Misbruik EPD voldoende bestraft

Extra sancties bovenop wetsvoorstel hebben geen toegevoegde waarde

De Tweede Kamer wil dat misbruik van het EPD via het strafrecht kan leiden tot schrapping uit het BIG-register. Daartoe moet de Wet EPD worden aangepast. De KNMG heeft per brief kritisch gereageerd.1 Op 15 maart is eerst de Eerste Kamer aan zet.

De Tweede Kamer heeft tijdens de behandeling van het wetsvoorstel EPD aangedrongen op uitbreiding van de sanctiemogelijkheden bij misbruik van patiëntendossiers. Dit vanwege de grote privacyschade en maatschappelijke schade die misbruik van patiëntgegevens door een zorgverlener kan veroorzaken.

Op 25 oktober 2010 heeft de kersverse minister van VWS, Edith Schippers, hieraan gevolg gegeven en een wetsvoorstel bij de Tweede Kamer ingediend, dat moet leiden tot aanpassing van het – zoals het officieel heet – wetsvoorstel Kaderwet elektronische zorginformatie-uitwisseling (Wet EPD). De Eerste Kamer behandelt het oorspronkelijke wetsvoorstel op 15 maart. Als de wet wordt aangenomen, zal de Tweede Kamer zich vervolgens buigen over de voorgestelde aanpassingen.

Zorgverleners die niet in het BIG-register voorkomen maar op grond van het wetsvoorstel EPD wel recht op toegang hebben tot patiëntgegevens (art. 34 BIG-beroepen – dit zijn de zogenaamde opleidingstitels) vallen niet onder het medisch tuchtrecht. Tegen hen kan bij een vermoeden van onjuist gebruik van een EPD dus niet worden geklaagd bij de tuchtcolleges. Het wetsvoorstel van minister Schippers houdt in dat BIG-geregistreerde zorgverleners en beoefenaren met een beschermde opleidingstitel van artikel 34 Wet BIG door de strafrechter ‘van de uitoefening van dat beroep (kunnen) worden ontzet’.

De tuchtrechter kan niet aan alle EPD-gebruikers
maatregelen opleggen

In de toelichting op het wetsvoorstel stelt de minister dat misbruik zich kan voordoen in twee strafbare feiten: computervredebreuk (artikel 138a Wetboek van Strafrecht) en opzettelijke schending van de geheimhoudingsplicht (artikel 272 Wetboek van Strafrecht).

Misbruik van patiëntgegevens
In drie recente gevallen was sprake van misbruik van patiëntgegevens door onrechtmatige toegang, maar tot strafrechtelijke vervolging hebben die niet geleid. In juli 2009 bleek in een procedure voor het Haagse Tuchtcollege dat een kno-arts zonder toestemming een patiëntendossier had geraadpleegd om de verjaardag van een patiënt te achterhalen. De arts kreeg daarvoor een waarschuwing. In het tweede geval ging het om een secretaresse bij een ggz-instelling die het patiëntendossier van een familielid had geraadpleegd om te verifiëren of deze zich wel door die instelling liet behandelen. De rechtbank bevestigde in juni 2010 dat de instelling de secretaresse terecht op staande voet had ontslagen.

In december 2010 gaf dezelfde tuchtrechter een waarschuwing aan een psychiater die een psychiatrisch onderzoek verrichtte en zonder toestemming het patiëntendossier raadpleegde om het telefoonnummer en verzekeringsgegevens van de cliënt te achterhalen.

In haar reactie op het wetsvoorstel aan de vaste Kamercommissie, stelt de KNMG dat de omschrijving van ‘misbruik’ van patiëntgegevens onvoldoende werkbaar is in de praktijk. De KNMG waarschuwt ervoor dat artsen daardoor zeer terughoudend zullen worden in het gebruik van het landelijk schakelpunt (LSP). Daardoor zou dit wetsvoorstel een contraproductieve werking kunnen krijgen.

Uitgebreide sancties
Volgens de bestaande wetgeving en het wetsvoorstel EPD kan misbruik van patiëntgegevens straks op verschillende manieren worden bestraft:

1. opleggen van een bestuurlijke boete van maximaal 6700 euro aan een natuurlijke persoon als zorgaanbieder en 35.000 euro aan een instelling als zorgaanbieder;
2. toepassen van bestuursdwang door het College Bescherming Persoonsgegevens (CBP) ter feitelijke beëindiging van een onrechtmatige situatie;
3. een strafrechtelijke boete van 18.500 euro of een gevangenisstraf van één tot vier jaar voor schending van het beroepsgeheim en voor computervredebreuk;
4. opleggen van een maatregel door de tuchtrechter, die als zwaarste tuchtmaatregel de doorhaling van de inschrijving in het register kan opleggen.

