Nr. 3 MEMORIE VAN TOELICHTING

Met dit voorstel van wet wordt uitvoering gegeven aan een aantal moties met betrekking tot de elektronische uitwisseling van medische persoonsgegevens. Dit wetsvoorstel schept aanvullende randvoorwaarden – ter bescherming van de persoonlijke levenssfeer van de burger – voor het eventuele gebruik van een elektronische uitwisselingssysteem door zorgaanbieders. Dit wetsvoorstel schrijft het gebruik van elektronische uitwisselingssystemen niet voor.

De moties zijn grotendeels voortgekomen uit de behandeling van een wetsvoorstel dat regels stelde omtrent de infrastructuur en inrichting van een landelijk EPD, om te komen tot een verbetering van de kwaliteit van zorg en de patiëntveiligheid (kamerstukken I, 2010/2011, 31 466, nr. A). Dat wetsvoorstel is op 5 april 2011 door de Eerste Kamer verworpen. De Eerste Kamer heeft daarbij een motie aangenomen van het lid Tan c.s. (kamerstukken I, 2010/2011, 31 466, nr. Y) waarin de regering wordt verzocht om:

«te komen tot een nadere wettelijke regeling van normen en standaarden voor zowel digitale dossiervorming en ontsluiting, als de overdracht van gegevens eisen met betrekking tot de veiligheid, toezicht, handhaving en sancties, inzage door de patiënt, het verstrekken van afschrift aan de patiënt en transport van gegevens op verzoek van de patiënt, teneinde veilig digitaal transport van gegevens (zowel pull als push) mogelijk te maken tussen zorgverleners binnen een regio,»

In dit wetsvoorstel zijn ook de moties nr. 69, 70 en 78 (kamerstukken II, 2010/2011, 27 529, nrs. 69, 70 en 78) van respectievelijk de leden Kuiken en Omtzigt verwerkt. Met motie 69 wordt de regering verzocht:

«vast te leggen dat een patiënt bij de uitgifte van medicijnen op dat moment direct recht heeft op kostenloze inzage in papieren en/of elektronische vorm van de aan hem voorgeschreven medicijnen, evenals het recht op aanvulling van deze lijst met zelfmedicatie die gebruikt wordt».

Met motie nr. 70 wordt de regering verzocht:

«vast te leggen in de WGBO1 dat patiënten per 1 januari 2013 recht hebben op inzage in en afschrift van, op elektronische wijze, hun gehele elektronische dossier bij de zorgverlener, en de zorgverlener te verplichten, dit recht op elektronische inzage en afschrift te faciliteren»

Met motie nr. 78 wordt de regering verzocht:

«indien zij besluit landelijke gegevensuitwisseling voort te zetten, dan enkel te werken met uitdrukkelijke toestemming via de opt-insystematiek».

Op 21 december 2011 heeft de Tweede Kamer nog enkele moties aangenomen, waarvan twee eveneens hun weerslag hebben gekregen in dit wetsvoorstel. In motie nr. 96 van de leden Leijten en Gerbrands (kamerstukken II, 2011/2012, 27 529, nr. 96) wordt de regering verzocht:

• «1. de wetgeving zo aan te passen dat bij een eerste overtreding een passende boete opgelegd wordt die openbaar gemaakt moet worden, waarbij de boete voor een afzonderlijke overtreding ten hoogste 100.000 euro is;

• 2. de verzekerden, wiens polis het betreft, de mogelijkheid te geven de zorgverzekering en de aanvullende verzekering per direct op te zeggen;

• 3. bij een tweede overtreding binnen vijf jaar alle verzekeringsnemers van de zorgverzekeraar het recht te verlenen de zorgverzekering en de aanvullende polis op te zeggen;

• 4. voorts binnen het sanctieregime de mogelijkheid te onderzoeken om een zorgverzekeraar die herhaaldelijk de wet overtreedt, de vergunning tot het voeren van een zorgverzekering te ontnemen en de Kamer op dit punt te informeren voor 1 april 2012;

• 5. op dit punt te handhaven en te controleren en de Kamer voor 1 juli 2012 te informeren op welke wijze deze controle en handhaving wordt uitgevoerd».

