Kan je je patientdossier (en logging) nu wel of niet inzien? Carmen Kleinegris en Rico Brouwer (Nederlands)
kijk/luister dit interview terug:
Dit interview staat op meerdere kanalen
luister in soundcloud
bekijk op youtube
bron interview: café Weltschmerz
bron artikel: Piratenpartij Utrecht
brief aan de Kamercommissie VWS - van net-kanker.nl
Les 1 in informatie beveiliging is dat Vertrouwelijkheid, Integriteit en Beschikbaarheid hand in hand gaan bij het omgaan met gevoelige informatie. Je medische zorgdossier bevat gevoelige informatie, over wanneer je op je kwetsbaarst bent en in de zorg van mensen die je niet kent.
De bij wet vereiste Beschikbaarheid van je patiëntdossier is 15 jaar. Dit artikel gaat in op Vertrouwelijkheid (wie mag jouw patiëntdossier in die tijd zien en wijzigen) en Integriteit (kan je er op vertrouwen dat wat in je dossier staat juist is en niet is veranderd?). Dit kan je zien in de logging, waar tot op de dag van vandaag geen adequate regels voor zijn in Nederland.
Rico Brouwer ging met Carmen Kleinegris in gesprek in café Weltschmerz over haar zoektocht de afgelopen jaren naar haar patiëntdossiers en de bijhorende logging. Carmen meldde zich december 2007 bij een spoedpost van een groot ziekenhuis met medische klachten; hoofdpijn, pijn achter het oog, benauwdheid en grote opgezwollen klieren in haar hals. Ze werd toen niet onderzocht maar leek in plaats daarvan in een kafkaësk psychiatrisch traject terecht te zijn komen.
Een half jaar later werd in het buitenland alsnog wel medisch onderzoek gedaan en werd ze gediagnosticeerd met NET-kanker. Ze heeft kort daarna een operatie ondergaan, de tumor is weggehaald uit haar long en ze is hersteld. In haar zoektocht naar waar het fout ging bleek hoe belangrijk logging is om medische fouten te kunnen achterhalen en om de juistheid van wat in je dossier staat te kunnen controleren.
In de wet op de geneeskundige behandelingsovereenkomst, staat dat je medisch dossier 15 jaar moet worden bewaard. Of dossiers na die 15 jaar ook netjes worden verwijderd is de vraag, maar in het algemeen lijken instanties zich aan die bewaartermijn op de dossiers te houden.
De eisen die we aan de logging op medische dossiers stellen, zijn vastgelegd in een NEN norm; de NEN7513. Als iedereen zich aan dezelfde norm houdt, kan je er van op aan dat iedereen dezelfde kwaliteit levert, daarom zijn zulke normen ook belangrijk. NEN is een kennisnetwerk, een instituut voor normalisatie dat meer dan 30 duizend van zulke normen beheert. De NEN7513 is daar eentje van en is een Nederlandse norm die de logging-eisen op patiëntdossiers beschrijft. NEN7513 is opgesteld in samenwerking met de instanties in de zorg.
De NEN rekent op samenwerking met de minister van VWS en de autoriteit persoonsgegevens in het toepassen van de norm. NEN omschrijft de norm, het is aan de minister om het vast te leggen in de wet en aan de AP om te controleren en handhaven. NEN7513 is vastgelegd in de wet met een algemene maatregel van bestuur. Het voldoen aan normen zoals de NEN7513 is daarnaast ook een manier waarmee een instantie kan aantonen dat ze voldoet aan andere privacy eisen, zoals die bijvoorbeeld gesteld worden vanuit de AVG/GDPR.
In de nen7513 staat dat tenzij anders is bepaald logbestanden tussen de 2 en 15 jaar moeten worden bewaard.
Hier gebeurt iets geks.
De logging op een vertrouwelijk stuk is noodzakelijk om de vertrouwelijkheid en integriteit er van aan te tonen. Dus wanneer een vertrouwelijk stuk, zoals het patiëntdossier, vijftien jaar bewaard moet blijven, dan moet ook de vertrouwelijkheid en integriteit vijftien jaar gewaarborgd blijven! Logging is daarom gedurende die hele periode onlosmakelijk verbonden aan het dossier. Waarom maakt de norm dan toch dit onderscheid?
