Privacy voor huisartsen Bart van der Sloot Instituut

Privacy voor huisartsen Bart van der Sloot Instituut voor Informatierecht Universiteit van Amsterdam

Overzicht • 1. Privacy en gegevensbescherming • 2. Privacy • 3. Gegevensbescherming • 4. Vragen/discussie

1. Privacy en gegevensbescherming

Privacy en gegevensbescherming Artikel 7: Eenieder heeft recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie. Artikel 8 - Bescherming van persoonsgegevens 1. Eenieder heeft recht op bescherming van de hem betreffende persoonsgegevens. 2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemmingvan de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan. 3. Een onafhankelijke autoriteit ziet toe op de naleving van deze regels.

2. Privacy

Artikel 8 EVRM ARTIKEL 8 Recht op eerbiediging van privé-, familie- en gezinsleven 1. Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie. 2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.

Privacy als grondrecht • 1. Individueel recht • 2. Individueel belang (waardigheid, autonomie en vrijheid) • 3. Belangenafweging met publieke belangen

Persoonlijkheidsrecht • X/ICELAND: The right to respect for private life does not end there. It comprises also, to a certain degree, the right to establish and to develop relationships with other human beings, especially in the emotional field for the development and fulfillment of one's own personality. • Ook positieve plichten staat

Zeer brede interpretatie • • • Een aantal voorbeelden: Recht op reputatie, eer en goede naam Recht om te trouwen en een gezin te stichten Recht op een eerlijk proces (voor zover gerelateerd aan Artikel 8 EVRM) Recht op privacy van bedrijven Recht op eigendom en werk Recht op onderwijs in eigen taal Recht op een verblijfsvergunning Recht op de bescherming van minderheidsidentiteit Recht op gegevensbescherming Recht op een gezonde leefomgeving Recht op bescherming van lichamelijke integriteit

Medische zaken • Uitgangspunten: – Menselijke waardigheid – Autonomie – Quality of life • Toepassing o. a. op: – Recht op abortus – Gedwongen sterilisatie – Gedwongen vaccinatie – Gedwongen medische behandeling – Gedwongen voeding

Levenseinde • Recht op een waardig levenseinde • Recht op hulp bij zelfdoding • Recht om te weten welke voorwaarden er van toepassing zijn • Autonomie als leidend principe • Quality of life als primair subjectief begrip • Afgewogen tegen publieke belang

3. Gegevensbescherming

Uitgangspunten • Van toepassing als persoonsgegevens worden verwerkt door een verantwoordelijke: • persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon; • verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;

Uitgangspunten • verantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of te zamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt;

BW Boek 7 titel 7 (opdracht) afdeling 5 (WGBO) Artikel 454 1. De hulpverlener richt een dossier in met betrekking tot de behandeling van de patiënt. Hij houdt in het dossier aantekening van de gegevens omtrent de gezondheid van de patiënt en de te diens aanzien uitgevoerde verrichtingen en neemt andere stukken, bevattende zodanige gegevens, daarin op, een en ander voor zover dit voor een goede hulpverlening aan hem noodzakelijk is. 2. De hulpverlener voegt desgevraagd een door de patiënt afgegeven verklaring met betrekking tot de in het dossier opgenomen stukken aan het dossier toe. 3. Onverminderd het bepaalde in artikel 455, bewaart de hulpverlener de bescheiden, bedoeld in de vorige leden, gedurende vijftien jaren, te rekenen vanaf het tijdstip waarop zijn vervaardigd, of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit.

EPD & LSP • Hoe staat het met de verantwoordelijkheid over de beveiliging en correctheid van het dossier in het EDP en LSP? • Zie ook: KNMG-advies ‘Overdracht patiëntendossier bij verandering van huisarts, een actualisering’. KNMG, Utrecht juni 2007

Legitimiteit Artikel 6 WBP Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. Artikel 7 WBP Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld.

Doelrestrictie Artikel 9 WBP Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. De verwerking van persoonsgegevens blijft achterwege voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift daaraan in de weg staat.