De eerste twee punten van laatstgenoemde motie zijn verwerkt in dit wetsvoorstel, waarbij grotendeels is aangesloten bij de bepalingen hierover in het amendement van het lid Omzigt c.s bij het bovengenoemde wetsvoorstel tot wijziging van de Wet gebruik burgerservicenummer in de zorg in verband met de elektronische informatieuitwisseling in de zorg (kamerstukken 2008/2009, 31 466, nr. 49). Ook het derde punt van deze motie, was in voornoemd amendement geregeld. Het derde punt is echter niet overgenomen in het onderhavige wetsvoorstel. De reden hiervoor is dat dit punt in strijd is met de Europese richtlijnen inzake het schadeverzekeringsbedrijf, en ter vervanging daarvan Richtlijn 2009/138/EG (Solvency II). Zoals ook de Afdeling advisering van de Raad van State in haar advies aangeeft mag een lidstaat alleen regels aan verzekeraars (waaronder zorgverzekeraars) en hun verzekeringen stellen, voor zover dat noodzakelijk is ter bescherming van het algemeen belang. Een opzegrecht voor alle verzekeringnemers is ook naar het oordeel van de Raad van State een disproportionele sanctie waarmee het algemeen belang niet is gediend. De Raad stelt daarbij dat een mogelijke consequentie van punt 3 van de motie is, dat een zodanig groot aantal verzekeringnemers van de opzegmogelijkheid gebruik maakt dat de financiële soliditeit van de betrokken zorgverzekeraar in gevaar komt (waarbij in zekere zin sprake zou zijn van een «bank-run» op een verzekeraar). De sanctie zou daarmee strijd opleveren met de Europese schaderichtlijnen en Solvency II. Dit punt uit de motie is daarom niet overgenomen.

Over de punten 4 en 5 van de motie is de Kamer apart geïnformeerd.

In dit kader merk ik nog op dat ik in het wetsvoorstel voor de zorgverzekeraar die zich toegang verschaft tot een elektronisch uitwisselingssysteem een zwaardere sanctie heb opgenomen dan de in de motie 99 van het lid Kuiken c.s. opgenomen sanctie. Gezien de ernst van het feit en de beoogde afschrikwekkende werking, heb ik de maximale boete niet op € 100.000 gesteld, maar op € 500.000 of, als dit hoger is, 10% van de omzet van de betrokken verzekeraar.

Voorts heb ik een systematiek ingebouwd waarbij een verzekeringsnemer, anders dan in voornoemd amendement, niet pas zijn verzekering op kan zeggen als een besluit tot oplegging van een bestuurlijke boete rechtens onaantastbaar is geworden, maar zijn verzekering reeds kan opzeggen onmiddellijk nadat de zorgautoriteit aan een zorgverzekeraar een bestuurlijke boete heeft opgelegd of een aanwijzing heeft gegeven om reden dat een zorgverzekeraar in strijd met de wet via het elektronisch uitwisselingssysteem gegevens van bepaalde verzekerden of verzekeringnemers heeft ingezien of verwerkt. In het wetsvoorstel is bepaald dat de zorgautoriteit in dat geval van het besluit tot oplegging van de bestuurlijke boete of de aanwijzing mededeling doet aan de verzekerden en verzekeringnemers van wie de zorgautoriteit heeft vastgesteld dat hun gegevens door de ziektekostenverzekeraar zijn ingezien of verwerkt; de betrokkenen kunnen hun verzekering vervolgens onmiddellijk opzeggen.

