Het is een vraag die in de zorg, maar ook daarbuiten, vaak speelt. Bij het stellen van een diagnose is bijvoorbeeld soms informatie van andere artsen zinvol. Denk aan een oude MRI-scan of een eerdere diagnose. Maar wie maakte die scan ook al weer, hoe lang geleden was dat eigenlijk, is die scan nog beschikbaar? Je kunt natuurlijk een rondje bellen, maar dat is veel werk en niet altijd even doelmatig. Elektronisch de vraag stellen aan alle zorgaanbieders kan ook, maar heeft nog al wat haken en ogen. Wat als een GGZ-instelling die vraag over mij zou stellen aan alle zorgaanbieders, of een verslavingskliniek? Alleen al de vraag stellen geeft meer prijs dan je lief is.

Datzelfde vraagstuk hadden we bij het maken van CoronaCheck. Als ik in de app mijn QR-code aanmaak dan bevraagt de app meerdere bronsystemen op vaccinatie-, test- en herstelgegevens van mij. Op dit moment gaat het om de GGD, het RIVM en ZKVI (het systeem dat gebruikt wordt door ziekenhuizen die bijvoorbeeld huisartsen en ambulancepersoneel uit de eigen regio vaccineren). CoronaCheck doet dat niet door het BSN te versturen, want dat levert het privacyprobleem op dat ook de verslavingskliniek van hiervoor zou hebben. Het pseudoniem van de persoonsgegevens dat wordt verstuurd kan alleen worden gemaakt als de bron ook gegevens over de persoon bevat. Daarmee kunnen de andere bronnen niet herleiden om wie het gaat.

In de DPIA is dat alsvolgt beschreven:

Met name voor de vaccinatiegegevens geldt dat de betrokkenen die de gegevens wil opvragen om een Bewijsmiddel aan te maken niet altijd weet in welke vaccinatieadministratie zijn of haar gegevens zijn opgenomen (omdat de eerste vaccinatie mogelijk in een andere administratie is opgenomen dan de tweede of omdat men niet goed weet onder wiens verantwoordelijkheid de vaccinatie is uitgevoerd). Om toch te kunnen zorgen dat de persoon kan beschikken over een EU DCC en Coronatoegangsbewijs is de volgende oplossing ontwikkeld. Na DigiD verificatie van de persoon wordt door middel van een gepseudonimiseerde bevraging van de relevante administraties, de vaccinatie‐/test‐/herstelgegevens van de gebruiker opgevraagd bij alle (potentieel) relevante partijen.

Met het BSN en van BRP‐gegevens (voornaam, geboortenaam en geboortedatum) wordt een cryptografische hash‐waarde berekend met behulp van het SHA‐256 algoritme. Omdat genoemde invoerdata een zekere mate van voorspelbaarheid heeft, is de maximale entropie van dit deel van de hash‐waarde niet de 256 bits die het SHA‐256 algoritme potentieel biedt, maar is deze gereduceerd tot ongeveer 58 bits in de meest conservatieve schatting, maar effectief waarschijnlijk 70 bits (dit heeft te maken met de structuur van het BSN, hoe uniek achternamen zijn en dat de geboortedata in een maximaal interval van 1906 tot 2021 zullen liggen). Om deze nog relatief lage entropie te adresseren wordt bij de berekening van de hash‐waarde een voor de zorgaanbieder unieke salt gebruikt (ook wel shared secret genoemd) die de entropie voor derden verhoogt evenredig aan de lengte van de salt.

Vooralsnog wordt uitgegaan van een totale entropie (voor derden die niet bekend zijn met de salt) van 384 bits of meer. Dit vormt samen de “UNOMI‐token”.

Ik vind dit een mooie oplossing om ook op andere plekken in de zorg te beproeven. Bijvoorbeeld om mijn Persoonlijke Gezondheidsomgeving te kunnen vullen met al mijn historische gegevens. Zo'n beproeving vergt wel een passende grondslag, want het gaat ook bij een pseudoniem nog steeds om een persoonsgegeven.

Meer weten over de technische oplossing? Die is beschreven op Github.

Ik schreef er al eerder over (zoek maar eens op “privacy” in mijn blogs ): wat mij betreft staat privacy goede gegevensuitwisseling niet in de weg. Het kan zelfs leiden tot hele mooie innovaties. “Privacy by design” is het uitgangspunt in de AVG (artikel 25). Maar hoe werkt dat dan in de praktijk?

