed, maar wacht nog op publicatie door Zorginstituut. De NEN-normen en de bijbehorende AMvB zijn nog in voorbereiding.

De gegevensuitwisseling Medicatieoverdracht bestaat uit vier verschillende gegevensuitwisselingen: i) digitaal voorschrijven/ter hand stellen, ii) medicatiegegevens, iii) laboratoriumgegevens voor medicatie en iv) contra-indicaties en overgevoeligheden. Voor de uitwisseling digitaal voorschrijven/ter hand stellen is de benodigde NEN-norm (NEN-7503) gereed voor de toekomstige spoor 2 aanwijzing. Het doel is om te zorgen voor een actueel en compleet medicatieoverzicht van patiënten. De verwachting is dat deze AMvB in 2024 in werking treedt.

Voor de uitwisseling Acute zorg is momenteel nog niet bekend op welk spoor deze uitwisseling komt.

Certificaat voor IT-producten of IT-diensten Voor IT-producten of IT-diensten die worden gebruikt voor het uitwisselen van medische gegevens zal als gevolg van de Wegiz een certificaat nodig zijn. Dit product of deze dienst moet dan aan bepaalde (nog vast te

BINE SCHOENMAKER ANAMIKA WILBRINK

Spoor 1 en spoor 2

dat het product of de dienst aan die eisen voldoet. Het is al duidelijk dat voor ieder type gegevensuitwisseling een apart certificaat nodig zal zijn, omdat per uitwisseling een norm wordt opgesteld. Het is daarom belangrijk dat zorgaanbieders en softwareleveranciers zich hiervan bewust zijn.

Hoe verhoudt de Wegiz zich tot de European Health Data Space?

Het voorstel voor de European Health Data Space (EHDS) is op 3 mei 2022 door de Europese Commissie gepubliceerd. De EHDS bouwt voort op de AVG en andere recente Europese (concept) regelgeving met betrekking tot het gebruik van data. Naast dat de EHDS handvatten kan bieden voor burgers om hun gezondheidsdata in te zien en het delen van gezondheidsgegevens over landsgrenzen heen, biedt de EHDS onder meer een raamwerk om niet-identificeerbare gezondheidsdata te kunnen gebruiken voor onderzoek en innovatie. Op dit moment wordt er nog onderhandeld over de EHDS. Het is nog onbekend wanneer de tekst van de verordening vast komt te staan en wanneer deze in werking treedt.

De EHDS sluit in huidige vorm grotendeels aan op de Wegiz. Om die reden is de verwachting dat veel afspraken, die onder de Wegiz tot stand zijn gekomen, als basis worden gebruikt voor afspraken die onder de EHDS tot stand zullen komen.

De EHDS gaat echter minder ver dan de Wegiz. Op basis van alleen de EHDS blijft uitwisseling op papier of met de fax nog wel mogelijk, terwijl de Wegiz juist bepaalt dat de uitwisseling van gegevens nadrukkelijk elektronisch moet worden gedaan. De Wegiz gaat dus een stap verder om elektronische uitwisseling te bevorderen. Daarnaast hanteren de EHDS en de Wegiz verschillende stelsels van certificering. Onder de Wegiz wordt certificering immers verplicht, terwijl de EHDS uit gaat van zelf-certificering.

Wanneer gaat de Wegiz gelden?

Op 18 april 2023 is de Wegiz aangenomen door de eerste kamer. Het streven is dat de Wegiz per 1 juli 2023 wordt ingevoerd. Het verschilt uiteindelijk per gegevensuitwisseling wanneer deze verplicht zal worden. In de Meerjarenagenda Wegiz is door het Informatieberaad Zorg opgenomen wanneer de vijf geprioriteerde gegevensuitwisselingen in werking zullen treden. De AMvB’s voor de BgZ en de Beeldbeschikbaarheid zullen naar verwachting in 2025 in werking treden en de AMvB’s van de Verpleegkundige overdracht en de overige gegevensuitwisselingen voor Medicatieoverdracht pas in 2028. De planning voor de Acute zorg is nog niet bekend en zal naar verwachting gepubliceerd worden in het vierde kwartaal van 2023.

Meer weten?

Dinsdag 23 mei aanstaande organiseert Ploum in samenwerking met het RGD een symposium over de Wegiz.

Tijdens dit interactieve symposium zal door sprekers van het Ministerie van Volksgezondheid, Welzijn en Sport, Nictiz en EPD & ECD Consultancy meer worden verteld over de totstandkoming van de Wegiz en de praktische implicaties hiervan. Het symposium is zowel digitaal als fysiek bij te wonen. Aanmelden kan via: https://ploum.nl/agenda/zorgsymposium.

BINE SCHOENMAKER ANAMIKA WILBRINK

stellen) eisen voldoen die worden gesteld (bijv. die volgen uit een nieuwe NEN-norm). Uit het certificaat volgt

Bine schoenmaker

Anamika Wilbrink

Agenda Zorgsymposium Op dinsdag 23 mei aanstaande organiseren wij samen met Ploum het jaarlijkse zorgsymposium, met dit jaar als onderwerp: Elektronische gegevensuitwisseling tussen zorginstellingen: hoe uw instelling zich kan voorbereiden op de komst van de Wegiz.

Het symposium zal plaatsvinden op het kantoor van Ploum aan de blaak 28 in Rotterdam en duurt van 15:00-17:00 uur. Het is ook mogelijk om online aan te sluiten. Voor meer informatie, het programma en de mogelijkheid om je aan te melden kan je naar https://ploum.nl/agenda/zorgsymposium.

Bezoek aan het ministerie van Volksgezondheid, Welzijn en Sport Op donderdag 25 mei zullen wij samen met het GRSA een bezoek brengen aan het ministerie van Volksgezondheid, Welzijn en Sport. Het adres is Parnassusplein 5, 2511 VX Den Haag. Meer informatie volgt nog!

Borrel Last but not least zal er dit jaar nog een borrel worden georganiseerd. Een datum en locatie volgen nog, maar kom vooral nog een drankje met ons drinken!

Vacatures Bestuur RGD Zoals eerder genoemd in deze editie van het magazine komt het collegejaar al bijna tot zijn einde. Dit betekent ook dat het bestuursjaar van het huidige bestuur bijna voorbij is en er langzaam een nieuw bestuurd gevormd gaat worden! Lijkt het jou nou leuk om een jaar lang met 3 of 4 anderen op een laagdrempelige manier studiegerelateerde en niet-studiegerelateerde activiteiten te organiseren? Spreek ons dan vooral eens aan tijdens college of stuur ons een berichtje! Als huidig bestuur kunnen wij het alleen maar enorm aanraden. Naast dat je heel veel nieuwe dingen leert tijdens een bestuursjaar en waardevolle connecties opdoet, bouw je ook een hechte band op met je mede-bestuursleden.

Redactiecommissie Ben jij na het lezen van deze tweede editie enthousiast en lijkt het je leuk om bij te dragen aan de volgende editie? Neem dan snel contact op met Ayeesha en wordt onderdeel van de redactiecommissie! Als lid van de redactiecommissie help je bij het bedenken van een thema, benader je advocatenkantoren en docenten met de vraag of zij een artikel willen schrijven of open staan voor een interview en maak je van alle verzamelde stukken een mooi geheel. Ook bij twijfels of voor meer informatie kan je bij Ayeesha terecht.

Kantoren Bij de partners van het RGD staan momenteel geen specifieke vacatures open. Heb je interesse in een stage of baan bij een van onze partners? Vaak is een open sollicitatie ook mogelijk, dus neem vooral contact op met een kantoor voor de mogelijkheden.