Legal compliance by design in de infectieziektebestrijding (3/4)

De WGBO

De Wet op de Geneeskundige Behandelingsovereenkomst (WGBO) vormt een belangrijke basis voor de Nederlandse gezondheidszorg. Deze wet regelt de relatie tussen zorgverlener en patiënt en legt vast hoe medische gegevens moeten worden verzameld, gedeeld en beschermd. Met de toenemende digitalisering in de zorg heeft de WGBO directe invloed hoe de informatievoorziening wordt georganiseerd.
Dit is het derde deel in een reeks artikelen over de impact van wet- en regelgeving op informatievoorziening van de infectieziektebestrijding. In het eerste artikel is een introductie gegeven van de Wet Publieke Gezondheid (WPG) en WGBO. Ook is er uitgelegd waarom het belangrijk is om wet- en regelgeving goed te begrijpen voordat de informatievoorziening wordt ontwikkeld door het toepassen van Legal compliance by design. Vervolgens is in het vorige artikel in hoofdlijnen geanalyseerd wat de impact van de WPG op de informatievoorziening is.
In dit artikel wordt geanalyseerd wat de impact is van de WGBO op de informatievoorziening van de gezondheidszorg en de infectieziektebestrijding.

Organisatie en informatie

De twee belangrijkste wetten voor de organisatie van het verwerken van informatie zijn de WGBO en de Algemene verordening gegevensbescherming (AVG). In de WGBO worden specifieke eisen gesteld aan het verwerken van medische gegevens in het dossier. De AVG en de Uitvoeringswet AVG bevatten voorwaarden voor het mogen verwerken van persoonsgegevens, inclusief medische gegevens.
Het begrip ‘verwerken’ is onder de AVG erg ruim gedefinieerd en omvat in feite alle handelingen die een zorgverlener met persoonsgegevens kan uitvoeren. Daarbij gaat het onder meer om het verzamelen, vastleggen, ordenen, opslaan, wijzigen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, wissen en vernietigen van gegevens. Bij het verwerken van medische informatie kan het bijvoorbeeld gaan om het vastleggen of wijzigen van gegevens in het dossier of om het verstrekken van gegevens aan derden.
Voordat informatie aan een ander dan de patiënt wordt verstrekt, moet de arts altijd eerst toetsen of daarvoor een uitzondering op het medisch beroepsgeheim (WGBO/Wet BIG) mag worden gemaakt. Pas daarna moet worden getoetst of de informatieverstrekking voldoet aan de AVG.
Ten deze wordt verwezen naar de volgende relevante bepalingen:

Art. 7:457 lid 1 BW jo. art. 272 WvSr.: geheimhoudingsplicht zorgverlener; en
Art. 4 lid 2 AVG: definieert het verwerken van persoonsgegevens als ‘elke bewerking of geheel van bewerkingen met betrekking tot persoonsgegevens.’

Goed hulpverlenerschap

In artikel 453 WGBO staat dat de hulpverlener bij zijn werkzaamheden de zorg van een ‘goed hulpverlener’ in acht dient te nemen en daarbij handelt in overeenstemming met de op hem rustende verantwoordelijkheid, voortvloeiende uit de voor hulpverleners geldende professionele standaard, waaronder de kwaliteitsstandaard (als bedoeld in artikel 1, onderdeel z, van de Zorgverzekeringswet).
De verplichtingen die hieruit voorvloeien worden genoemd in artikel 7:448 BW. De zorgverlener dient op grond van voornoemd artikel de volgende informatie aan de patiënt te verstrekken ¹:

Gezondheidstoestand, noodzakelijke onderzoeken, voorgestelde behandelingen (indien gevraagd met schriftelijke toelichting);
Andere behandelingsmogelijkheden indien deze er zijn;
De gevolgen en eventuele risico’s van de behandeling of het onderzoek;
De gevolgen en risico’s om niet te behandelen;
De termijn waarop de behandeling kan plaatsvinden en de tijdsduur van de behandeling;
De medicijnen en eventuele bijwerkingen.

Dossierplicht

De WGBO verplicht zorgverleners om een medisch dossier in te richten voor elke patiënt die ze behandelen ². Deze plicht rust in de eerste plaats op behandelend zorgverleners. Voor beoordelend zorgverleners geldt deze plicht zo veel mogelijk in gelijke zin. De patiënt kan de zorgverlener niet van zijn dossierplicht ontheffen. Wel heeft de patiënt het recht om bijvoorbeeld gegevens op zijn verzoek te laten vernietigen ³.
Papieren dossiers en ingekomen correspondentie worden tegenwoordig vaak gescand en digitaal opgeslagen. Zodra dat gebeurd is en de digitale documenten beveiligd zijn, hoeft de zorgverlener het papieren dossier en de ingekomen correspondentie niet meer te bewaren. De WGBO stelt namelijk geen inhoudelijke eisen aan de wijze waarop een medisch dossier wordt ingericht of vormgegeven. De dossierplicht bepaalt alleen dat de zorgverlener relevante informatie vastlegt . Dit betekent dat een arts het medisch dossier ook in digitale vorm mag bewaren of een scan in het medisch dossier mag opnemen. Dat geldt ook voor documenten die in het belang zijn bij de (niet-)behandeling van de patiënt, zoals schriftelijke wilsverklaringen. Belangrijk is dat een scan een juiste en volledig leesbare weergave is van het originele document. De dossiergegevens, dus ook een opgeslagen scan, moeten voldoende toegankelijk en raadpleegbaar zijn en blijven. Het medisch dossier dient immers primair het belang van een goede zorgverlening. Bovendien moet de patiënt zijn rechten met betrekking tot die stukken (zoals inzage, afschrift, vernietiging) kunnen blijven uitoefenen.

