Het delen van gegevens uit patiëntendossiers door middel van het elektronische uitwisselingssysteem Landelijk Schakelpunt (LSP) is rechtmatig.
1
Op 1 december 2017 heeft de Hoge Raad de uitspraken van het gerechtshof Arnhem-Leeuwarden van 8 maart 2016, ECLI:NL:GHARL:2016:1697 en Rechtbank Midden-Nederland van 23 juli 2014, ECLI:NL:RBMNE:2014:3097 bekrachtigd. Daarmee bevestigde de Hoge Raad dat het delen van patiëntgegevens via het Landelijk Schakelpunt (hierna: ‘LSP’) in overeenstemming is met de wet- en regelgeving omtrent de bescherming van persoonsgegevens en de bescherming van het medisch beroepsgeheim. De uitspraak van de Hoge Raad is het voorlopige sluitstuk in een juridische strijd die de Vereniging voor Praktijkhoudende huisartsen (hierna: ‘VPH’) samen met enkele patiënten heeft gevoerd tegen de Vereniging van Zorgaanbieders voor Zorgcommunicatie (hierna: ‘VZVZ’). De VPH verzette zich destijds al nadrukkelijk tegen het voorstel voor de wet over het landelijke EPD, die in 2011 door de Eerste Kamer werd verworpen. Het LSP kende vervolgens in 2012 een doorstart door de koepels van huisartsen (LHV), huisartsenposten (InEen), apotheken (KNMP) en ziekenhuizen (NVZ). Ook daartegen heeft de VPH zich steeds verzet, onder meer door het voeren van deze juridische procedures.
2
Het LSP maakt het mogelijk dat zorgaanbieders toegang hebben tot bepaalde gegevens uit medische dossiers die door andere zorgaanbieders worden beheerd. Het regelt de toegangscontroles van alle aangemelde patiëntendossiers, registreert waar patiëntengegevens opvraagbaar zijn, welke gegevens zijn opgevraagd en door wie dat is gedaan. Vrijwel alle huisartsen stellen via het LSP een deel van het medisch dossier (de ‘professionele samenvatting’ ) elektronisch beschikbaar voor raadpleging door een waarnemend huisarts op de huisartsenpost. Van die toegang wordt gebruik gemaakt ten behoeve van de acute huisartsenzorg tijdens avond-, nacht- en weekenduren (ANW-uren). Naast huisartsen stelt het overgrote deel van de apotheken via het LSP een overzicht van verstrekte medicatie (‘het medicatiedossier’) elektronisch beschikbaar voor raadpleging door (waarnemend) huisartsen, bijvoorbeeld op de huisartsenpost, (poli)apotheken en medisch specialisten (in ziekenhuizen en andere instellingen).
3
De Hoge Raad bevestigt in het arrest dat patiënten uitdrukkelijke toestemming moeten geven voordat zorgaanbieders via het LSP gegevens uit hun medische dossiers beschikbaar mogen stellen voor elektronische raadpleging door andere zorgaanbieders. Doordat gegevens uit het medisch dossier uitsluitend worden gedeeld na het geven van uitdrukkelijke toestemming door patiënten, oordeelt de Hoge Raad (in navolging van het hof, de Rechtbank Midden-Nederland en de Autoriteit Persoonsgegevens), dat raadplegingen die via het LSP plaatsvinden niet in strijd zijn met het medisch beroepsgeheim van zorgaanbieders. Sinds de inwerkingtreding van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg op 1 juli 2017, is het inmiddels wettelijk verplicht om vooraf toestemming te verkrijgen van patiënten om gegevens uit hun medische dossiers elektronisch beschikbaar te mogen stellen voor raadpleging door andere zorgaanbieders, voor zover daarbij gebruik wordt gemaakt van een ‘elektronisch uitwisselingssysteem’.
4
Uitdrukkelijke toestemming alleen is echter niet voldoende voor een rechtmatige verwerking van patiëntgegevens. De VPH stelde dan ook dat ondanks de verkregen toestemmingen het delen van gegevens via het LSP niet voldoet aan de juridische eisen van proportionaliteit en subsidiariteit. De Hoge Raad verwerpt die stelling echter door er op te wijzen dat voor het LSP gebruik wordt gemaakt van algemene professionele standaarden die door de beroepsgenoten al sinds 1998 worden gehanteerd in waarneemsituaties. Deze standaarden beschouwt de Hoge Raad als een beoordeling van de vraag welke gegevens in het algemeen voor een goede zorgverlening bij spoedeisende hulp of waarneming van belang zijn, welke beoordeling op de praktijkervaring van de huisartsen is gebaseerd. Op basis daarvan oordeelt de Hoge Raad dat de gegevensverwerking via het LSP ook voldoet aan de eisen van proportionaliteit en subsidiariteit. Niet in elke situatie zal het noodzakelijk zijn om toegang te hebben tot alle beschikbare gegevens. Maar de Hoge Raad wijst er op dat dit inherent is aan het samenstellen van een algemene standaard. Bovendien hebben patiënten het recht om in overleg met de huisarts informatie uit te sluiten van raadpleging door andere opvragende zorgverleners.
