Ik schreef er al eerder over (zoek maar eens op “privacy” in mijn blogs ): wat mij betreft staat privacy goede gegevensuitwisseling niet in de weg. Het kan zelfs leiden tot hele mooie innovaties. “Privacy by design” is het uitgangspunt in de AVG (artikel 25). Maar hoe werkt dat dan in de praktijk?

"Privacy by design" is niet iets maken en daarna in een Privacy Impact Assesment (of PIA, nog zo’n eis van de AVG) rechtvaardigen welke keuzes je hebt gemaakt. Eerder werkt het andersom: door eerst zo’n PIA te maken en daarna pas te starten met ontwikkelen krijg je de mooiste oplossingen. Design by privacy dus.

Dat is de manier waarop we werken als het gaat om de digitale ondersteuning van de pandemie. Zo is CoronaMelder tot stand gekomen, maar bijvoorbeeld ook CoronaCheck.

Klinkt vaag toch, “privacy by design”? Dat is ook zo en vraagt dus om een concreet voorbeeld. Laten we CoronaCheck nemen.

Eind vorig jaar stelden wetenschappers en anderen voor om in situaties dat de epidemiologische situatie dat eigenlijk niet toelaat toch meer contacten toe te staan (denk aan evenementen bijvoorbeeld). Dat zou kunnen - zeiden ze - als je de risico's verlaagt door een negatieve test voorafgaand aan zo'n evenement. Daaruit is het idee ontstaan van toegangstesten. Aan de poort bewijzen dat je recent negatief getest bent.

Maar hoe bewijs je dat dan? Dat kan natuurlijk met een testuitslag met al je gegevens erop. Maar het gaat om jouw eigen medische gegevens en dus is dat niet de meest wenselijke situatie. Kan het niet anders?

Toen ons gevraagd werd om daarover na te denken (en over de digitale technologie om dat mogelijk te maken) stelden we privacy centraal. Er zou bijvoorbeeld een wettelijke grondslag moeten zijn om de benodigde gegevens te verwerken (die wet is recent door de Eerste Kamer aangenomen ), mensen moeten niet volgbaar zijn over bezoeken van verschillende evenementen heen, het moet niet mogelijk zijn om aan de poort te zien wat de reden van het verlaagde risico is (zoals een test of juist een vaccinatie), er moet geen centrale database komen van die gegevens en het is niet nodig om al je gegevens in een bewijs op te nemen om het waarschijnlijk genoeg te maken dat het bewijs inderdaad bij jou hoort.

Dat nadenken over gegevensbescherming heeft geleid tot CoronaCheck, een app waarin je de gegevens van jouw negatieve test (en straks ook je vaccinatie) veilig ophaalt bij de testaanbieder en opslaat op (alleen) je eigen telefoon, en er een QR-code van maakt die kan worden gescand. Maar dan wel op een manier waardoor de risico’s die ik hiervoor noemde sterk zijn verminderd.

Zo verandert de QR-code voortdurend (en heeft het dus geen zin om QR-codes te vergelijken als je meerdere evenementen bezoekt), is in de QR-code niet opgenomen of het gaat om een negatieve test of een vaccinatie en zijn alleen je initialen, je geboortedag en geboortemaand opgenomen. Omdat soms ook initialen heel zeldzaam zijn hebben we er (op basis van gegevens van het Meertensinstituut) zelfs voor gezorgd dat nog minder informatie wordt getoond bij zeldzame initialen.

De QR-code die je laat zien bij een deur is daarmee niet volgbaar over locaties heen, zegt niet of je een test of vaccinatie hebt gehad en vertelt niet precies wie je bent.

De manier waarop het werkt is beschreven in de wet en in de komende wettelijke regelingen. Binnenkort gaat ook de DPIA die het helemaal uitlegt naar de Tweede Kamer. Zodat voor iedereen duidelijk is hoe het werkt, welke gegevens verwerkt worden en door wie. De broncode van de app staat op GitHub zodat iedereen kan controleren dat het ook echt zo werkt.