"Privacy by design" is niet iets maken en daarna in een Privacy Impact Assesment (of PIA, nog zo’n eis van de AVG) rechtvaardigen welke keuzes je hebt gemaakt. Eerder werkt het andersom: door eerst zo’n PIA te maken en daarna pas te starten met ontwikkelen krijg je de mooiste oplossingen. Design by privacy dus.

Dat is de manier waarop we werken als het gaat om de digitale ondersteuning van de pandemie. Zo is CoronaMelder tot stand gekomen, maar bijvoorbeeld ook CoronaCheck.

Klinkt vaag toch, “privacy by design”? Dat is ook zo en vraagt dus om een concreet voorbeeld. Laten we CoronaCheck nemen.

Eind vorig jaar stelden wetenschappers en anderen voor om in situaties dat de epidemiologische situatie dat eigenlijk niet toelaat toch meer contacten toe te staan (denk aan evenementen bijvoorbeeld). Dat zou kunnen - zeiden ze - als je de risico's verlaagt door een negatieve test voorafgaand aan zo'n evenement. Daaruit is het idee ontstaan van toegangstesten. Aan de poort bewijzen dat je recent negatief getest bent.

Maar hoe bewijs je dat dan? Dat kan natuurlijk met een testuitslag met al je gegevens erop. Maar het gaat om jouw eigen medische gegevens en dus is dat niet de meest wenselijke situatie. Kan het niet anders?

Toen ons gevraagd werd om daarover na te denken (en over de digitale technologie om dat mogelijk te maken) stelden we privacy centraal. Er zou bijvoorbeeld een wettelijke grondslag moeten zijn om de benodigde gegevens te verwerken (die wet is recent door de Eerste Kamer aangenomen ), mensen moeten niet volgbaar zijn over bezoeken van verschillende evenementen heen, het moet niet mogelijk zijn om aan de poort te zien wat de reden van het verlaagde risico is (zoals een test of juist een vaccinatie), er moet geen centrale database komen van die gegevens en het is niet nodig om al je gegevens in een bewijs op te nemen om het waarschijnlijk genoeg te maken dat het bewijs inderdaad bij jou hoort.

Dat nadenken over gegevensbescherming heeft geleid tot CoronaCheck, een app waarin je de gegevens van jouw negatieve test (en straks ook je vaccinatie) veilig ophaalt bij de testaanbieder en opslaat op (alleen) je eigen telefoon, en er een QR-code van maakt die kan worden gescand. Maar dan wel op een manier waardoor de risico’s die ik hiervoor noemde sterk zijn verminderd.

Zo verandert de QR-code voortdurend (en heeft het dus geen zin om QR-codes te vergelijken als je meerdere evenementen bezoekt), is in de QR-code niet opgenomen of het gaat om een negatieve test of een vaccinatie en zijn alleen je initialen, je geboortedag en geboortemaand opgenomen. Omdat soms ook initialen heel zeldzaam zijn hebben we er (op basis van gegevens van het Meertensinstituut) zelfs voor gezorgd dat nog minder informatie wordt getoond bij zeldzame initialen.

De QR-code die je laat zien bij een deur is daarmee niet volgbaar over locaties heen, zegt niet of je een test of vaccinatie hebt gehad en vertelt niet precies wie je bent.

De manier waarop het werkt is beschreven in de wet en in de komende wettelijke regelingen. Binnenkort gaat ook de DPIA die het helemaal uitlegt naar de Tweede Kamer. Zodat voor iedereen duidelijk is hoe het werkt, welke gegevens verwerkt worden en door wie. De broncode van de app staat op GitHub zodat iedereen kan controleren dat het ook echt zo werkt.

De ontwikkeling van de wet, het bedenken van de werkwijze en het ontwerpen en maken van de techniek gingen de afgelopen maanden hand in hand. Beleid en uitvoering als werelden die elkaar beïnvloeden om te komen tot privacy by design. Of wat mij betreft dus beter nog: design by privacy.

Gaat het dan alleen om privacy? Nee, zeker niet. Privacy, security en toegankelijkheid zijn het uitgangspunt. Niet alleen van de app, ook van de keten. Zo moeten testaanbieders die aansluiten op CoronaCheck aan allerlei eisen voldoen.

Design by privacy, security en toegankelijkheid: het lijkt ingewikkeld en begrenzend, maar het is het juist niet. Het leidt tot innovatieve oplossingen en is zelfs extra leuk. Zo leuk dat de ontwikkelaars die dit nu een tijdje samen doen zelf met voorstellen komen hoe privacy wellicht nog net iets beter ingebed kan.