Wat betreft de sanctionering ingeval een zorgverzekeraar zich wederrechtelijk toegang heeft verschaft tot het elektronisch uitwisselingssysteem, wijs ik verder nog op de strafrechtelijke vervolging die in dat geval mogelijk is op grond van artikel 138ab van het Wetboek van Strafrecht. Wat natuurlijke personen betreft – in geval van een zorgverzekeraar zal dat veelal een werknemer zijn – kan worden vermeld dat degene die wederrechtelijk binnendringt in het elektronisch uitwisselingssysteem als pleger van computervredebreuk kan worden vervolgd. Wanneer leidinggevenden/bestuurders binnen de zorgverzekeraar daartoe opdracht hebben gegeven, dan wel aan deze verboden gedraging feitelijk leiding hebben gegeven, zijn ook zij strafrechtelijk vervolgbaar. Op grond van artikel 138ab van het Wetboek van Strafrecht kan diegene worden gestraft met een geldboete van de vierde categorie of een gevangenisstraf van ten hoogste een tot vier jaar.

De Nederlandse Vereniging van Ziekenhuizen (NVZ) heeft aangegeven dat de systemen niet zijn ingericht om alle gegevens via het internet beschikbaar te maken. Verder willen zij een elektronisch afschrift pas beschikbaar stellen na contact met de instelling en daar een redelijke vergoeding voor vragen. Zodat er altijd sprake is van tussenkomst van een zorgverlener bij het verstrekken van medische gegevens.

De KNMG c.s. zien met name veel praktische bezwaren die moeten worden opgelost voordat een wettelijke verplichting in werking treedt.

De NPCF is erg blij met het voornemen van een recht op elektronische inzage en elektronisch afschrift van het dossier en de logging. De NPCF merkt op dat zij betalingen voor dergelijke afschriften ongewenst vindt.

De NVZ merkt op dat er geen opt-in regeling zou moeten zijn bij ketenzorg.

De KNMG c.s. hebben ook bezwaren tegen een algemene opt-in regeling. Zij merken op dat er geen sprake kan zijn van een opt-in bij een waarneming van huisartsen. Verder is het volgens de koepels ongewenst dat patiënten die al bij een zorgverlener zijn ingeschreven opnieuw om toestemming moet worden gevraagd. Daarnaast is onvoldoende helder hoe de toestemming eruit moet zien. Zij zijn van mening dat het vragen van toestemming niet strenger moet zijn dan geldend recht voor bijvoorbeeld de huisartsen en spoedhulpverleners. Ook moet in hun ogen rekening worden gehouden met situaties waar nu toestemming mag worden verondersteld.

De NPCF heeft bedenkingen bij de verzwaring van de opt-in door ook toestemming bij raadplegen te vragen. De NPCF kent geen signalen van knelpunten op dit punt en zij vraagt zich af of patiënten dit wel willen.

Het recht van de cliënt om (een) bepaalde (categorie van) hulpverleners op voorhand uit te sluiten van de gegevensuitwisseling

Uitsluiten van een categorie van hulpverleners wordt door de NVZ haalbaar geacht, op individueel niveau uitsluiten niet.

De KNMG c.s. hebben geen principiële bezwaren, maar merken wel op dat uitsluiten in het nadeel van de patiënt kan zijn.

Het stellen van specifieke functionele, technische en organisatorische eisen aan elektronische gegevensuitwisseling in zijn algemeenheid

Veilige en betrouwbare uitwisseling is van groot belang voor het vertrouwen in het systeem. Waar nodig zullen dan ook aanvullende eisen worden opgelegd. Deze eisen zullen getoetst worden op technische haalbaarheid.

Dit punt uit de juridische analyse zal echter worden verwerkt in een algemene maatregel van bestuur op grond van artikel 26 van de Wet bescherming persoonsgegevens (hierna: Wbp). Hier is voor gekozen omdat de stand van de techniek aan verandering onderhevig is en door middel van lagere regelgeving sneller ingespeeld kan worden op nieuwe technische ontwikkelingen. De op dit punt gemaakte opmerkingen van de koepels van zorgaanbieders en de NPCF zullen bij het ontwerp van die algemene maatregel van bestuur worden meegenomen.