5
Een ander onderdeel van het cassatieberoep dat de Hoge Raad verwerpt is dat er bij gebruikmaking van het LSP geen sprake zou zijn van door de patiënten in vrijheid gegeven toestemming. Volgens de Hoge Raad is het hof op dit punt niet van een onjuiste rechtsopvatting uitgegaan. Het hof en de rechtbank waren van oordeel dat bij het LSP sprake is van toestemming zonder dwang. Dit oordeel berust op waarderingen van feitelijke aard, waardoor de Hoge Raad deze in cassatie niet op juistheid kan onderzoeken. Maar de Hoge Raad vindt dat oordeel niet onbegrijpelijk of onvoldoende gemotiveerd. Tot slot wijst de Hoge Raad er op dat de VPH de stelling dat de dwang om toestemming te verlenen zou voortkomen uit vrees voor een mogelijk minder goede medische behandeling niet eerder bij de rechtbank en het hof hebben aangevoerd en dus ook niet tot cassatie kan leiden.
6
Ook het onderdeel dat de toestemming van patiënten onvoldoende specifiek zou zijn, wordt door de Hoge Raad verworpen. De Hoge Raad vindt dat op dit punt ook niet is gebleken van een onjuiste rechtsopvatting door het hof. Het hof had de opvatting van de rechtbank overgenomen dat in de informatiebrochure voor patiënten duidelijk is omschreven voor welke situaties toestemming wordt verleend. Met de rechtbank is het hof van oordeel dat voor een voldoende specifieke wilsuiting niet nodig is dat degene die toestemming verleent op dat moment ook al bekend is met de inhoud van de gegevens die zullen worden uitgewisseld. Daar komt bij dat patiënten desgewenst delen van informatie kunnen laten afschermen, zodat deze niet gedeeld wordt met andere zorgverleners.
7
De Hoge Raad schaart zich overigens achter het oordeel van het hof dat ten tijde van de uitspraak patiënten nog onvoldoende keuzemogelijkheden hebben om aan te geven met welke typen zorgaanbieders hun patiëntengegevens via het LSP gedeeld mogen worden. Volgens het hof zou VZVZ ernaar moeten streven om patiënten die aan het LSP willen deelnemen zoveel mogelijk beslissingsvrijheid te geven, zodat zij zoveel mogelijk regie hebben over het systeem. Hetgeen het hof heeft overwogen over wat van VZVZ mag worden verwacht, moet volgens de Hoge Raad als volgt worden begrepen. De inrichting van de zorginfrastructuur is op dit moment aanvaardbaar omdat zij berust op in vrijheid gegeven, voldoende specifieke, toestemming van de betrokken patiënten. Het hof heeft daarbij echter onderkend dat de zorginfrastructuur ook kan worden ingericht op een wijze waarbij meer onderscheid tussen (soorten) gegevens en (categorieën) zorgaanbieders kan worden gemaakt, en waarbij in het bijzonder gegevensuitwisseling op basis van toestemming bij voorbaat desgewenst kan worden beperkt tot spoedeisende gevallen. Een dergelijke inrichting zou meer en beter in overeenstemming zijn met de beginselen die aan de Wbp ten grondslag liggen, maar deze konden ten tijde van het wijzen van het bestreden arrest nog niet van VZVZ worden geëist. De Hoge Raad vindt het niet onbegrijpelijk dat het hof van VZVZ verwacht dat zij, zodra dit voor haar technisch mogelijk en uitvoerbaar is, het systeem aanpast door daarin meer keuzevrijheid te bieden. Met deze uitspraak loopt de Hoge Raad – net als het hof en de rechtbank – de facto vooruit op de wettelijke eis van ‘gespecificeerde toestemming’ in de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg van 1 juli 2017, welke verplichting bij de inwerkingtreding van de wet is uitgesteld tot 1 juli 2020. De Hoge Raad doet in navolging van het hof terecht nog de aanbeveling – gelet op de ambities van VZVZ en de veranderingen in de wet- en regelgeving (zie daarvoor de conclusie van de Advocaat-Generaal onder 8.15-8.19, ECLI:NL:PHR:2017:553) ‘privacy by design’ en ‘privacy by default’ uitdrukkelijk tot uitgangspunt te nemen overeenkomstig art. 25 lid 1 en 2 Algemene verordening gegevensbescherming.
8
Met zijn uitspraak bevestigt de hoogste Nederlandse rechter, in navolging van het gerechtshof Arnhem-Leeuwarden en Rechtbank Midden-Nederland, de rechtmatigheid van het delen van gegevens uit patiëntendossiers door middel van het elektronische uitwisselingssysteem LSP.