Wet Big Artikel 88 Een ieder is verplicht geheimhouding in acht te nemen ten opzichte van al datgene wat hem bij het uitoefenen van zijn beroep op het gebied van de individuele gezondheidszorg als geheim is toevertrouwd, of wat daarbij als geheim te zijner kennis is gekomen of wat daarbij te zijner kennis is gekomen en waarvan hij het vertrouwelijke karakter moest begrijpen.

Wgbo Artikel 457 1. Onverminderd het in artikel 448 lid 3, tweede volzin, bepaalde draagt de hulpverlener zorg, dat aan anderen dan de patiënt geen inlichtingen over de patiënt dan wel inzage in of afschrift van de bescheiden, bedoeld in artikel 454, worden verstrekt dan met toestemming van de patiënt. Indien verstrekking plaatsvindt, geschiedt deze slechts voor zover daardoor de persoonlijke levenssfeer van een ander niet wordt geschaad. De verstrekking kan geschieden zonder inachtneming van de beperkingen, bedoeld in de voorgaande volzinnen, indien het bij of krachtens de wet bepaalde daartoe verplicht. 2. Onder anderen dan de patiënt zijn niet begrepen degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandelingsovereenkomst en degene die optreedt als vervanger van de hulpverlener, voor zover de verstrekking noodzakelijk is voor de door hen in dat kader te verrichten werkzaamheden. 3. Daaronder zijn evenmin begrepen degenen wier toestemming ter zake van de uitvoering van de behandelingsovereenkomst op grond van de artikelen 450 en 465 is vereist. Indien de hulpverlener door inlichtingen over de patiënt dan wel inzage in of afschrift van de bescheiden te verstrekken niet geacht kan worden de zorg van een goed hulpverlener in acht te nemen, laat hij zulks achterwege.

Voorbeeld • Niet uitbesteden van gegevensopslag of – verwerking • Apotheken veroordeeld voor uitbesteden maken patiëntprofielen door tena ten behoeve van het verkopen van incontinentiemateriaal

Data minimalisatie Artikel 10 Persoonsgegevens worden niet langer bewaard in een vorm die het mogelijk maakt de betrokkene te identificeren, dan noodzakelijk is voor de verwerkelijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt.

WGBO Artikel 454 1. De hulpverlener richt een dossier in met betrekking tot de behandeling van de patiënt. Hij houdt in het dossier aantekening van de gegevens omtrent de gezondheid van de patiënt en de te diens aanzien uitgevoerde verrichtingen en neemt andere stukken, bevattende zodanige gegevens, daarin op, een en ander voor zover dit voor een goede hulpverlening aan hem noodzakelijk is. 2. De hulpverlener voegt desgevraagd een door de patiënt afgegeven verklaring met betrekking tot de in het dossier opgenomen stukken aan het dossier toe. 3. Onverminderd het bepaalde in artikel 455, bewaart de hulpverlener de bescheiden, bedoeld in de vorige leden, gedurende vijftien jaren, te rekenen vanaf het tijdstip waarop zijn vervaardigd, of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit. In 2004 adviseerde de Gezondheidsraad de termijn te verlengen tot minstens dertig jaar.

WGBO Artikel 455 1. De hulpverlener vernietigt de door hem bewaarde bescheiden, bedoeld in artikel 454, binnen drie maanden na een daartoe strekkend verzoek van de patiënt. 2. Lid 1 geldt niet voor zover het verzoek bescheiden betreft waarvan redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk belang is voor een ander dan de patiënt, alsmede voor zover het bepaalde bij of krachtens de wet zich tegen vernietiging verzet.

Proportioneel en niet bovenmatig Artikel 11 Persoonsgegevens worden slechts verwerkt voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn.

Voorbeeld • EPD & LSP • Het CBP concludeert dat de gemeenten in het kader van de uitvoering van de Wet Maatschappelijke Ondersteuning (WMO) bovenmatig persoonsgegevens verwerkt, omdat zij bij elke Wmo-aanvraag de naam van de specialist van de aanvrager en informatie over het medicijngebruik opvraagt, terwijl deze informatie niet voor de beoordeling van elke Wmo-aanvraag relevant is.

Technische en organisatorische maatregelen Artikel 13 De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.

