Onderzoek CBP: LSP technisch en organisatorisch goed geregeld

akkoord instemmingHet College bescherming persoonsgegevens (CBP) constateert na 1 jaar onderzoek naar het Landelijk Schakelpunt (LSP) dat de verwerking van de gegevens via het LSP conform de Wet bescherming persoonsgegevens (Wbp) verloopt. Op enkele administratieve punten bestond volgens het CBP ruimte voor verbetering, die meteen is doorgevoerd. Voor patie?nten en zorgverleners is het belangrijk dat zij kunnen beschikken over een veilige wijze van elektronische gegevensuitwisseling. Voor het LSP is nu vastgesteld dat er voldoende technische en organisatorische waarborgen en maatregelen zijn ingericht om ervoor te zorgen dat alleen medische gegevens worden uitgewisseld van mensen die hiervoor uitdrukkelijke toestemming hebben gegeven. Van de beschikbare systemen in Nederland is het LSP het eerste uitwisselingssysteem dat nu grondig is onderzocht.

Zorgvuldig onderzoek
Het CBP startte in november 2013 een onderzoek in het kader van haar rol als toezichthouder op de naleving van de Wbp. Het CBP heeft getoetst of en in hoeverre VZVZ als verantwoordelijke en beheerder van het LSP zich houdt aan de Wbp. Naast de verwerking van de gegevens heeft het CBP vooral gekeken naar het proces van toestemming geven. Een uitgebreid schriftelijk onderzoek werd gevolgd door een toets in de praktijk, een steekproef van 149 dossiers. Het CBP stelt vast dat VZVZ voldoende technische en organisatorische waarborgen heeft getroffen om te bewerkstelligen dat alleen persoonsgegevens verwerkt worden van patie?nten die daarvoor aan hun zorgaanbieder een rechtsgeldige toestemming hebben verleend.

Aantoonbare toestemming
In een steekproef van 149 willekeurige dossiers moest VZVZ aantonen dat de toestemming volgens de regels was verkregen. Omdat de toestemming via de zorgverleners wordt verkregen en vastgelegd, heeft het onderzoek zich gericht op het aantoonbaar maken van de op juiste wijze verkregen toestemming door zorgaanbieders. In alle gevallen beschikten zorgverleners aantoonbaar over een toestemming van de patie?nt. In acht gevallen was dat tijdens het opstellen van de CBP-bevindingen nog niet voldoende rechtsgeldig aangetoond. VZVZ heeft samen met de zorgverleners intussen ook deze laatste gevallen in overeenstemming met de Wbp afgehandeld.

Administratief
Uit het verstrekte bewijsmateriaal door de zorgverleners is gebleken dat het in die gevallen alleen ging om verbeteringen van administratieve en informatieve aard. Patie?nten hebben bewust toestemming gegeven, maar soms een formulier niet helemaal volledig ingevuld. Zo ontbrak bijvoorbeeld in een geval de datum van ondertekening van de toestemming. In enkele andere gevallen kon niet met zekerheid worden aangetoond dat de informatiefolder persoonlijk aan de patie?nt was overhandigd voorafgaand aan de toestemming, omdat de zorgverlener daarvan geen registratie had gedaan. Waar het ter controle nodig was, bevestigden patie?nten zonder omhaal hun eerder gegeven toestemming. Tijdens het onderzoek bestonden er dus nog enkele gevallen, waarvan de aantoonbaarheid nog niet voldoende was. Nu is daar na controle geen sprake meer van.

Bevestiging
Het onderzoek van het CBP bevestigt dat VZVZ de toestemmingsprocedure en de controle daarop technisch en organisatorisch voldoende heeft geregeld. Ook voor het overige voldoet VZVZ aan de Wbp. Het LSP is het eerste uitwisselingssysteem van medische gegevens dat het CBP zo grondig heeft onderzocht. Patie?nten die toestemming willen geven, weten nu dus dat het ook formeel goed zit.