De ontwikkeling van de wet, het bedenken van de werkwijze en het ontwerpen en maken van de techniek gingen de afgelopen maanden hand in hand. Beleid en uitvoering als werelden die elkaar beïnvloeden om te komen tot privacy by design. Of wat mij betreft dus beter nog: design by privacy.

Gaat het dan alleen om privacy? Nee, zeker niet. Privacy, security en toegankelijkheid zijn het uitgangspunt. Niet alleen van de app, ook van de keten. Zo moeten testaanbieders die aansluiten op CoronaCheck aan allerlei eisen voldoen.

Design by privacy, security en toegankelijkheid: het lijkt ingewikkeld en begrenzend, maar het is het juist niet. Het leidt tot innovatieve oplossingen en is zelfs extra leuk. Zo leuk dat de ontwikkelaars die dit nu een tijdje samen doen zelf met voorstellen komen hoe privacy wellicht nog net iets beter ingebed kan.

Huisartsen verwijzen hun patiënten met regelmaat naar (een specialist in) een ziekenhuis. Ze blijven daarbij betrokken bij de behandeling. Die betrokkenheid kan bijvoorbeeld worden vormgegeven door toegang tot (alleen de) voor hen relevante informatie van hun eigen patiënten in een EPD bij een ziekenhuis. De vraag wordt vaak gesteld of daar aparte toestemming van patiënten voor nodig is.

Of die aparte toestemming van patiënten nodig is, hangt af van de vraag of gebruik wordt gemaakt van een elektronisch uitwisselingsysteem. In de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (de Wabvpz) is daarvan een definitie opgenomen: “een systeem waarmee zorgaanbieders op elektronische wijze, dossiers, gedeelten van dossiers of gegevens uit dossiers voor andere zorgaanbieders raadpleegbaar kunnen maken, waaronder niet begrepen een systeem binnen een zorgaanbieder, voor het bijhouden van een elektronisch dossier”.

De wetgever heeft aan het gebruik van dit soort systemen nadere eisen gesteld. Dit omdat anders dan met zogenaamd “push-verkeer” gegevens over de gezondheid raadpleegbaar worden gemaakt, zonder dat de zorgaanbieder (op wie het medisch beroepsgeheim rust) nog directe controle heeft over de raadplegingen door andere zorgaanbieders. Voor het beschikbaar stellen van gegevens via een dergelijk elektronisch uitwisselingssysteem is uitdrukkelijke toestemming van de patiënt nodig.

De uitdrukkelijke toestemming die op grond van de Wabvpz is vereist voor het raadpleegbaar maken van gegeven via een elektronisch uitwisselingssysteem, is ook in lijn met de eisen die de AVG stelt aan de verwerking van gegevens over de gezondheid. Gelet op de AVG is een opt-out regeling voor het gebruik van elektronische uitwisselingssystemen dan ook niet toegestaan.

Of toegang van huisartsen tot een zorgverlenersportaal van een ziekenhuis moet worden aangemerkt als een elektronisch uitwisselingssysteem hangt af van de concrete inrichting van dit portaal. Bij de behandeling van de Wabvpz is aangegeven dat het gebruik van een portal waarmee bijvoorbeeld door middel van een inlogcode alleen de eigen huisarts gegevens als lab-uitslagen en specialistenbrieven kan ophalen, feitelijk eenzelfde situatie oplevert als bij push-verkeer die valt onder de veronderstelde toestemming op grond van de Wet op de geneeskundige behandelingsovereenkomst. Als een zorgverlenersportaal langs die lijn is ingericht, kan uitdrukkelijke toestemming op grond van artikel 15a van de Wabvpz achterwege blijven. Dan immers houdt de zorgaanbieder controle over wie er toegang heeft tot welke informatie.

Kortom: het is de inrichting die bepalend is of aparte toestemming nodig is.

Gisteren schreef ik een persoonlijke blog over de reden van mijn inzet voor privacy en vertrouwelijkheid bij gegevensuitwisseling. Onbedoeld was het ook een bewijs voor de Wet van Godwin, maar dat terzijde.