Het venijn van waar het op dit moment vooral lijkt mis te gaan zit in het stukje 'tenzij anders is bepaald'. Het staat een zorgverlener volgens deze NEN7513 vrij om zelf te bepalen of en hoe lang ze logging doet en bewaart. Ook de minimum termijn van twee jaar, is niet hard.
In april 2018 bleek dat bij de opname van de “reality tv-ster”Samantha de Jong alias Barbie in het Haga-Ziekenhuis in Den Haag begin dit jaar meerdere personen onrechtmatig het elektronische medische dossier inkeken. In reactie op kamervragen zei de minister op 20 april 2018: 'De rol van toezicht en handhaving van het beschermen van Persoonsgegevens is belegd bij de Autoriteit Persoonsgegevens (AP), de regels zijn strikt en duidelijk. De AP ziet toe of deze ook worden nageleefd'.
De minister deed in beantwoorden van kamervragen voorkomen alsof de regels strikt en duidelijk zijn, maar welke zijn dan die strikt en duidelijke regels die de AP volgt? En hoe ziet ze toe op naleving?
AP zegt daarover:
Het is aan verwerkingsverantwoordelijken zelf om te bepalen hoe lang het nodig is om loggegevens te bewaren
Het bewaren van loggegevens is nodig om patiënten de mogelijkheid te geven te kunnen zien wie er toegang heeft gehad tot hun gegevens (transparantie)
De bewaartermijn moet dus recht doen aan dit recht van de patiënt
Overwogen kan worden aan te sluiten bij de bewaartermijn van medische dossiers (dat is – nu – geen verplichting, de verwerkingsverantwoordelijke kan daar van afwijken als daar een goede onderbouwing voor is)
VWS werkt aan een wettelijke termijn, de AP is daarbij betrokken.
Het NEN dacht dat de minister eerdaags (in het najaar van 2018) met een meer duidelijke bewaartermijn op logging zou komen, omdat in de AMVB (AMVB Besluit elektronische gegevensverwerking door zorgaanbieders, 10 november 2017) staat dat wanneer zorgverleners er met patiënten binnen zes maanden niet samen uitkomen, de minister aan zet is. De Minister geeft echter aan pas op zijn vroegst over een half jaar met meer duidelijkheid te komen: 'VWS wil graag samen met het veld de bewaartermijn van loggegevens vaststellen. We verwachten hier in het tweede kwartaal van volgend jaar [2019] meer helderheid over te kunnen geven.' (VWS).
In Nederland is er een zachte NEN7513 norm, waarop niet betekenisvol kan worden gehandhaafd, met een minister die doet voorkomen dat alles goed is geregeld.
Carmen Kleinegris legt in het interview uit hoe ze al tien jaar lang vraagt om haar patiëntdossiers en logging en hoe ze keer op keer onvolledige antwoorden krijgt.
Rico Brouwer benaderde in voorbereiding op het gesprek de in dit dossier betrokken instanties met de vraag hoe op dit moment logging eigenlijk is ingeregeld?
Voor een item over de NEN7513 norm en hoe deze wordt toegepast, zou ik graag leren hoe deze norm in [uw instelling] wordt toegepast.
Kunt u mij daarom antwoord geven op deze vragen (zojuist met uw collega telefonisch overlegd, zou ik mijn vragen via Email sturen).in relatie tot de NEN7513 norm:
- Wat is de bewaartermijn van de logging op toegang tot medische dossiers?
- Vanaf welk moment logt uw ziekenhuis volgens die bewaartermijn op medische dossier?
- Wat was de bewaartermijn op de dossiers vóór die tijd?NB ik vraag dit omdat er in de NENnorm aanpassingen zijn gemaakt afgelopen jaren en omdat vroeger zorgdossiers niet digitaal waren.
Beiden zijn wellicht van invloed op de bewaartermijn van logging.- Welke gegevens logt u (bijvoorbeeld tijdstip van toegang, is gewijzigd, welke arts gekeken of gewijzigd etc)
Arkin gaf geen antwoord, GGD Amsterdam reageerde nadat het interview was gemaakt [zie onder]. Afdeling communicatie van VUmc reageerde alsvolgt:
Goedemiddag meneer Brouwer, naar aanleiding van uw verzoek moet ik u melden dat Amsterdam UMC ontvangen wij dagelijks veel (media)verzoeken (uit binnen- en buitenland) voor informatie, interviews, opnames en/of oriënterende gesprekken. Dat stellen we uiteraard erg op prijs, maar we constateren ook dat dit onevenredig veel werk met zich meebrengt om al deze verzoeken zorgvuldig te kunnen begeleiden. Zoals u wellicht begrijpt, kunnen wij daarom niet alle verzoeken honoreren
We maken scherpe afwegingen of de tijd en menskracht die we investeren in de afhandeling van een verzoek in evenwicht is met de output van het geheel. In het geval van uw verzoek vinden wij dit niet het geval. Het spijt me en ik wens u veel succes met het zoeken van een geschikt alternatief.