Nen normen - Nederlands Normalisatie-instituut • De NEN 7510 stelt de volgende eis: “Informatiesystemen, die patiëntgegevens verwerken, behoren authenticatie toe te passen op basis van ten minste twee afzonderlijke kenmerken. ” Daarbij wordt eveneens verwezen naar NEN 7512. • Ook uit NEN 7512 (2005) kan worden afgeleid dat twee -factor authenticatie (bijvoorbeeld een chipcard in combinatie met een pincode) in dit geval een vereiste is. • NEN 7513 vereist dat er moet worden gecontroleerd wie er welke dossiers heeft geraadpleegd.

Technische verantwoordelijkheid • Huisartsen zijn veroordeeld voor – het schenden van twee-factor-authenticatieplicht – voor het niet hebben van een unieke gebruikersindentificatie. – Voor het niet controleren en registreren wie er toegang tot de dossiers heeft gekregen. – Fysieke dossiers moeten ook worden beveiligd.

Toegang tot digitale patiëntendossiers binnen zorginstellingen (CBP-rapport) Zorginstellingen moeten volgens de wet technologische en organisatorische maatregelen treffen om onbevoegde toegang tot medische gegevens door medewerkers binnen een zorginstelling te voorkomen. Daarnaast moeten zij bijhouden (loggen) en controleren wie welke dossiers raadpleegt. Hiermee kan onbevoegde toegang worden opgespoord en kan een zorginstelling hier tegen in het geweer komen. Op dit moment zijn zowel de technologische en organisatorische maatregelen áls de logging en controle bij geen van veel instellingen zodanig dat uitsluitend bevoegde medewerkers toegang hebben tot patiëntgegevens en dat onbevoegde toegang kan worden achterhaald. `VIP's', bekende Nederlanders, maar bijvoorbeeld ook leden van de Raad van Bestuur van de instelling zelf, hebben in de onderzochte instellingen vaak wél meer bescherming tegen onrechtmatige toegang tot hun medische gegevens. Deze mate van bescherming komt op grond van de wet aan iedere patiënt toe.

Online aanvragen (CBP-rapport) Online aanvragen voor herhaalrecepten worden vaak over een onbeveiligde verbinding verzonden. Dit concludeert het CBP na een steekproef onder 150 websites van huisartsen en apotheken. Bijna een derde van de sites bleek op dit punt onbeveiligd. Hierdoor kunnen anderen de gevoelige, medische gegevens relatief eenvoudig meelezen, verwijderen of aanpassen

Interne toegangsbeveiliging patiëntgegevens RPZ-ziekenhuis onvoldoende (CBP-rapport) Mededeling, 20 september 2012: Het Ruwaard van Putten Ziekenhuis heeft onvoldoende beveiligingsmaatregelen getroffen om ervoor te zorgen dat uitsluitend bevoegde ziekenhuismedewerkers toegang hebben tot de elektronische patiëntendossiers. Dat concludeert het CBP na onderzoek. Het ziekenhuis overtreedt hiermee de Wbp. Alleen medewerkers die rechtstreeks betrokken zijn bij de behandeling van een patiënt mogen toegang hebben tot diens medische gegevens. Andere medewerkers van het ziekenhuis mogen slechts patiëntendossiers raadplegen als dit noodzakelijk is voor de uitoefening van hun functie. Uit het onderzoek blijkt dat het ziekenhuis de elektronische patiëntendossiers niet zodanig heeft ingericht dat onrechtmatige toegang door ziekenhuismedewerkers wordt voorkomen. Het ontbreekt bij het ziekenhuis aan maatregelen voor toegangsbeleid voor de patiëntgegevens volgens de wettelijk voorgeschreven beveiligingsnormen.

Verwerkingsgronden Artikel 8 WBP Persoonsgegevens mogen slechts worden verwerkt indien: a. de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend; b. de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst; c. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is; d. de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene; e. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, of f. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

Bijzondere persoonsgegevens Artikel 16 WBP: De verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden behoudens het bepaalde in deze paragraaf. Hetzelfde geldt voor strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag.