Bewaartermijn

Een medisch dossier dient twintig jaar worden bewaard te worden, te rekenen vanaf het tijdstip waarop de laatste wijziging in het dossier heeft plaatsgevonden ⁴. Dit geldt ook voor medische dossiers van overleden patiënten. Na die twintig jaar dient het dossier in beginsel te worden vernietigd. De hulpverlener kan het dossier langer bewaren als dit op grond van goed hulpverlenerschap noodzakelijk is.
De zorgverlener vernietigt een medisch behandeldossier na twintig jaar, tenzij sprake is van één van de volgende uitzonderingen:

goed hulpverlenerschap maakt langer bewaren noodzakelijk ⁵ ⁶;
de wet schrijft een afwijkende bewaartermijn voor ⁷;
de patiënt verzoekt de arts om (delen van) het dossier langer of korter te bewaren ⁸; of
de medische gegevens zijn geanonimiseerd ⁹.

Beheer van het dossier

De verantwoordelijkheid voor het beheer van het medisch dossier ligt bijvoorbeeld bij de raad van bestuur of de directie van een zorginstelling, bij de praktijkhouder of bij een alleen werkende zorgverlener die niet in een instelling werkt. Zij zijn ook de ‘verwerkingsverantwoordelijke’ voor het medisch dossier in de zin van de AVG. De AVG legt aan de verwerkingsverantwoordelijke verschillende plichten op.
Zo hebben verwerkingsverantwoordelijken een informatieplicht tegenover de patiënten van wie gegevens worden vastgelegd en bewaard. Dit betekent dat zij de patiënten moeten informeren over de identiteit van de verwerkingsverantwoordelijke en het doel van de gegevensverwerking. Daarnaast moeten zij andere relevante informatie verstrekken, bijvoorbeeld aan wie de patiëntgegevens kunnen worden verstrekt. De verwerkingsverantwoordelijken kunnen aan hun informatieplichten voldoen door deze informatie in een privacyverklaring of privacy statement op te nemen en op hun website te publiceren.
Verder moeten de verwerkingsverantwoordelijken passende technische en organisatorische beveiligingsmaatregelen nemen, zodat gewaarborgd is dat een onbevoegde geen toegang tot de dossiers heeft. Een onbevoegde is bijvoorbeeld een medewerker die wel in de instelling werkt, maar niet bij de zorgverlening aan de patiënt betrokken is. Tot slot moet de verwerkingsverantwoordelijke bepalen wat er met de patiëntendossiers gebeurt als de zorgverlener of de instelling stopt met de uitoefening van zijn beroep of bedrijf.

Online contact

Een zorgverlener die online contact met patiënten heeft, zal zich moeten afvragen of er reeds een behandelingsovereenkomst bestaat met deze patiënt. Het kan ook zijn dat door het online contact een nieuwe behandelingsovereenkomst tot stand komt. Immers een persoonlijk advies geven valt onder de WGBO. Er zijn ook situaties van online contact mogelijk waarbij geen behandelingsovereenkomst bestaat of tot stand komt. Een voorbeeld is het geval waarin een arts via een website algemene, niet op de individuele patiënt gericht informatie verstrekt, zoals algemene informatie over bepaalde ziektebeelden of behandelmethoden. Een ander voorbeeld is het online aanbieden van vragenlijsten aan de hand waarvan de patiënt zelf een diagnose kan bepalen. Als een zorgverlener naar aanleiding van de uitkomsten van zo’n vragenlijst handelt, valt dat handelen wel onder de geneeskundige behandelingsovereenkomst.
Als er bij online contact sprake is van een bestaande of nieuwe behandelingsovereenkomst zijn dus in beginsel de wettelijke bepalingen van de WGBO van toepassing.

Conclusie

Geconcludeerd kan worden is dat de WGBO grote impact heeft op de informatievoorziening. Er worden verschillende kaders beschreven waaraan de informatievoorziening moet voldoen. Dit heeft impact op zowel de organisatie (processen), informatie en applicaties. Zo geeft de WGBO duidelijke richtlijnen voor het beheren en beschermen van medische gegevens. Tevens worden er strikte kaders beschreven voor de behandelingsovereenkomst. Het niet voldoen aan deze regels resulteert in grote risico’s, zoals vertrouwensverlies of juridische consequenties.

Artikel 7:448 lid 2 BW ↩︎
Artikel 7:454 lid 1 BW ↩︎
Artikel 7:455 BW ↩︎
Artikel 7:454 lid 3 BW ↩︎
Artikel 454 lid 3 BW en artikel 7:453 BW (en artikel 2a Wkkgz) ↩︎
Zie ook Kamerstukken II, 2017/2018, 34 994, nr. 3, par. 2.2. ↩︎
Bijvoorbeeld: Wet op de medische keuringen (Wmk) of de Archiefwet ↩︎
Artikel 7:455 BW ↩︎
Immers, op medische gegevens die geanonimiseerd zijn, rust geen wettelijke bewaartermijn ↩︎