Overige opmerkingen

Vanuit de NVZ is verder nog opgemerkt dat het geven van een overzicht van de logging op dit moment meestal onmogelijk is. Verder vinden zij het van belang dat duidelijk is wat wordt verstaan onder uitwisselingssysteem en dat het niet gaat om systemen binnen de instelling.

De NPCF geeft aan dat er voldoende aandacht moet zijn voor de uitwerking van de regelgeving in de praktijk. Daarnaast hecht de NPCF veel waarde aan 1 loket voor patiënten om versnippering te voorkomen.

Voor de patiënt en het toezicht op de gegevensuitwisseling is het van belang dat inzage kan worden verkregen in de loggegevens2. Hiermee kan duidelijkheid worden gegeven of raadplegingen al dan niet terecht zijn gedaan. Bij het landelijk schakelpunt van Nictiz is ervaring opgedaan met het loggen van deze handelingen en het geven van inzage in deze loggegevens.

In de juridische analyse is geconcludeerd dat voor het stellen van specifieke functionele, technische en organisatorische eisen aan elektronische gegevensuitwisseling, op grond van artikel 26 Wbp een algemene maatregel van bestuur kan worden opgesteld. Voor de overige drie punten die regeling behoeven, is geconcludeerd dat die een plaats kunnen krijgen in de Wet cliëntenrechten zorg (hierna: Wcz).

Een wetsvoorstel om tot die wet te komen, is bij het parlement aanhangig3. Het wetsvoorstel is veelomvattend en daarom is op dit moment niet goed in te schatten, wanneer de Wcz in werking zal treden. Omdat het wenselijk is dat de bepalingen in dit wetsvoorstel over de rechten en plichten bij elektronische dossiervorming en elektronische gegevensuitwisseling in de zorg spoedig van kracht zullen worden en het niet wenselijk is om de parlementaire behandeling van de Wcz te belasten met een discussie over deze bepalingen, is dit wetsvoorstel zo opgesteld, dat het parlement hierover een zelfstandig oordeel kan vellen en de bepalingen van dit wetsvoorstel zelfstandig in werking kunnen treden, onafhankelijk van de inwerkingtreding van de Wcz. Daartoe wordt naast de voorgestelde aanpassing van het wetsvoorstel Wcz (artikel I) een wijziging van de Wet gebruik burgerservicenummer in de zorg (hierna: Wbsn-z) voorgesteld (artikel II), die alleen in werking zal treden indien de Wcz nog geen kracht van wet heeft, en die zal vervallen indien de Wcz wel van kracht wordt. Inhoudelijk regelen de voorgestelde artikelen I en II hetzelfde. Welke bepalingen in werking zullen treden is afhankelijk van de stand van zaken met betrekking tot de Wcz.

Naar aanleiding van motie 70 van het lid Omtzigt (kamerstukken II, 2010–2011, 27 529, nr. 70) is in dit wetsvoorstel het recht opgenomen dat een cliënt die om inzage in zijn dossier verzoekt of een afschrift daarvan vraagt, het recht heeft dat dit langs elektronische weg gebeurt. Dit recht impliceert ook de plicht van de zorgaanbieder dat hij dit kan faciliteren. De NVZ geeft aan dat systemen niet geschikt zijn om alle gegevens via het internet beschikbaar te maken. Het wetsvoorstel verplicht echter ook niet dat dit via het internet plaatsvindt. Het is aan de zorgaanbieder om te bepalen op welke wijze dit wordt gedaan. Dit zou bijvoorbeeld via een speciaal portaal voor patiënten kunnen, maar ook via een computer bij de zorgaanbieder. Uitgangspunt blijft dat verstrekking van gegevens op veilige wijze moet plaatsvinden.