Bovenop deze reeds bestaande sancties stelt de regering nu voor dat de strafrechter de mogelijkheid krijgt om als bijkomende straf een beroepsbeoefenaar van het recht te ontzetten om zijn beroep nog langer uit te oefenen als hij opzettelijk het beroepsgeheim schendt of computervredebreuk pleegt ‘voorzover deze gedraging betrekking heeft op patiëntgegevens’. De regering noemt twee argumenten voor deze uitbreiding van sancties. Ten eerste beschouwt zij misbruik van patiëntendossiers als een ernstig vergrijp. Daarmee wordt immers inbreuk gepleegd op de privacy van een persoon waaruit schade kan voortvloeien, maar tevens schaadt dit het vertrouwen in patiëntendossiers (het EPD in het bijzonder) als middel om gegevens uit te wisselen tussen zorgaanbieders. Ten tweede wordt gekozen voor uitbreiding met strafrechtelijke handhaving omdat de tuchtrechter geen maatregelen kan opleggen aan beroepsbeoefenaren die niet in het BIG-register geregistreerd zijn op grond van artikel 3 Wet BIG, maar een beroep uitoefenen als bedoeld in artikel 34 Wet BIG. Zij vallen immers niet onder de reikwijdte van het tuchtrecht, terwijl zij wel toegang kunnen hebben tot patiëntendossiers. Met dit voorstel wordt het mogelijk dat de strafrechter ook deze beroepsbeoefenaren uit hun beroep ontzet.

Uit de toelichting bij het wetsvoorstel blijkt dat nog wordt bekeken of zorginstellingen in het kader van de te leveren ‘verantwoorde zorg’ in de toekomst verplicht kunnen worden om een verklaring omtrent het gedrag (VOG) te laten overleggen door de solliciterende beroepsbeoefenaar. Naar verluidt is dit in het LUMC reeds praktijk. Ook wordt het mogelijk gemaakt dat gegevens over de strafrechtelijke beslissing tot ontzetting van het recht om het beroep uit te oefenen worden verstrekt aan de Inspectie voor de Gezondheidszorg, zodat die daar toezicht op kan uitoefenen.

Onduidelijkheid over
de strafbaarheid leidt tot defensief EPD-gebruik

De sanctiemogelijkheden worden tevens uitgebreid door invoering van de mogelijkheid om aan een beroepsbeoefenaar die in het kader van een instelling werkt ook een bestuurlijke boete op te leggen van maximaal 6700 euro. Tot nu toe kan dat uitsluitend voor natuurlijke personen (beroepsbeoefenaren) die zorgaanbieder zijn en voor instellingen die zorgaanbieder zijn.

Vertrouwelijkheid
De vertrouwelijkheid van medische gegevens, met inbegrip van het collectieve en individuele belang van het medisch beroepsgeheim, is een belangrijke waarborg voor de privacy van patiënten. De voorgestelde maatregel zou het vertrouwen van de burger en ook van artsen in het gebruik van (landelijke en lokale) EPD’s kunnen vergroten. Uit de door Medisch Contact in 2009 gehouden enquête onder KNMG-panelleden (een representatieve steekproef van Nederlandse artsen) blijkt immers dat veel artsen de privacy in het landelijke EPD onvoldoende gewaarborgd vinden.2 De afschrikkende functie van strafrechtelijke handhaving kan preventief (symbolisch) werken door het belang te accentueren van vertrouwelijkheid en de grote privacy- en maatschappelijke schade die misbruik daarvan tot gevolg kan hebben.

Niet duidelijk
Strafrechtelijke handhaving van vertrouwelijkheid kan dus wel degelijk nut hebben. Het staat dan ook al sinds 1881 in art. 272 Wetboek van Strafrecht. Tegelijkertijd vereist strafrechtelijke handhaving wel dat voldoende duidelijk is wat precies strafbaar is. De huidige omschrijving in het wetsvoorstel maakt voor artsen (en andere beroepsbeoefenaren) onvoldoende duidelijk wanneer sprake is van onrechtmatig opvragen, openbaar maken, verspreiden of verstrekken. Ook de toelichting verschaft die duidelijkheid niet. De gekozen formulering kan tot gevolg hebben dat een arts onrechtmatig handelt als die pas na raadpleging van het EPD achteraf tot de conclusie komt dat dit niet noodzakelijk was voor een goede behandeling van de patiënt. Hoewel achteraf kan worden vastgesteld dat deze inzage niet noodzakelijk was is dat moeilijk, zo niet onmogelijk vooraf in te schatten. Er kan bovendien aan getwijfeld worden of een strafrechter achteraf wel kan vaststellen of het inkijken wel of niet noodzakelijk was voor een goede behandeling. Een en ander kan leiden tot een defensief gebruik van het EPD hetgeen toch ook niet de bedoeling kan zijn, mede vanuit het oogpunt van een goede behandeling met voldoende beschikbare informatie over de patiënt.