Huisartsen verwijzen hun patiënten met regelmaat naar (een specialist in) een ziekenhuis. Ze blijven daarbij betrokken bij de behandeling. Die betrokkenheid kan bijvoorbeeld worden vormgegeven door toegang tot (alleen de) voor hen relevante informatie van hun eigen patiënten in een EPD bij een ziekenhuis. De vraag wordt vaak gesteld of daar aparte toestemming van patiënten voor nodig is.

Of die aparte toestemming van patiënten nodig is, hangt af van de vraag of gebruik wordt gemaakt van een elektronisch uitwisselingsysteem. In de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (de Wabvpz) is daarvan een definitie opgenomen: “een systeem waarmee zorgaanbieders op elektronische wijze, dossiers, gedeelten van dossiers of gegevens uit dossiers voor andere zorgaanbieders raadpleegbaar kunnen maken, waaronder niet begrepen een systeem binnen een zorgaanbieder, voor het bijhouden van een elektronisch dossier”.

De wetgever heeft aan het gebruik van dit soort systemen nadere eisen gesteld. Dit omdat anders dan met zogenaamd “push-verkeer” gegevens over de gezondheid raadpleegbaar worden gemaakt, zonder dat de zorgaanbieder (op wie het medisch beroepsgeheim rust) nog directe controle heeft over de raadplegingen door andere zorgaanbieders. Voor het beschikbaar stellen van gegevens via een dergelijk elektronisch uitwisselingssysteem is uitdrukkelijke toestemming van de patiënt nodig.

De uitdrukkelijke toestemming die op grond van de Wabvpz is vereist voor het raadpleegbaar maken van gegeven via een elektronisch uitwisselingssysteem, is ook in lijn met de eisen die de AVG stelt aan de verwerking van gegevens over de gezondheid. Gelet op de AVG is een opt-out regeling voor het gebruik van elektronische uitwisselingssystemen dan ook niet toegestaan.

Of toegang van huisartsen tot een zorgverlenersportaal van een ziekenhuis moet worden aangemerkt als een elektronisch uitwisselingssysteem hangt af van de concrete inrichting van dit portaal. Bij de behandeling van de Wabvpz is aangegeven dat het gebruik van een portal waarmee bijvoorbeeld door middel van een inlogcode alleen de eigen huisarts gegevens als lab-uitslagen en specialistenbrieven kan ophalen, feitelijk eenzelfde situatie oplevert als bij push-verkeer die valt onder de veronderstelde toestemming op grond van de Wet op de geneeskundige behandelingsovereenkomst. Als een zorgverlenersportaal langs die lijn is ingericht, kan uitdrukkelijke toestemming op grond van artikel 15a van de Wabvpz achterwege blijven. Dan immers houdt de zorgaanbieder controle over wie er toegang heeft tot welke informatie.

Kortom: het is de inrichting die bepalend is of aparte toestemming nodig is.

Gisteren schreef ik een persoonlijke blog over de reden van mijn inzet voor privacy en vertrouwelijkheid bij gegevensuitwisseling. Onbedoeld was het ook een bewijs voor de Wet van Godwin, maar dat terzijde.

Voor mij is privacy geen reden om nooit gegevens uit te wisselen. In tegendeel: voor mij gaan privacy en gegevensuitwisseling hand in hand. Ook in de zorg. Juist door aandacht voor de bescherming van gegevens ontstaat het vertrouwen dat nodig is om goede zorg te leveren en de informatie uit te wisselen die daarvoor nodig is. Tussen zorgprofessionals en hun patiënten, en tussen zorgprofessionals onderling.

Voor het tijdperk van Internet ging die communicatie via de telefoon, de fax of de post. Op papier maar ook op USB-sticks, CD-ROMS en DVD’s. Dat is niet altijd veilig. Met het briefgeheim hebben we bijvoorbeeld wel organisatorisch geregeld dat de postbode niet in de per brief verstuurde gegevens mag kijken, maar technisch onmogelijk is het niet. Een mesje is voldoende om de envelop te openen en de medische gegevens te lezen. En USB-sticks kunnen worden verloren.

Digitalisering maakt meer beveiliging en aandacht voor privacy niet alleen mogelijk. Het is door de toegenomen massaliteit ook nodig. Ik kreeg van meerdere kanten een reactie op een persoonlijke mening (al mijn blogs zijn persoonlijke mening trouwens) in een recente blog over dubbele toestemming. Ik schreef:

Het zou overigens, om veel redenen, wat mij betreft goed zijn als er zo weinig mogelijk van dergelijke indexen buiten instellingen zelf zouden zijn.

