Een apotheek heeft patiënten zonder toestemming bij het landelijk schakelpunt (LSP) aangemeld, zo blijkt uit een vonnis van de rechtbank Midden-Nederland. De zaak was aangespannen door een vrouw die vond dat de Autoriteit Persoonsgegevens tegen apothekers en de Vereniging van Zorgaanbieders voor Zorgcommunicatie (VZVZ), beheerder van het LSP, handhavend moest optreden voor het overtreden van de AVG.

Via het LSP kunnen zorgverleners zoals huisartsen en specialisten medische gegevens uit elektronische patiëntendossiers uitwisselen. In de rechtszaak speelden twee vragen met betrekking tot het LSP. Ten eerste moesten de apothekers volgens de vrouw worden aangepakt omdat die onterecht patiënten zouden aanmelden. Ten tweede zou het informatiemateriaal van LSP-beheerder VZVZ ondeugdelijk zijn, waardoor apothekers hun patiënten niet goed voorlichten en de aanmeldingen bij het LSP daardoor onterecht zijn. De vrouw had de Autoriteit Persoonsgegevens gevraagd om handhavend hier tegen op te treden. De privacytoezichthouder wees het verzoek van de vrouw in mei 2018 af.

De vrouw ging in beroep en kreeg in december 2018 gedeeltelijk gelijk. Dat was voor haar niet voldoende en ze tekende opnieuw beroep aan. De vrouw wilde dat er handhavend zou worden opgetreden tegen het structureel onjuist aanmelden van personen zonder dat deze personen daarvoor de vereiste geldige toestemming hebben verleend, het ontbreken van uniforme procedures voor het verkrijgen, valideren, registreren en doorgeven van geldige toestemming voor het opvragen van medische gegevens in het LSP en het structureel ontbreken van procedures voor het opvragen van informatie over verleende toestemmingen.

Aanmelden zonder toestemming

De Autoriteit Persoonsgegevens had een bureauonderzoek uitgevoerd naar acht apothekers. Bij zes daarvan werden geen misstanden vastgesteld. De twee resterende apotheken gingen wel de fout in. De toestemmingsformulieren van één van de twee apotheken was onvoldoende specifiek om als voldoende informatie te kunnen worden gezien. Volgens deze apotheek zijn er echter geen patiënten aangemeld op basis van alleen dit formulier.

De andere apotheek hanteerde van februari tot en met september 2017 een 'opt-out'-regeling. Patiënten werden zonder hun expliciete toestemming bij het LSP aangemeld. VZVZ betaalt apotheken voor het aanmelden van patiënten bij het LSP. "De opt-in vergoeding is een tegemoetkoming voor uw inspanning voor het vragen en registreren van de toestemming van de patiënt. De opt-in vergoeding is een variabel bedrag, gebaseerd op het aantal toestemmingen dat is aangemeld bij het Landelijk Schakelpunt. U ontvangt deze vergoeding eenmalig per toestemming", aldus de organisatie.

In het geval van de ene apotheek bleek die patiënten zonder hun toestemming aanmeldde. Aan deze apotheek is een last opgelegd, zo laat de rechter weten. Tijdens de zitting verklaarde VZVZ hoe zij toezicht houdt op de werkwijze van de apothekers door regelmatig steekproeven te doen en daarbij navraag te doen naar de door de apothekers gevolgde procedures van aanmelding. In het systeem van de zorgverlener moet worden vermeld hoe de toestemming tot stand is gekomen en welke folder de patiënt heeft meegekregen.

Volgens de rechter kan VZVZ niet voorkomen dat er af en toe onjuiste aanmeldingen plaatsvinden. "Want het blijft mensenwerk, maar zij doet er alles aan om de apothekers ervan te doordringen dat aanmelding alleen kan nadat uitdrukkelijke toestemming is verleend door de patiënt." Ook stelde de rechter dat er geen signalen zijn dat de apothekers, die door de vrouw werden genoemd, zich niet zouden houden aan hun verplichting om patiënten voldoende voor te lichten en dat zij zonder uitdrukkelijke toestemming patiënten zouden aanmelden bij het LSP.

Inrichting LSP

De vrouw wilde ook dat er zou worden opgetreden tegen de manier waarop het LSP is ingericht, omdat apothekers patiënten zonder toestemming kunnen aanmelden. "VZVZ heeft erkend dat het systeem, waarbij een mondelinge toestemming ook mag, niet waterdicht is en er fouten gemaakt kunnen worden. Het kan immers voorkomen dat iemand aan de balie bij een apotheek de reikwijdte van de toestemming niet overziet of dat een medewerker ten onrechte uitgaat van toestemming, terwijl die niet is gegeven, of dat voor een ieder duidelijk is dat er geen toestemming is gegeven maar dit verkeerd wordt vermeld in het systeem van de apotheek en het BSN dan toch wordt aangemeld. Dit is inherent aan een systeem waarin toestemming ook mondeling mag worden verleend en aanmelding mensenwerk is", aldus de rechter.

Het feit dat er ook fouten gemaakt kunnen worden is volgens de rechter niet voldoende om nadere maatregelen noodzakelijk te vinden. "De AVG vereist dat ook niet", merkt de rechter op. Ook wat betreft het informatiemateriaal kon de rechter zich niet in de mening van de vrouw vinden. De folders bevatten geen onjuiste, onduidelijke of ongeoorloofde informatie, concludeert de rechtbank. Die stelt in de conclusie dat de Autoriteit Persoonsgegevens de handhaving terecht alleen heeft mogen beperken tot de apotheek die mensen zonder toestemming bij het LSP aanmeldde en daarmee de AVG overtrad.

"Voor handhaving in de richting van de andere apothekers bestaat geen bevoegdheid. Er is –anders dan eiseres betoogt – niet op grote schaal sprake van onjuiste, niet verifieerbare en niet verantwoorde registratieprocedures met betrekking tot toestemmingsverlening voor openstelling van uitwisseling van medische persoonsgegevens via het LSP. Het beroep van eiseres slaagt niet", zo besluit het vonnis.

Via de website Volgjezorg.nl kan toestemming voor het delen van gegevens via het LSP worden ingetrokken.