De terugkoppeling vanuit het Nederlands Huisartsen Genootschap op dezelfde vragen, gaf meer hoop.
- Over de bewaartermijn: 'Belangrijkste punt hierover op dit moment is dat de zorgpartijen het hier nog niet over eens zijn. Er is een document in voorbereiding door de KNMG en met betrokkenheid van veel andere artsenorganisaties. Het lijkt erop dat de consensus uitkomt op gelijkstellen van de bewaartermijn van de logging aan die van het medisch dossier'.
- Vanaf welk moment loggen huisartsen volgens die bewaartermijn op medische dossiers? 'De huisartsen loggen toegang vanaf het moment dat hun IT-systeem dat mogelijk maakt. Sommige nieuwere systemen kunnen dit al langer, een of enkele systemen hebben het recent ingebouwd, elke leverancier in het domein is er mee bezig'.
- Wat was de bewaartermijn op de dossiers vóór die tijd? Zie daarvoor de wetgeving omtrent bewaartermijn. De hoofdregel voor het bewaren van medische dossiers staat in de WGBO. In die wet is bepaald dat de zorgverlener het medisch dossier in principe 15 jaar moet bewaren. Er zijn vaak redenen om het dossier langer te bewaren (NHG, CB).
Onrechtmatige inzage van elektronische medische dossiers is trouwens ook een schending van artikel 8 Europees Verdrag voor de Rechten van de Mens.
het Europese Hof voor de Rechten van de Mens (EHRM) oordeelde in 2008 dat de medische data van de betrokkenen in die zaak onvoldoende beveiligd waren tegen ongeautoriseerde inzage. Het Hof oordeelde dat er sprake was van overtreding van artikel 8 van het Europees Verdrag voor de Rechten van de Mens(EVRM). Dat handelt over het recht op eerbiediging van privé-, familie- en gezinsleven.
Dus ook als de nen7513 norm in Nederland zacht is, de minister treuzelt, de AP niet doorpakt en instellingen zelf hier geen prioriteit aan lijken te geven: de verplichting op adequate logging volgt uit je recht op privacy zoals vastgelegd in het EVRM. Het is aan de zorgverlener om te laten zien dat ze dat naar behoren doet.
Eventuele nagekomen antwoorden op gestelde vragen over hoe logging op dit moment is ingeregeld, worden onder dit artikel ingevoegd.
GGD Amsterdam:
Een organisatie als de GGD, die met veel kwetsbare groepen werkt, heeft privacy en beroepsgeheim natuurlijk hoog in het vaandel staan. Voor medische dossiers geldt in het algemeen een bewaartermijn van 15 jaar na het laatste contactmoment. Diezelfde termijn hanteren we voor de loggegevens. Daarna wordt het vernietigd.
Er zijn uitzonderingen waar andere bewaartermijnen zijn gesteld vanuit de archiefwet. De loggegevens worden daarbij gezien als meta data. Hiervoor gelden dezelfde bewaartermijnen als voor het dossier zelf.
gebruikte bronnen:
Naar aanleiding van dit gesprek stuurde voorzitter Jan Bernard Warmerdam, namens Stichting NET-groep, patiëntenorganisatie voor mensen met neuro-endocriene tumoren / net-kanker.nl een open brief aan de vaste Kamercommissie VWS. En verscheen er een artikel over logging op patiënt dossiers in Trouw door Kristel van Teeffelen.
Het verhaal van Carmen is groter en staat niet alleen. Ik bracht het interview eind 2018 daarom onder de aandacht van een aantal journalisten van de schrijvende pers. Liza van Lonkhuyzen van NRC was toen juist begonnen met schrijven over medische zaken en pakte dit verhaal samen met Jeroen Wester op. Jeroen werkte met Carmen aan dit uitgebreide artikel in het NRC, dat oktober 2019 werd gepubliceerd.