Eén van de redenen waarom ik dit vind is dus privacy. Het lijkt zo makkelijk: een index van organisaties die gegevens over mij hebben. Maar als dat niet nodig is, dan zou ik dat niet erg vinden. Want een index die zegt dat een “mannenkliniek voor prostaataandoeningen” iets van mij weet, of een “instelling voor GGZ-hulp”, dat is geen onschuldige informatie. Soms ontkom je daar niet aan, maar als het met nieuwe technieken mogelijk is zonder, dan liever zonder.

Daarom ook vind ik het helemaal niet zo gek dat er onderzoek komt naar de technische (on)mogelijkheden van “end-to-end-encryptie” in digitale uitwisseling in de zorg. Want waar bij de post briefgeheim nodig is als organisatorische maatregel, kan de beveiliging van elektronische gegevensuitwisseling misschien uiteindelijk wel zo dat niemand anders dan zender en ontvanger de medische gegevens kunnen lezen. Ik snap best dat dat niet zomaar voor alles geregeld is en dat de huidige technieken dat niet altijd mogelijk maken. En ik snap ook best dat het misschien niet altijd en overal zal kunnen. Maar dat neemt niet weg dat ik vind dat het onze gezamenlijke opgave is om de vertrouwelijkheid tussen dokter en patiënt ook technisch te borgen waar het kan. Alle technische voorstellen om dat stap voor stap voor elkaar te krijgen zijn welkom. Juist omdat vertrouwen in de uitwisseling van gegevens en privacy hand in hand gaan.

“Het verwerken van medische informatie is in beginsel verboden”. Deze zin is opgenomen in de tweede brief over elektronische gegevensuitwisseling in de zorg die recent aan de Tweede Kamer gezonden is. Patiënt en zorgverlener moeten uit kunnen gaan van vertrouwelijkheid. Tegelijkertijd: zonder de juiste informatie kan een medebehandelaar niet de juiste zorg leveren. Daarom zijn er ook uitzonderingen op de regel dat gegevens niet mogen uitgewisseld met anderen. Expliciete toestemming van de betrokken patiënt is de meest voor de hand liggende.

Maar er zijn ook situaties dat die toestemming mag worden aangenomen en niet expliciet hoeft te worden gevraagd. Zo is expliciete toestemming niet nodig voor acute zorg aan iemand die niet in staat is om toestemming te geven (iemand die buiten bewustzijn is, bijvoorbeeld). Ook het verstrekken van benodigde informatie aan medebehandelaars en aan vervangers van behandelaars is zo’n uitzondering. Dat is ook wel zo prettig. Want wie in een ziekenhuis wordt opgenomen, bijvoorbeeld, heeft te maken met tientallen verpleegkundigen (in ploegendienst) en meerdere artsen. Die mogen allemaal de informatie kennen die ze nodig hebben om de goede zorg te kunnen bieden, zonder dat je ’s nachts wakker gemaakt hoeft te worden om die toestemming te geven aan een nieuwe verpleegkundige.

Om zeker te stellen dat informatie niet wordt ingezien door mensen die niet bij de behandeling betrokken zijn moet toegang worden gelogd. Die logbestanden worden bekeken en bij misbruik worden maatregelen genomen. Zorgprofessionals weten dat en gaan er in de regel precies mee om. Het is immers, ook, het zonder grond doorbreken van beroepsgeheim.

Voor elektronische uitwisseling tussen instellingen is een extra toestemming nodig. Die toestemming is ontstaan in 2011, toen de betrokkenheid van de overheid bij elektronische gegevensuitwisseling tussen instellingen werd gestopt. De tweede toestemming is nodig voor “het beschikbaar stellen van gegevens voor derden”. Dat betekent dat, bijvoorbeeld, een ziekenhuis van een patiënt toestemming moet hebben voordat informatie beschikbaar mag zijn voor ophalen door andere instellingen. Ook als die andere instelling er vanwege betrokkenheid bij de behandeling over mag beschikken.

Stel dat je wordt verwezen voor chemotherapie naar een ander ziekenhuis. Dan mag de verzendende dokter wel de gegevens elektronisch verzenden. Maar de gegevens elektronisch ophalen door het tweede ziekenhuis, dat mag alleen met expliciete toestemming. Want alleen dan is die informatie beschikbaar.

Die tweede toestemming is om meerdere redenen geïntroduceerd. Het is een extra barrière voor het zonder toestemming gegevens inzien. En er is ook een technische reden. In veel gevallen wordt namelijk om te weten welke instelling over gegevens van iemand beschikt een aparte “index” bijgehouden. Dat een instelling iets van je weet is ook al gevoelige informatie, zeker als die index buiten de instelling zelf wordt bijgehouden. Voor opname in zo’n index buiten de instelling zelf is toestemming nodig (ook op grond van vroeger de WBP en nu AVG). Het zou overigens, om veel redenen, wat mij betreft goed zijn als er zo weinig mogelijk van dergelijke indexen buiten instellingen zelf zouden zijn.