Uitzonderingen Artikel 23 WBP 1. Onverminderd de artikelen 17 tot en met 22 is het verbod om persoonsgegevens als bedoeld in artikel 16, te verwerken niet van toepassing voor zover: a. dit geschiedt met uitdrukkelijke toestemming van de betrokkene; b. de gegevens door de betrokkene duidelijk openbaar zijn gemaakt; c. dit noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte; d. dit noodzakelijk is ter voldoening aan een volkenrechtelijke verplichting of e. dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het College ontheffing heeft verleend. Het College kan bij de verlening van ontheffing beperkingen en voorschriften opleggen.

Minderjarigen Artikel 5 Indien de betrokkene minderjarig is en de leeftijd van zestien jaren nog niet heeft bereikt, of onder curatele is gesteld, dan wel ten behoeve van de betrokkene een mentorschap is ingesteld, is in de plaats van de toestemming van de betrokkene die van zijn wettelijk vertegenwoordiger vereist.

Extra bescherming • Bijvoorbeeld in verband met het delen van informatie over kinderen met Justitie of kinderbescherming. • Voorbeeld: CBP heeft veiligheidshuizen veroordeeld (artikel 5 +11) voor het delen van informatie met de politie, raad voor de kinderbescherming, bureau jeugdzorg, Halt en gemeenten.

Toestemming Artikel 1: toestemming van de betrokkene: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt; Artikel 8: ondubbelzinnige toestemming Artikel 23: uitdrukkelijke toestemming

Richtlijnen inzake het omgaan met medische gegevens- KNMG, 2010 Op grond van de artikelen 7: 448 en 7: 450 BW moet de patiënt op duidelijke wijze geïnformeerd worden over het voorgenomen onderzoek of de voorgenomen behandeling. De patiënt kan op basis van die informatie besluiten toestemming te geven voor een behandeling. Met het oog op de kwaliteit en de continuïteit van zorg noteert de arts in het dossier of en welke informatie is gegeven. Ook mag in het dossier worden vastgelegd of de patiënt toestemming heeft gegeven voor de behandeling. Op verzoek van de patiënt moet de arts noteren voor welke verrichtingen van ingrijpende aard toestemming is gegeven (artikel 7: 451 BW). Dit geldt alleen voor verrichtingen van ingrijpende aard. Het is dus niet verplicht om op verzoek van de patiënt elke vorm van toestemming in het dossier te noteren. Dat mag overigens wel. Ook mag in het dossier opgenomen worden voor welke verrichtingen de patiënt geen toestemming heeft gegeven.

WGBO Artikel 448 1. De hulpverlener licht de patiënt op duidelijke wijze, en desgevraagd schriftelijk in over het voorgenomen onderzoek en de voorgestelde behandeling en over de ontwikkelingen omtrent het onderzoek, de behandeling en de gezondheidstoestand van de patiënt. De hulpverlener licht een patiënt die de leeftijd van twaalf jaren nog niet heeft bereikt op zodanige wijze in als past bij zijn bevattingsvermogen. 2. Bij het uitvoeren van de in lid 1 neergelegde verplichting laat de hulpverlener zich leiden door hetgeen de patiënt redelijkerwijze dient te weten aanzien van: – a. de aard en het doel van het onderzoek of de behandeling die hij noodzakelijk acht en van de uit te voeren verrichtingen; – b. de te verwachten gevolgen en risico’s daarvan voor de gezondheid van de patiënt; – c. andere methoden van onderzoek of behandeling die in aanmerking komen; – d. de staat van en de vooruitzichten met betrekking tot diens gezondheid voor wat betreft het terrein van het onderzoek of de behandeling. 3. De hulpverlener mag de patiënt bedoelde inlichtingen slechts onthouden voor zover het verstrekken ervan kennelijk ernstig nadeel voor de patiënt zou opleveren. Indien het belang van de patiënt dit vereist, dient de hulpverlener de desbetreffende inlichtingen aan een ander dan de patiënt te verstrekken. De inlichtingen worden de patiënt alsnog gegeven, zodra bedoeld nadeel niet meer te duchten is. De hulpverlener maakt geen gebruik van zijn in de eerste volzin bedoelde bevoegdheid dan nadat hij daarover een andere hulpverlener heeft geraadpleegd.

