Na de zitting op 15 oktober 2019 deed de rechtbank Midden-Nederland uitspraak in beide beroepszaken van Burgerrechtenvereniging Vrijbit tegen de toezichthouder AP. Waarbij het ging omdat AP  weigerde handhavend op te treden tegen de beheerder van het EPD-LSP systeem (VZVZ) en de landelijke apothekers over de wijze waarop mensen werden aangemeld in het landelijk uitwisselingssysteem EPD-LSP zonder dat zij daarvoor toestemming hadden gegeven.

De zaken betreffen op hoofdpunten:

De concrete casussen van personen die tegen hun uitdrukkelijke wil in toch bleken te zijn aangemeld in het EPD-LSP systeem, waarmee hun medische gegevens landelijk kunnen worden ingezien door alle professionele zorgverleners en zorgverlenende instellingen.

De structurele problemen van het mogen aanmelden, door huisartsen en apothekers, van personen na mondelinge toestemming.

Het jarenlang verstrekken van onjuiste informatie over het systeem, waardoor alle gegeven toestemmingen in feite onrechtmatig verkregen werden.

 De manier waarop de beheerder van het systeem, VZVZ, alle verantwoordelijkheid inzake onrechtmatige aanmeldingen systematisch ontduikt en op conto van de aanmeldende zorgverleners afschuift.

De afwezigheid van een notificatieplicht tegenover patiënten die worden aangemeld, waardoor in de huidige situatie iedereen die niet wil dat zijn of haar medische gegevens via het systeem worden uitgewisseld in principe gedwongen zijn om dagelijks te controleren of men niet toch in het systeem is geregistreerd.

Het ontbreken van een fatsoenlijk loggingsysteem waarmee gecontroleerd kan worden op grond van welke info en hoe geregistreerden toestemming zouden hebben verleend.

En in concreto de aanklacht van Vrijbit dat de toezichthouder bescherming persoonsgegevens, op alle mogelijke manieren obstructie pleegde om de kwestie aan te pakken, onvoldoende onderzoek deed naar de feitelijke misstanden, en halsstarrig blijft weigeren om op te treden tegen een systeem waarbij grootschalig de gevoelige medische gegevens van personen (kunnen) worden uitgewisseld tussen zorgverleners die totaal niks met iemands behandeling te maken hebben.

De uitspraak in de zaken betreffende VZVZ en de landelijke apothekers is teleurstellend. 

Download uitspraak handhavingsverzoek 1

Download uitspraak handhavingsverzoek 2

Vrijbit concludeert dat alle aangedragen bezwaren en klachten in de procedure wel zijn behandeld, maar dat het teleurstellend is dat (op dit moment) slechts op een enkel punt handhavend optreden door de AP noodzakelijk werd geacht. Zodat nog steeds voorzien moet worden in een aantal aanpassingen van de toestemmingsprocedure. Omdat het uitwisselen van medische gegevens via het EPD-LSP enkel geoorloofd is wanneer de betrokkene daar uitdrukkelijk toestemming voor heeft gegeven en de praktijk uitwijst dat het nog steeds mogelijk blijkt dat medische data van personen die géén toestemming gaven toch kunnen worden uitgewisseld via het EPD- LSP.

VZVZ komt weg met de redenering dat zij nu correcte voorlichting geven, af en toe een steekproef doen en als beheerder van het systeem zich verder niet verantwoordelijk achten.

De enkele apothekers die zich apert schuldig hadden gemaakt aan onrechtmatige aanmeldingen kregen gelegenheid om bij de duizenden opt-in registraties mensen opnieuw om toestemming te vragen de apotheek die in de voorlichting zelfs niet had aangegeven dat het om het LSP ging komt weg met een nieuw ‘toestemmingsformulier’ waar dat wel op vermeld wordt. Andere apotheken die allemaal tot eind 2018 gemankeerde info gaven zijn verder niet onderzocht of benaderd. Van een van de personen die nooit toestemming gaf blijft AP stug volhouden dat dat wel zo is… waarbij de rechtbank constateerde dat schriftelijk toestemming verlenen niet HOEFT van de wet en het dus per definitie een welles nietes kwestie blijft als een apotheker iemand tegen zijn zin in aanmeld en volhoudt dat deze persoon daar toestemming toe verleende.

En, net als in de zaak Jongejan versus de IGJ, worden mensen die ontdekten dat ze in het systeem zijn terechtgekomen als niet belanghebbend beoordeeld zodra zij hun BSN uit het EPD-LSP hebben laten verwijderen.

Toch heeft Vrijbit niet voor niks jarenlang geïnvesteerd in de handhavingsverzoeken (en tijdrovende bezwaarprocedures & beroepszaken). Voor de voorgeschiedenis zie ….

Dat alle inzet, ondanks de teleurstellende uitspraak, niet tevergeefs is geweest concluderen wij omdat door de procedure in elk geval de kwintessens boven tafel is gekomen: namelijk dat het hele toestemmingssysteem basaal niet goed functioneert en niet controleerbaar is, omdat er geen standaard correcte uitgewerkte loggingsprocedure bestaat voor verleende toestemmingen.

Waar onderhavige beroepsprocedures waren geënt op de handhavingsverzoeken die in 2017  werden ingediend bij het toenmalige College Bescherming Persoonsgegevens, geldt in de huidige situatie dat de huidige AGV ( de nieuwe wet bescherming persoonsgegevens) inmiddels wel verplicht tot een goede logging procedure in de toekomst.

We gaan er dan ook vanuit dat de uitkomsten van onderhavige beroepszaken zullen worden meegenomen in het nu lopende overleg, bij onder andere de toezichthouder en het ministerie, over de herziening van het systeem voor informatie uitwisseling in de zorg.