Die tweede toestemming maakt dat als we in de zorg overgaan van papier naar digitaal, er minder informatie beschikbaar is. Er zijn dan in feite twee toestemmingen. De eerste toestemming voor het doorbreken van beroepsgeheim, waarop uitzonderingen zijn zoals betrokkenheid bij de behandeling en acute zorg. En de tweede toestemming voor elektronische gegevensuitwisseling waarop geen enkele uitzondering is.

Die tweede toestemming wordt tegen het licht gehouden, zo staat in de genoemde brief. Een aantal mensen reageerde naar mij met de zorg dat privacy te grabbel wordt gegooid. Ik begrijp die zorg. Maar als de tweede toestemming niet zou bestaan, is de eerste er nog wel. En die is voor zorgverleners heel precies. Wie zonder grond beroepsgeheim doorbreekt kan rekenen op maatregelen. Tuchtrechtelijk, maar bijvoorbeeld ook in sommige gevallen ontslag. Daarom gaan – de meeste – zorgprofessionals zo precies om met gegevensdeling.

Het zou wel goed zijn als die gegevensdeling transparant zou zijn. Daarom is in de normen voor logging van toegang tot medische gegevens opgenomen dat deze inzichtelijk moeten zijn voor patiënten. Ik zou dat wel tof vinden: een signaal in mijn MedMij-gecertificeerde Persoonlijke Gezondheidsomgeving dat iemand toegang heeft gehad tot mijn gegevens. Die balans, tussen toegang indien nodig voor behandeling en tegelijkertijd inzicht in logging voor patiënten, vind ik persoonlijk de moeite waard om te onderzoeken.

Met nog steeds bescherming van de privacy voorop. Want privacy en gegevensdeling kunnen - en moeten wat mij betreft - samen gaan.

De afgelopen weken gonsden de sociale media van onrust en onzekerheid over de AVG. Mogen artsen nog wel mailen met hun patiënten? En hoe zit het met de fax? En wat als mensen het zelf willen?

De AVG verandert niet zoveel
Het goede nieuws: de AVG verandert daar niet zoveel aan. Mensen krijgen meer rechten (zoals het recht op vergetelheid en de mogelijkheid om digitale data die over hen gaan op te halen en naar een ander te brengen) en de toezichthouders krijgen meer mogelijkheden voor handhaving en het opleggen van sancties zoals boetes.

Maar de eisen aan gegevensbescherming veranderen niet ingrijpend. Wat al onder de WBP ter discussie stond blijft dat ook onder de AVG. Iedere professional of organisatie die gegevens vastlegt en uitwisselt moet daarin, op basis van privacy by design, een eigen afweging maken. Begrijpelijk is wel dat hogere boetes er toe leiden dat overwegingen uit het verleden nog eens tegen het licht worden gehouden.

En mail dan?
Laten we mail als voorbeeld gebruiken. Dat is niet zo veilig, zo schrijft Nictiz in een rapport uit 2015:

“E-mail is uitgevonden in het prille begin van internet. Het ontwerp heeft in het geheel geen rekening gehouden met beveiliging. Een e-mail is te vergelijken met een ansichtkaart die iedereen die hem door de handen gaat kan lezen of zelfs veranderen. Iedereen die een ansicht verstuurt weet dat.”

Maar niet iedereen die een e-mail stuurt weet dat die leesbaar is voor alle partijen in de bezorging. Mensen mogen er zelf voor kiezen, maar voor professionals is het verstandig om te overwegen of het beroepsgeheim niet in gevaar komt als ze ook antwoorden met een digitale ansichtkaart. Ook bij faxen worden fouten gemaakt (de verhalen van faxen die op foute bureaus belanden haalden in het verleden regelmatig de pers), maar tussen zender en ontvanger is afluisteren een stuk moeilijker. Het gaat vooral om de bewuste afweging dus.

Veilig mailen kan!
Veel zorgorganiaties kiezen al bewust voor veiligere mail. Zo kreeg ik als vader recent een mail over één van mijn dochters die via een beveiligde omgeving tot mij kwam. Minder makkelijk, maar ik begreep – zeker gezien de inhoud – dat de organisatie daarvoor gekozen had. Ik hoop wel dat er ook standaarden komen waardoor al die verschillende oplossingen met elkaar kunnen praten en er een landelijk dekkende oplossing voor veilige mail komt. Voor alle professionals, voor alle mensen.