Anders dan in de motie Omtzigt staat, wordt het recht op elektronische inzage en elektronisch afschrift niet opgenomen in de WGBO. Uit de nota naar aanleiding van het verslag en de nota van wijziging bij de Wcz (kamerstukken II, 2010/2011, 32 402, nr. 6, p. 3 en nr. 7, p. 30) is duidelijk geworden dat wordt gehecht aan een zo veel mogelijk ongewijzigd voortbestaan van de WGBO. Belangrijker is echter dat de WGBO alleen betrekking heeft op de geneeskundige behandeling, terwijl de eisen die worden gesteld aan elektronische gegevensuitwisseling voor alle zorgaanbieders die cliëntendossiers bijhouden, dienen te gelden. De rechten uit de WGBO – zoals het inzagerecht – blijven gelden, en de bepalingen in dit wetsvoorstel vormen een aanvulling daarop in geval er sprake is van elektronische dossiervorming en elektronische uitwisseling van persoonsgegevens betreffende de gezondheid van cliënten.

Ter uitvoering van motie nr. 69 van het lid Kuiken c.s. is in dit wetsvoorstel kosteloze inzage in het dossier (in papieren of elektronische vorm) geregeld. Voor wat betreft betaling van afschriften bevat dit wetsvoorstel een bijzondere regeling ten opzichte van de Wbp en de WGBO. Ingevolge artikel 39 van de Wbp kan de verantwoordelijke voor de gegevensverwerking voor verstrekking van gegevens uit het dossier of de «logging» een vergoeding van kosten verlangen. De maximale hoogte van die vergoeding is vastgelegd in het Besluit kostenvergoeding rechten betrokkene Wbp. Op grond van artikel 7:456 BW, kan een redelijke vergoeding worden gevraagd voor het verstrekken van een afschrift, omdat het afdrukken op papier kosten met zich meebrengt waarvan het niet redelijk is dat die voor rekening van de zorgaanbieder zouden zijn. Dit wetsvoorstel maakt de verstrekking van een elektronisch afschrift voor cliënten, kosteloos. Het is van belang dat de patiënt kosteloos een afschrift kan krijgen van de gegevens die worden uitgewisseld. Hiermee wordt aangesloten bij de opmerkingen van de NPCF daarover.

In het voorstel is ook een bepaling opgenomen dat cliënten zorgaanbieders of categorieën van zorgaanbieders kunnen uitsluiten van toegang tot de gegevens die beschikbaar zijn via het elektronisch uitwisselingssyteem. Indien een cliënt daarvan gebruik wil maken, is het aan de zorgaanbieder om er in het kader van het bieden van verantwoorde zorg op te wijzen dat uitsluiten in het nadeel van de cliënt kan zijn. Dat behoeft geen expliciete regeling.

Het uitsluiten van individuele zorgverleners is ondanks de bezwaren van de NVZ wel opgenomen in het wetsvoorstel. Het is van groot belang dat de patiënt invloed kan uitoefenen op de toegankelijkheid van zijn medische gegevens. De UZI-pas biedt mogelijkheden om de zorgverlener op individueel niveau te identificeren. Niet valt in te zien waarom volgens de NVZ uitsluiten op het niveau van de zorgaanbieder wel kan, maar op niveau van de zorgverlener niet.

Voor de handhaving van de regels omtrent informatie-uitwisseling als opgenomen in dit wetsvoorstel, gelden de handhavingsbepalingen als opgenomen in het wetsvoorstel Wcz en, voor zover het betreft de handhaving van de bepalingen in de Wet gebruik burgerservicenummer in de zorg (Wbsn-z), de bepalingen die gelden voor de handhaving van die wet. In de parlementaire stukken van beide wetten zijn de handhavingsinstrumenten beschreven (Kamerstukken II 2005/2006, 30 380, nr. 7, blz 10–11 en Kamerstukken II 2009/2010, 32 402, nr. 3, blz 31–36).