Ook andere situaties die in de praktijk voor kunnen komen vragen vooraf om de nodige duidelijkheid. Mag een zorgverlener een collega laten meekijken voor advies? Wanneer is er precies sprake van een behandelrelatie, wanneer begint en eindigt die? Mag een maat (uit een maatschap) een dossier inkijken als hij zich zorgen maakt over de professionele kwaliteit van de behandelaar? Kan een zorgverlener altijd (ook in spoedgevallen) zeker weten of een patiënt toestemming heeft gegeven voor het opvragen van gegevens? Wordt een arts ook uit zijn beroep ontzet als een assistente zich onbevoegd toegang verschaft tot het EPD? En wie moet dan wat bewijzen?

Pas als op deze en eventuele andere vragen duidelijke antwoorden zijn gegeven zal het voor een zorgverlener enigszins duidelijk kunnen zijn wat wel en niet van hem mag worden verwacht.

Toegevoegde waarde twijfelachtig
Het valt te betwijfelen of dit wetsvoorstel veel zal veranderen aan de praktijk. Zal het Openbaar Ministerie prioriteit geven aan strafrechtelijke vervolging in geval van verdenking van gegevensmisbruik? Het College van procureurs-generaal heeft weliswaar geen bezwaar tegen het voorstel, aldus de toelichting bij het wetsvoorstel. Maar stel dat het OM een beroepsbeoefenaar al zal vervolgen, hoe eenvoudig zal het dan zijn om bijvoorbeeld de opzet tot schending van de geheimhoudingsplicht te bewijzen? Naar het schijnt is er slechts zelden een arts strafrechtelijk veroordeeld wegens schending van art. 138a of 272 Wetboek van Strafrecht.3 Ten overvloede zij er op gewezen dat een arts of andere beoefenaar van een beroep als bedoeld in artikel 3 Wet BIG, ook tuchtrechtelijk een ontzegging van de uitoefening van een beroep kan worden opgelegd of de doorhaling van de inschrijving in het BIG-register. Zoals ook de Raad van State signaleerde, is de toegevoegde waarde van het wetsvoorstel voor deze groep dan ook niet duidelijk.

Ultimum remedium
Een ander punt van overweging is het feit dat voor strafrechtelijke handhaving wordt gekozen, terwijl het strafrecht van oudsher wordt gezien als ultimum remedium: alleen als er geen andere mogelijkheden zijn zetten we het strafrecht in. Zo wordt geen strafrecht ingezet als handhaving via bijvoorbeeld civiel recht of bestuursrecht mogelijk is. Een vraag is of dat in dit geval is aangetoond. Als een probleem tussen twee partijen (patiënt en arts) kan worden opgelost (schadevergoeding), dan heeft civielrechtelijke handhaving de voorkeur (tenzij de dader onbekend is of sprake is van ongelijke machtspartijen). Er kunnen ook andere maatregelen tegen misbruik van patiëntgegevens worden getroffen, die even effectief kunnen zijn. Dat bleek bijvoorbeeld uit eerdergenoemd geval, waar een secretaresse bij een ggz-instelling het EPD van een familielid misbruikte om te kijken of deze bij de instelling in behandeling was. De kantonrechter oordeelde dat haar ontslag terecht was en hechtte in de uitspraak meer waarde aan de privacy van patiënten als collectief belang dan aan het belang van de secretaresse.

De conclusie is dan ook gerechtvaardigd dat er momenteel voldoende middelen zijn om zorgaanbieders en zorgverleners adequaat te corrigeren bij misbruik. Gelet op de hierboven genoemde uitspraak van de kantonrechter lijkt verdere aanscherping of wetgeving via de strafrechter overbodig.

Onder dit artikel op www.medischcontact.nl vindt u de referenties. Voor meer informatie over het EPD gaat u naar het dossier EPD.

mr. dr. Sjaak Nouwt, beleidsmedewerker gezondheidsrecht KNMG

Correspondentieadres: s.nouwt@fed.knmg.nl; c.c.: redactie@medischcontact.nl.
Geen belangverstrengeling gemeld.

Samenvatting

• De Tweede Kamer wil dat misbruik van het EPD gestraft kan worden met ontzetting uit het beroep door de strafrechter.
• Het wetsvoorstel dat daartoe onlangs is ingediend moet verduidelijken wanneer precies sprake is van ‘misbruik van het EPD’.
• Gebeurt dat niet, dan zullen artsen (nog) terughoudend(er) worden in het raadplegen van een EPD, en werkt het wetsvoorstel contraproductief.

Klik hier voor het MC-dossier over EPD

Noten

1. Wetsvoorstel tegen misbruik EPD moet concreter.

2. Te vroeg voor landelijk EPD

3. Het Hof Arnhem, 3 december 2003, veroordeelde een zenuwarts op grond van art. 272 Sr tot 450 euro boete en schadevergoeding aan de benadeelde partij wegens de verstrekking van (ex) patiëntgegevens aan derden mede in het kader van enkele klachtprocedures. TvGR 2003/47.