Voor mij is privacy geen reden om nooit gegevens uit te wisselen. In tegendeel: voor mij gaan privacy en gegevensuitwisseling hand in hand. Ook in de zorg. Juist door aandacht voor de bescherming van gegevens ontstaat het vertrouwen dat nodig is om goede zorg te leveren en de informatie uit te wisselen die daarvoor nodig is. Tussen zorgprofessionals en hun patiënten, en tussen zorgprofessionals onderling.

Voor het tijdperk van Internet ging die communicatie via de telefoon, de fax of de post. Op papier maar ook op USB-sticks, CD-ROMS en DVD’s. Dat is niet altijd veilig. Met het briefgeheim hebben we bijvoorbeeld wel organisatorisch geregeld dat de postbode niet in de per brief verstuurde gegevens mag kijken, maar technisch onmogelijk is het niet. Een mesje is voldoende om de envelop te openen en de medische gegevens te lezen. En USB-sticks kunnen worden verloren.

Digitalisering maakt meer beveiliging en aandacht voor privacy niet alleen mogelijk. Het is door de toegenomen massaliteit ook nodig. Ik kreeg van meerdere kanten een reactie op een persoonlijke mening (al mijn blogs zijn persoonlijke mening trouwens) in een recente blog over dubbele toestemming. Ik schreef:

Het zou overigens, om veel redenen, wat mij betreft goed zijn als er zo weinig mogelijk van dergelijke indexen buiten instellingen zelf zouden zijn.

Eén van de redenen waarom ik dit vind is dus privacy. Het lijkt zo makkelijk: een index van organisaties die gegevens over mij hebben. Maar als dat niet nodig is, dan zou ik dat niet erg vinden. Want een index die zegt dat een “mannenkliniek voor prostaataandoeningen” iets van mij weet, of een “instelling voor GGZ-hulp”, dat is geen onschuldige informatie. Soms ontkom je daar niet aan, maar als het met nieuwe technieken mogelijk is zonder, dan liever zonder.

Daarom ook vind ik het helemaal niet zo gek dat er onderzoek komt naar de technische (on)mogelijkheden van “end-to-end-encryptie” in digitale uitwisseling in de zorg. Want waar bij de post briefgeheim nodig is als organisatorische maatregel, kan de beveiliging van elektronische gegevensuitwisseling misschien uiteindelijk wel zo dat niemand anders dan zender en ontvanger de medische gegevens kunnen lezen. Ik snap best dat dat niet zomaar voor alles geregeld is en dat de huidige technieken dat niet altijd mogelijk maken. En ik snap ook best dat het misschien niet altijd en overal zal kunnen. Maar dat neemt niet weg dat ik vind dat het onze gezamenlijke opgave is om de vertrouwelijkheid tussen dokter en patiënt ook technisch te borgen waar het kan. Alle technische voorstellen om dat stap voor stap voor elkaar te krijgen zijn welkom. Juist omdat vertrouwen in de uitwisseling van gegevens en privacy hand in hand gaan.

“Het verwerken van medische informatie is in beginsel verboden”. Deze zin is opgenomen in de tweede brief over elektronische gegevensuitwisseling in de zorg die recent aan de Tweede Kamer gezonden is. Patiënt en zorgverlener moeten uit kunnen gaan van vertrouwelijkheid. Tegelijkertijd: zonder de juiste informatie kan een medebehandelaar niet de juiste zorg leveren. Daarom zijn er ook uitzonderingen op de regel dat gegevens niet mogen uitgewisseld met anderen. Expliciete toestemming van de betrokken patiënt is de meest voor de hand liggende.

Maar er zijn ook situaties dat die toestemming mag worden aangenomen en niet expliciet hoeft te worden gevraagd. Zo is expliciete toestemming niet nodig voor acute zorg aan iemand die niet in staat is om toestemming te geven (iemand die buiten bewustzijn is, bijvoorbeeld). Ook het verstrekken van benodigde informatie aan medebehandelaars en aan vervangers van behandelaars is zo’n uitzondering. Dat is ook wel zo prettig. Want wie in een ziekenhuis wordt opgenomen, bijvoorbeeld, heeft te maken met tientallen verpleegkundigen (in ploegendienst) en meerdere artsen. Die mogen allemaal de informatie kennen die ze nodig hebben om de goede zorg te kunnen bieden, zonder dat je ’s nachts wakker gemaakt hoeft te worden om die toestemming te geven aan een nieuwe verpleegkundige.