Op grond van artikel 58 Wcz, is de IGZ belast met het toezicht op de naleving door zorgaanbieders van de verplichtingen die uit de Wcz voortvloeien. De ambtenaren van de IGZ zijn daarbij op grond van artikel 58, vijfde lid Wcz ook bevoegd dossiers in te zien, in aanvulling op de overige toezichthoudende bevoegdheden die hen op grond van titel 5.2 van de Algemene wet bestuursrecht toekomen. Op deze wijze kan IGZ erop toezien dat de cliëntenrechten bij elektronische gegevensuitwisseling en het geven van elektronische inzage en afschriften, worden nageleefd.

Om naleving van de voorschriften te bewerkstelligen, kan op grond van artikel 60, eerste lid, Wcz, aan de zorgaanbieder door de Minister een schriftelijke aanwijzing worden gegeven, waarin – onder het stellen van een termijn – wordt gesteld welke maatregelen de zorgaanbieder moet nemen. Indien het nemen van maatregelen in verband met de veiligheid, redelijkerwijs geen uitstel kan lijden, kan op grond van artikel 60, vierde lid, Wcz ook een schriftelijk bevel worden gegeven. De veiligheid zal bij het niet naleven van de voorschriften vaak niet direct in het geding zijn, maar dit is bijvoorbeeld wel denkbaar als de zorgaanbieder de in artikel 23b, tweede lid, Wcz bedoelde registratie niet goed bijhoudt, of de in artikel 23d bedoelde loggegevens niet beschikbaar blijken te zijn.

Indien een krachtens artikel 60 Wcz gegeven aanwijzing niet wordt opgevolgd, kan door de Minister op grond van artikel 61 Wcz een last onder bestuursdwang worden opgelegd. Een zorgaanbieder die geen medewerking verleent aan de inzage van dossiers door de IGZ of de verstrekking van gegevens na melding van een calamiteit in de zorgverlening, kan daarnaast ook een last onder dwangsom opgelegd krijgen.

De bepalingen in het onderhavige wetsvoorstel vormen een aspect van verantwoorde zorg die zorgaanbieders ingevolge de Kwaliteitswet zorginstellingen en (Kwzi) de Wet op de beroepen in de individuele gezondheidszorg (Wet BIG) gehouden zijn te verlenen. Indien de cliëntenrechten als opgenomen in dit wetsvoorstel (vooralsnog) niet in werking treden via de Wcz, maar worden opgenomen in de Wbsn-z, geldt dat het toezicht en de handhaving via de Kwzi en de Wet BIG is geregeld. Het toezicht op het bieden van verantwoorde zorg wordt op grond van die wetten uitgeoefend door de Inspectie voor de gezondheidszorg (IGZ). Op grond van artikel 8 Kwzi heeft de Minister voor de handhaving over dezelfde instrumenten als hiervoor beschreven in het kader van de Wcz (aanwijzingen, bevelen, bestuursdwang). In het kader van de handhaving kan de IGZ op grond van artikel 7 Kwzi patiëntendossiers inzien. Dat kan ook op grond van artikel 87 Wet BIG voor zover het toezicht zich richt op een individuele zorgverlener. Op grond van artikel 87a Wet BIG kan IGZ een bevel geven. Verder is het op grond van de Wet BIG natuurlijk mogelijk om via het tuchtrecht op te treden tegen individuele zorgverleners die op onzorgvuldige wijze met patiëntgegevens omgaan.

Op grond van artikel 5 Kwzi, dient de zorgaanbieder jaarlijks verslag uit te brengen over het beleid dat hij heeft gevoerd in het kader van de kwaliteit van de zorg. Hierbij zal de zorgaanbieder ook moeten ingaan op zijn beleid inzake het op veilige wijze verwerken van cliëntgegevens. Het niet voldoen aan deze verantwoordingsplicht door zorgaanbieders, kan worden bestraft met een bestuurlijke boete van maximaal € 33 550,-.