WGBO Artikel 450 1. Voor verrichtingen ter uitvoering van een behandelingsovereenkomst is de toestemming van de patiënt vereist. 2. Indien de patiënt minderjarig is en de leeftijd van twaalf maar nog niet die van zestien jaren heeft bereikt, is tevens de toestemming van de ouders die het gezag over hem uitoefenen of van zijn voogd vereist. De verrichting kan evenwel zonder de toestemming van de ouders of de voogd worden uitgevoerd, indien zij kennelijk nodig is teneinde ernstig nadeel voor de patiënt te voorkomen, alsmede indien de patiënt ook na de weigering van de toestemming, de verrichting weloverwogen blijft wensen. 3. In het geval waarin een patiënt van zestien jaren of ouder niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake, worden door de hulpverlener en een persoon als bedoeld in de leden 2 of 3 van artikel 465, de kennelijke opvattingen van de patiënt, geuit in schriftelijke vorm toen deze tot bedoelde redelijke waardering nog in staat was en inhoudende een weigering van toestemming als bedoeld in lid 1, opgevolgd. De hulpverlener kan hiervan afwijken indien hij daartoe gegronde redenen aanwezig acht.

WGBO Artikel 451 Op verzoek van de patiënt legt de hulpverlener in ieder geval schriftelijk vast voor welke verrichtingen van ingrijpende aard deze toestemming heeft gegeven.

WGBO Artikel 457 1. Onverminderd het in artikel 448 lid 3, tweede volzin, bepaalde draagt de hulpverlener zorg, dat aan anderen dan de patiënt geen inlichtingen over de patiënt dan wel inzage in of afschrift van de bescheiden, bedoeld in artikel 454, worden verstrekt dan met toestemming van de patiënt. Indien verstrekking plaatsvindt, geschiedt deze slechts voor zover daardoor de persoonlijke levenssfeer van een ander niet wordt geschaad. De verstrekking kan geschieden zonder inachtneming van de beperkingen, bedoeld in de voorgaande volzinnen, indien het bij of krachtens de wet bepaalde daartoe verplicht. 2. Onder anderen dan de patiënt zijn niet begrepen degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandelingsovereenkomst en degene die optreedt als vervanger van de hulpverlener, voor zover de verstrekking noodzakelijk is voor de door hen in dat kader te verrichten werkzaamheden. 3. Daaronder zijn evenmin begrepen degenen wier toestemming ter zake van de uitvoering van de behandelingsovereenkomst op grond van de artikelen 450 en 465 is vereist. Indien de hulpverlener door inlichtingen over de patiënt dan wel inzage in of afschrift van de bescheiden te verstrekken niet geacht kan worden de zorg van een goed hulpverlener in acht te nemen, laat hij zulks achterwege.

EPD & LSP (CBP-rapport) Naar aanleiding van berichtgeving in de media benadrukt het College bescherming persoonsgegevens (CBP) dat opname van persoonsgegevens in het Landelijk Schakelpunt (LSP, voorheen elektronisch patiëntendossier [EPD]) zonder toestemming van de betrokkenen, in strijd is met de wet. Het CBP heeft VZVZ, de verantwoordelijke voor het LSP, recent laten weten dat het handhavingsinstrumenten zal inzetten indien vanaf 1 januari 2013 (nog) persoonsgegevens in het LSP zitten van mensen die hiervoor geen toestemming hebben gegeven. VZVZ heeft naar aanleiding hiervan vandaag bevestigd dat de gegevens van mensen van wie geen toestemming is verkregen voor de uitwisseling van hun medische gegevens, per 1 januari 2013 uit het systeem zullen worden verwijderd.

Eyeworks (CBP-rapport) Eyeworks mag medische gegevens - en opnamen op een spoedeisende hulp vallen hieronder - alleen verwerken als mensen hiervooraf en op basis van gedegen informatie hun ondubbelzinnige en uitdrukkelijke toestemming hebben gegeven. Dat in sommige gevallen achteraf om toestemming is gevraagd is dus niet in overeenstemming met de wet. Daarnaast oordeelt het CBP dat de door het VU medisch centrum en Eyeworks verstrekte informatie die nodig is om rechtsgeldige toestemming te kunnen geven, te summier was. Bovendien kan van rechtsgeldige toestemming geen sprake zijn geweest gezien de omgeving en de situatie waarin de patiënten en hun begeleiders zich bevonden, namelijk op de spoedeisende hulp met een dringende hulpvraag.