Om zeker te stellen dat informatie niet wordt ingezien door mensen die niet bij de behandeling betrokken zijn moet toegang worden gelogd. Die logbestanden worden bekeken en bij misbruik worden maatregelen genomen. Zorgprofessionals weten dat en gaan er in de regel precies mee om. Het is immers, ook, het zonder grond doorbreken van beroepsgeheim.

Voor elektronische uitwisseling tussen instellingen is een extra toestemming nodig. Die toestemming is ontstaan in 2011, toen de betrokkenheid van de overheid bij elektronische gegevensuitwisseling tussen instellingen werd gestopt. De tweede toestemming is nodig voor “het beschikbaar stellen van gegevens voor derden”. Dat betekent dat, bijvoorbeeld, een ziekenhuis van een patiënt toestemming moet hebben voordat informatie beschikbaar mag zijn voor ophalen door andere instellingen. Ook als die andere instelling er vanwege betrokkenheid bij de behandeling over mag beschikken.

Stel dat je wordt verwezen voor chemotherapie naar een ander ziekenhuis. Dan mag de verzendende dokter wel de gegevens elektronisch verzenden. Maar de gegevens elektronisch ophalen door het tweede ziekenhuis, dat mag alleen met expliciete toestemming. Want alleen dan is die informatie beschikbaar.

Die tweede toestemming is om meerdere redenen geïntroduceerd. Het is een extra barrière voor het zonder toestemming gegevens inzien. En er is ook een technische reden. In veel gevallen wordt namelijk om te weten welke instelling over gegevens van iemand beschikt een aparte “index” bijgehouden. Dat een instelling iets van je weet is ook al gevoelige informatie, zeker als die index buiten de instelling zelf wordt bijgehouden. Voor opname in zo’n index buiten de instelling zelf is toestemming nodig (ook op grond van vroeger de WBP en nu AVG). Het zou overigens, om veel redenen, wat mij betreft goed zijn als er zo weinig mogelijk van dergelijke indexen buiten instellingen zelf zouden zijn.

Die tweede toestemming maakt dat als we in de zorg overgaan van papier naar digitaal, er minder informatie beschikbaar is. Er zijn dan in feite twee toestemmingen. De eerste toestemming voor het doorbreken van beroepsgeheim, waarop uitzonderingen zijn zoals betrokkenheid bij de behandeling en acute zorg. En de tweede toestemming voor elektronische gegevensuitwisseling waarop geen enkele uitzondering is.

Die tweede toestemming wordt tegen het licht gehouden, zo staat in de genoemde brief. Een aantal mensen reageerde naar mij met de zorg dat privacy te grabbel wordt gegooid. Ik begrijp die zorg. Maar als de tweede toestemming niet zou bestaan, is de eerste er nog wel. En die is voor zorgverleners heel precies. Wie zonder grond beroepsgeheim doorbreekt kan rekenen op maatregelen. Tuchtrechtelijk, maar bijvoorbeeld ook in sommige gevallen ontslag. Daarom gaan – de meeste – zorgprofessionals zo precies om met gegevensdeling.

Het zou wel goed zijn als die gegevensdeling transparant zou zijn. Daarom is in de normen voor logging van toegang tot medische gegevens opgenomen dat deze inzichtelijk moeten zijn voor patiënten. Ik zou dat wel tof vinden: een signaal in mijn MedMij-gecertificeerde Persoonlijke Gezondheidsomgeving dat iemand toegang heeft gehad tot mijn gegevens. Die balans, tussen toegang indien nodig voor behandeling en tegelijkertijd inzicht in logging voor patiënten, vind ik persoonlijk de moeite waard om te onderzoeken.

