De kans is klein dat een ‘HoNOS+-vragenlijst’ u iets zegt. De kans is aanzienlijk groter dat ook uw persoonsgegevens in deze vragenlijsten zijn verwerkt. Tussen 1 juli 2022 en 1 juli 2023 waren namelijk alle zorgaanbieders binnen de ggz verplicht om deze vragenlijsten over hun patiënten in te vullen en te delen met de Nederlandse Zorgautoriteit (NZa). De lijsten bevatten de psychische klachten en problematiek van bijna 800.000 Nederlanders; medische persoonsgegevens dus.
De reden dat de NZa die lijsten wil hebben, is om de wachtlijsten in te korten – vooral voor patiënten met complexe problemen. De vragenlijsten verdelen de zorgvragen van patiënten in categorieën. Door een algoritme met de vragenlijsten te trainen kan deze de zorgvraag gaan voorspellen. Op die manier zou de zorg op voorhand efficiënter kunnen worden ingekocht en bekostigd, wat zou moeten leiden tot kortere wachtlijsten. De NZa heeft de bevoegdheid deze vragenlijsten te verwerken op grond van haar wettelijke taak van markttoezicht op de gezondheidszorg, vastgelegd in de Wet marktordening gezondheidszorg (Wmg) en de daarop gebaseerde Regeling GGZ & FZ (forensische zorg).
De verplichte aanlevering gold een jaar, zodat de NZa voldoende gegevens had om een algoritme te ontwikkelen. De verwerking en bewaring van de aldus verzamelde gegevens vindt nu wel nog steeds plaats door de NZa. Daar komen geen nieuwe gegevens meer bij, inmiddels geldt nu dat de zorgaanbieder in diens eigen registratie de vragenlijsten moet registreren, maar ze niet aan meer aan de NZa hoeft door te spelen – ze zijn voor intern gebruik.
In juli 2023 zijn enkele behandelaren, patiënten en belangenorganisaties een collectieve rechtszaak tegen de NZa begonnen, waarin begin 2025 uitspraak wordt verwacht. De eisers vinden dat de verwerking van de HoNOS+-vragenlijsten door de NZa een schending is van hun recht op privacy, omdat de NZa daarmee afbreuk doet aan de vertrouwelijkheid en veiligheid van de behandelrelatie en van de ggz in het algemeen.
Inbreuk moet ‘noodzakelijk’ zijn
Uit mijn afstudeeronderzoek is gebleken dat de eisers een sterke zaak hebben. Het recht op privacy is vastgelegd in artikel 8 van het Europees Verdrag tot Bescherming van de Rechten van de Mens (EVRM): „Eenieder heeft recht op respect voor zijn privéleven […]”. Dit artikel geeft de scheiding aan tussen burger en overheid, cruciaal voor onze democratische rechtsstaat. Onder die bescherming valt ook de verwerking van persoonsgegevens, uitgewerkt in de Algemene verordening gegevensbescherming (AVG).
Inbreuk op het privacyrecht mag alleen als voldaan is aan enkele wettelijke vereisten. Aan die vereisten is in dit geval slechts deels voldaan. De gegevensverwerking is verankerd in de Wmg en de Regeling, én de NZa behartigt met de gegevensverwerking een legitiem belang dat past binnen haar taakstelling: de bescherming van de gezondheid en het economisch welzijn. Tot zover klopt het.
De crux zit in de derde en laatste stap: de belangenafweging tussen het algemeen belang dat de NZa behartigt en het individueel patiëntenbelang waar de eisende partijen voor opkomen. De privacy-inbreuk moet noodzakelijk zijn om het doel te bereiken, zo bepalen het EVRM, de AVG en de Wmg. En daar gaat het fout. Met de gegevensverwerking doet de NZa afbreuk aan het patiëntenbelang, het medisch beroepsgeheim, maar ook aan het algemeen belang: patiënten zullen vertrouwen verliezen in hun behandelaar en in het ggz-systeem en daardoor mogelijk afzien van behandeling. Dit heeft zijn weerslag op de patiënt en op de volksgezondheid.
Vanwege deze tweeledigheid heeft Europese rechtspraak bepaald dat persoonsgegevens die onder het medisch beroepsgeheim vallen extra bescherming genieten. De afweging is bovendien nog strenger omdat de persoonsgegevens zeer gevoelig van aard zijn en de gegevensverwerking grootschalig is. De rechterlijke toets of deze gegevensverwerking noodzakelijk is, is dus bijzonder streng, en de bewegingsruimte van de NZa is beperkt.
Twijfel of het algoritme werkt
De NZa heeft bij de verwerking van de persoonsgegevens enkele waarborgen gegeven om de privacy te beschermen, maar hier is één en ander op af te dingen. Zo worden de vragenlijsten pseudoniem verwerkt. Pseudoniem betekent – anders dan anoniem – dat de persoonsgegevens indirect herleidbaar zijn tot een individu. Ter zitting vorig jaar heeft de NZa erkend dat zij alsnog gegevens aan een naam kunnen koppelen, een zogenoemde heridentificatie, zo blijkt uit een tussenvonnis van november 2023.
Bovendien bevat de eerdergenoemde regeling een opt-out die patiënt en zorgaanbieder kunnen ondertekenen om onder de gegevensverwerking uit te komen, maar de NZa brengt patiënten niet op de hoogte van deze mogelijkheid. Zorgaanbieders die dit wel doen en relatief veel van dergelijke privacyverklaringen indienen, worden hierover op de vingers getikt door de NZa. Dit ontmoedigingsbeleid wordt beschreven door Tom Grosfeld in zijn boek De spreekkamer is lek. Andere veiligheidsmaatregelen zoals opslag- en vernietigingstermijnen, beveiligingsprocedures en informatievoorzieningen zijn naar mijn weten niet in acht genomen.
Daarnaast valt de doeltreffendheid van de gegevensverwerking te betwijfelen. De eisers, de rechter (in genoemd tussenvonnis) en zelfs de Tweede Kamer (in een aangenomen motie van 4 juni 2024) zetten terecht vraagtekens bij de voorspellende waarde van de HoNOS+-vragenlijsten en het algoritme. De lijdensdruk van een patiënt en het verloop van diens behandeling verschillen sterk per persoon. Weinig is zo ongrijpbaar en complex als onze psyche en deze laat zich moeilijk categoriseren en voorspellen.
Al met al leggen de geboden waarborgen onvoldoende gewicht in de schaal om op te wegen tegen het bijzonder zwaarwegend privacybelang van de ggz-patiënt. Bovendien is vooralsnog niet aangetoond door de NZa dat het middel geschikt is ten aanzien van het doel. Als we hier de grens niet stellen ter begrenzing van grootschalige gegevensverwerking door overheidsinstanties, waar dan wel?
Lees ook
Ook binnen de ggz moet privacy belangrijk zijn