Medische gegevens Artikel 21 -1 WBP. Het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door: a. hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening voor zover dat met het oog op een goede behandeling of verzorging van de betrokkene, dan wel het beheer van de betreffende instelling of beroepspraktijk noodzakelijk is; …. . 2. In de gevallen als bedoeld in het eerste lid worden de gegevens alleen verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift, dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht. 3. Het verbod om andere persoonsgegevens als bedoeld in artikel 16 te verwerken, is niet van toepassing voor zover dit noodzakelijk is in aanvulling op de verwerking van persoonsgegevens betreffende iemands gezondheid als bedoeld in het eerste lid, onder a, met het oog op een goede behandeling of verzorging van de betrokkene.

Verzuimbedrijven Artikel 23 1. Het verbod om persoonsgegevens betreffende iemands gezondheid te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door: f. bestuursorganen, pensioenfondsen, werkgevers of instellingen die te hunnen behoeve werkzaam zijn voor zover dat noodzakelijk is voor: 1°. een goede uitvoering van wettelijke voorschriften, pensioenregelingen of collectieve arbeidsovereenkomsten die voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene of 2°. de reïntegratie of begeleiding van werknemers of uitkeringsgerechtigden in verband met ziekte of arbeidsongeschiktheid.

KNMG: Gegevensverkeer en samenwerking bij arbeidsverzuim en re-integratie Alleen de volgende medische gegevens verwerken en verstrekken aan werkgevers: • De werkzaamheden waartoe de werknemer nog wel of niet meer in staat is (functionele beperkingen, restmogelijkheden en implicaties voor het soort arbeid dat de werknemer nog kan verrichten); • De verwachte duur van het verzuim; • De mate waarin de werknemer arbeidsongeschikt is (gebaseerd op functionele beperkingen, restmogelijkheden en implicaties voor het soort arbeid dat de werknemer nog kan verrichten); • De eventuele aanpassingen of werkvoorzieningen die de werkgever in het kader van de re-integratie moet treffen.

Bedrijfsarts - Arbowet Artikel 14, lid 1, onder b: “In aanvulling op artikel 13 laat de werkgever zich bij de volgende taken bijstaan door een of meer deskundige personen ten behoeve van wie overeenkomstig artikel 20 een certificaat is afgegeven of die als bedrijfsarts is ingeschreven in een erkend specialistenregister als bedoeld in artikel 14 van de Wet op de beroepen in de individuele gezondheidszorg: […] b. de bijstand bij de begeleiding van werknemers die door ziekte niet in staat zijn hun arbeid te verrichten, met inbegrip van de bijstand bij de uitvoering van bij of krachtens artikel 25, eerste, tweede, derde, vierde en zevende lid van de Wet werk en inkomen naar arbeidsvermogen, dan wel bij of krachtens artikel 71 a, eerste, tweede, derde, vierde en zevende lid, van de Wet op de arbeidsongeschiktheidsverzekering gestelde regels; ”

Wet Big artikel 38 Het is degene die zijn bevoegdheid tot het verrichten van een bij of krachtens de artikelen 36 tot en met 37 omschreven handeling ontleent aan het bij of krachtens die artikelen bepaalde verboden aan een ander opdracht te geven tot het verrichten van die handeling, tenzij: a. in gevallen waarin zulks redelijkerwijs nodig is aanwijzingen worden gegeven omtrent het verrichten van de handeling en toezicht door de op het verrichten van de handeling en de mogelijkheid tot tussenkomst van een zodanig persoon voldoende zijn verzekerd en b. hij redelijkerwijs mag aannemen dat degene aan wie de opdracht wordt gegeven, in aanmerking genomen het onder a bepaalde, beschikt over de bekwaamheid die vereist is voor het behoorlijk verrichten van de handeling. ”

Zorgverzekeraars Artikel 21 lid 1 WBP b. verzekeraars als bedoeld in artikel 1: 1 van de Wet op het financieel toezicht en financiële dienstverleners die bemiddelen in verzekeringen als bedoeld in artikel 1: 1 van die wet, voorzover dat noodzakelijk is voor: 1°. de beoordeling van het door de verzekeraar te verzekeren risico en de betrokkene geen bezwaar heeft gemaakt; of 2°. de uitvoering van de overeenkomst van verzekering; Zie ook: Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars goedgekeurd