Met nog steeds bescherming van de privacy voorop. Want privacy en gegevensdeling kunnen - en moeten wat mij betreft - samen gaan.

De afgelopen weken gonsden de sociale media van onrust en onzekerheid over de AVG. Mogen artsen nog wel mailen met hun patiënten? En hoe zit het met de fax? En wat als mensen het zelf willen?

De AVG verandert niet zoveel
Het goede nieuws: de AVG verandert daar niet zoveel aan. Mensen krijgen meer rechten (zoals het recht op vergetelheid en de mogelijkheid om digitale data die over hen gaan op te halen en naar een ander te brengen) en de toezichthouders krijgen meer mogelijkheden voor handhaving en het opleggen van sancties zoals boetes.

Maar de eisen aan gegevensbescherming veranderen niet ingrijpend. Wat al onder de WBP ter discussie stond blijft dat ook onder de AVG. Iedere professional of organisatie die gegevens vastlegt en uitwisselt moet daarin, op basis van privacy by design, een eigen afweging maken. Begrijpelijk is wel dat hogere boetes er toe leiden dat overwegingen uit het verleden nog eens tegen het licht worden gehouden.

En mail dan?
Laten we mail als voorbeeld gebruiken. Dat is niet zo veilig, zo schrijft Nictiz in een rapport uit 2015:

“E-mail is uitgevonden in het prille begin van internet. Het ontwerp heeft in het geheel geen rekening gehouden met beveiliging. Een e-mail is te vergelijken met een ansichtkaart die iedereen die hem door de handen gaat kan lezen of zelfs veranderen. Iedereen die een ansicht verstuurt weet dat.”

Maar niet iedereen die een e-mail stuurt weet dat die leesbaar is voor alle partijen in de bezorging. Mensen mogen er zelf voor kiezen, maar voor professionals is het verstandig om te overwegen of het beroepsgeheim niet in gevaar komt als ze ook antwoorden met een digitale ansichtkaart. Ook bij faxen worden fouten gemaakt (de verhalen van faxen die op foute bureaus belanden haalden in het verleden regelmatig de pers), maar tussen zender en ontvanger is afluisteren een stuk moeilijker. Het gaat vooral om de bewuste afweging dus.

Veilig mailen kan!
Veel zorgorganiaties kiezen al bewust voor veiligere mail. Zo kreeg ik als vader recent een mail over één van mijn dochters die via een beveiligde omgeving tot mij kwam. Minder makkelijk, maar ik begreep – zeker gezien de inhoud – dat de organisatie daarvoor gekozen had. Ik hoop wel dat er ook standaarden komen waardoor al die verschillende oplossingen met elkaar kunnen praten en er een landelijk dekkende oplossing voor veilige mail komt. Voor alle professionals, voor alle mensen.

Deze bijzondere week stond in het teken van "van buiten naar binnen". Maandag, de dag dat ook het Informatieberaad vergaderde, vonden weer honderden bezoekers hun weg naar VWS voor de tweede MeetUp. Tientallen professionals, patiënten en anderen organiseerden workshops om hun eigen ideeën verder te brengen of problemen van oplossingen te voorzien. En natuurlijk #patientsincluded en #doctorsincluded, want dat is hoe wij werken.

Dat gold ook voor de beleidshackaton over big data in de zorg waar we donderdag ons gebouw voor openden. Drie groepen, samengesteld uit verschillende disciplines en natuurlijk #patientsincluded en #doctorsincluded, werkten de hele dag aan concrete voorstellen voor beleid dat big data in de zorg verder helpt. Ze kwamen met voorstellen die helpen en aan het denken zetten. Over opleidingen en arbeidsmarktbeleid, over ethische commissies voor big data toepassingen en ook over de patiënt aan het roer. Ze waren zelf ook verrast over onze durf om zo #vanbuitennaarbinnen te werken. Thomas Sanders, één van de aanwezigen, beschreef dat heel mooi. Hij zat in het winnende team en beschrijft hun voorstel:

Mensen hebben veel data over hun gezondheid. Deze data kunnen zijn opgeschreven door een arts in het medisch dossier, of verzameld door de gebruiker zelf met behulp van smart wearables. Door deze data aan elkaar te koppelen, worden nieuwe inzichten gecreëerd over iemands gezondheid. Deze inzichten zijn nuttig voor zowel de patiënt, de arts als de wetenschap. De arts kan een duidelijk overzicht krijgen in de gezondheid van zijn patiënt zodat er tijdens het consult meer aandacht kan worden besteed aan de patiënt en minder aan het afwerken van vragenlijsten. Daarnaast kan er met al deze extra gezondheidsdata beter onderzoek gedaan worden met data science wat tot nieuwe medische inzichten kan leiden. Centraal hierin staat het idee dat de gebruiker zelf eigenaar is: hij bepaalt zelf welke medische experts toegang hebben tot zijn gegevens en beslist zelf welke onderzoeken zijn data mogen gebruiken (dynamic consent). Op deze manier draagt iedereen zijn byte-je bij aan een betere zorg.

Zo koppelt het winnende team regie op eigen gezondheid (en het afsprakenstelsel MedMij waarmee elke Nederlander binnenkort dat ook echt in de praktijk kan brengen) aan vooruitgang met Big Data. Daar gaan we zeker iets mee doen!

Want gebrek aan big data is levensbedreigend, zo zei ook Hans de Jong, president van Philips Nederland deze week. Hij roept op om te komen tot grotere integrale systemen, waarin alle data (gecodeerd) aanwezig is. Is dat wel de beste oplossing, zo vraag ik mij oprecht af. Privacy is geen drempel, maar een katalysator voor innovatie. Nederlandse wetenschappers als André Dekker en Barend Mons publiceerden onderzoek waaruit blijkt dat big data toepassingen ook kunnen op data die niet op één plek aanwezig is. Ze ontwikkelden dit verder tot het concept van de Personal Health Train. Het idee is om niet de data naar het algoritme te brengen, maar het algoritme naar de data. In de zorg vinden er nu verschillende beproevingen mee plaats. Zelfs het World Economic Forum is enthousiast, vanwege de potentie voor bijvoorbeeld Value Based Health Care. Zo enthousiast dat in oktober aan alle betrokken landen over de "Dutch approach" zal worden verteld.

Het was, kortom, een bijzondere week waarin Nederlandse aanpakken en initiatieven samen kwamen en elkaar versterkten: #patientsincluded en #doctorsincluded werken, denken vanuit mensen en hun regie op gezondheid, ruimte voor big data met privacy als katalysator voor innovatie en met twee nieuwe exportproducten als het resultaat daarvan: MedMij en Personal Health Train. Ik ben #trots op iedereen die daaraan werkt om zo de zorg verder te brengen!

Afgelopen week was ik op Malta voor de Europese eHealth week. Daar woonde ik een vergadering bij van het eHealth Network. In dat netwerk wordt langzaam maar wel gestaag gewerkt aan de verbetering van uitwisseling van medische informatie over grenzen heen. Bijvoorbeeld handig als je op vakantie medische zorg nodig hebt of een herhaalrecept.

Tijdens de daarop volgende conferentie maakten we concrete afspraken om samen dingen op te pakken met Duitsland, Estland, België en andere landen. Zo gaan we kijken of bepaalde standaarden niet alleen in Nederland maar ook in andere landen de basis kunnen vormen voor innovatie. Ook zullen we spreken over manieren om de voordelen van big data te combineren met aandacht voor ethiek en privacy. Want daar is veel behoefte aan.

Juist daarom was ik zo verbaasd over een toespraak op de conferentie van een Europese minister. Verwijzend naar debatten over de prijzen van geneesmiddelen suggereerde hij dat het beschikbaar maken van data uit de zorg voor fabrikanten van geneesmiddelen gekoppeld zou kunnen worden aan eisen ten aanzien van verlaging van prijzen. Informatie is macht, dat schreef de WRR al. Maar dat het verstrekken van data ook als onderhandelingsinzet zou worden genoemd, dat had ik niet verwacht!