WMO & gemeentes - Toestemming: De gemeente vraagt af en toe inlichtingen op bij de huisarts op basis van een toestemmingsverklaring op het aanvraagformulier waarin de aanvrager verklaart ‘geen bezwaar te hebben dat medewerkers van de gemeente zonodig gegevens opvragen bij een arts’. Dit is geen aparte machtiging voor het opvragen van medische gegevens; de toestemmingsverklaring maakt integraal onderdeel uit van de ondertekening van de aanvraag. Hierdoor kan de aanvrager het opvragen van zijn gegevens bij een arts door de gemeente niet anders blokkeren dan door het aanvraagformulier niet te ondertekenen en daarmee af te zien van het indienen van de aanvraag. Deze verklaring wordt daarom niet in vrijheid gegeven, waardoor geen sprake is van rechtsgeldige toestemming zoals bedoeld in artikel 23, lid 1 onder a juncto artikel 1 onder i Wbp. De gemeente handelt hierdoor in strijd met artikel 16 Wbp. - Proportionaliteit en noodzakelijkheid - Bescherming van persoonsgegevens - Toegang door personen zonder beroepsgeheim

Rechten en plichten Artikel 33 wbp 1. Indien persoonsgegevens worden verkregen bij de betrokkene, deelt de verantwoordelijke vóór het moment van de verkrijging de betrokkene de informatie mede, bedoeld in het tweede en derde lid, tenzij de betrokkene daarvan reeds op de hoogte is. 2. De verantwoordelijke deelt de betrokkene zijn identiteit en de doeleinden van de verwerking waarvoor de gegevens zijn bestemd, mede. 3. De verantwoordelijke verstrekt nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen.

Rechten en plichten Artikel 35 wbp De betrokkene heeft het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt.

Rechten en plichten Artikel 36 wbp Degene aan wie overeenkomstig artikel 35 kennis is gegeven van hem betreffende persoonsgegevens, kan de verantwoordelijke verzoeken deze te verbeteren, aan te vullen, te verwijderen, of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt. Het verzoek bevat de aan te brengen wijzigingen.

WGBO Artikel 454 1. De hulpverlener richt een dossier in met betrekking tot de behandeling van de patiënt. Hij houdt in het dossier aantekening van de gegevens omtrent de gezondheid van de patiënt en de te diens aanzien uitgevoerde verrichtingen en neemt andere stukken, bevattende zodanige gegevens, daarin op, een en ander voor zover dit voor een goede hulpverlening aan hem noodzakelijk is. 2. De hulpverlener voegt desgevraagd een door de patiënt afgegeven verklaring met betrekking tot de in het dossier opgenomen stukken aan het dossier toe. 3. Onverminderd het bepaalde in artikel 455, bewaart de hulpverlener de bescheiden, bedoeld in de vorige leden, gedurende vijftien jaren, te rekenen vanaf het tijdstip waarop zijn vervaardigd, of zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit.

WGBO Artikel 455 1. De hulpverlener vernietigt de door hem bewaarde bescheiden, bedoeld in artikel 454, binnen drie maanden na een daartoe strekkend verzoek van de patiënt. 2. Lid 1 geldt niet voor zover het verzoek bescheiden betreft waarvan redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk belang is voor een ander dan de patiënt, alsmede voor zover het bepaalde bij of krachtens de wet zich tegen vernietiging verzet.

WGBO Artikel 456 • De hulpverlener verstrekt aan de patiënt desgevraagd zo spoedig mogelijk inzage in en afschrift van de bescheiden, bedoeld in artikel 454. De verstrekking blijft achterwege voor zover dit noodzakelijk is in het belang van de bescherming van de persoonlijke levenssfeer van een ander. De hulpverlener mag voor de verstrekking van het afschrift een redelijke vergoeding in rekening brengen.

WGBO Artikel 451 Op verzoek van de patiënt legt de hulpverlener in ieder geval schriftelijk vast voor welke verrichtingen van ingrijpende aard deze toestemming heeft gegeven.

4. Vragen en discussie