Ten slotte is voor het toezicht en de handhaving het College Bescherming Persoonsgegevens (CBP) van belang, dat toeziet op de naleving van de Wbp, die vanzelfsprekend ook van toepassing is op de informatie-uitwisseling van zorgaanbieders. Het CBP is bij uitstek de instantie om erop toe te zien dat geen misbruik gemaakt wordt van de beschikbare informatie. Op grond van artikel 61, vijfde lid, van de Wbp, kunnen verantwoordelijken voor de gegevensverwerking in het kader van het toezicht door het CBP, geen beroep doen op hun geheimhoudingsplicht. Ter handhaving van het bepaalde bij of krachtens de Wbp (waaronder ook de amvb op grond van artikel 26 Wbp) kan het CBP een last onder bestuursdwang of een dwangsom opleggen.

Voor wat betreft de handhaving van de bepalingen in dit wetsvoorstel, ter uitvoering van motie nr. 99 van het lid Kuiken c.s., die zich richten tot de zorgverzekeraars, is het toezicht en de handhaving geregeld in de Wet marktordening gezondheidszorg. De toezichthouder voor die wet is de Nederlandse Zorgautoriteit. De Nederlandse Zorgautoriteit kan aanwijzingen geven die binnen de gegeven termijn opgevolgd moeten worden. Indien die aanwijzing niet wordt opgevolgd is «naming and shaming» mogelijk: dat de zorgverzekeraar de aanwijzing niet opvolgt – en zich daarmee dus niet houdt aan de wet – kan openbaar bekend worden gemaakt. Deze bevoegdheden van de toezichthouder, staan naast de bevoegdheid tot het opleggen van een bestuurlijke boete van ten hoogste € 500.000 of, als dit hoger is, 10% van de omzet van de zorgverzekeraar. Wat betreft de (sanctie)mogelijkheden voor het geval een zorgverzekeraar in strijd handelt met het verbod op toegang tot het elektronisch uitwisselingssysteem, verwijs ik voorts naar punt 1.1 van het algemeen deel van deze toelichting.

In lijn met de Wet marktordening gezondheidszorg zullen de IGZ, de Nederlandse Zorgautoriteit en het CBP onderling afspraken maken over de uitoefening van hun toezichthoudende taken.

Het gebruik van een elektronisch uitwisselingssysteem wordt met dit wetsvoorstel en met de algemene maatregel van bestuur op grond van art. 26 Wbp, met de nodige waarborgen omkleed. Toch is niet uit te sluiten dat door menselijk of technisch falen fouten worden gemaakt, waardoor schade ontstaat. Dit kan schade voor individuele cliënten zijn, maar ook voor professionele gebruikers van een elektronisch uitwisselingssysteem.

In het kader van het wetsvoorstel tot invoering van een landelijk EPD (kamerstukken I, 2010/2011, 31 466, nr. A), is in 2008 door de Universiteit van Tilburg een rapport uitgebracht over de verdeling van aansprakelijkheid rond het EPD5. Hoewel dit rapport is geschreven vanuit de situatie dat zorgverleners de wettelijke verplichting zouden krijgen aan te sluiten op het LSP, is het rapport nog grotendeels bruikbaar en actueel.

Kort gezegd komt het erop neer dat bij het gebruik van een elektronisch uitwisselingssysteem de aansprakelijkheidsrisico’s grotendeels gelijk zullen blijven aan de aansprakelijkheidsrisico’s in de situatie dat geen gegevensuitwisseling plaatsvindt. Als er iets mis gaat zal in de meeste gevallen de zorgaanbieder als eerste worden aangesproken. De mogelijke aansprakelijkheid van andere actoren, zal over het algemeen beperkter zijn. In het navolgende worden per actor de aansprakelijkheidsrisico’s uiteengezet.

Zorgaanbieders zijn in het kader van het bieden van goede zorg, gehouden zorgvuldig te handelen bij het gebruik van een elektronisch uitwisselingssysteem (art. 7:453 BW, art. 5 wetsvoorstel Wcz). Dat geldt nu ook al voor het beheer van medische dossiers. Zorgaanbieders zullen zich er echter wel van bewust moeten zijn dat het beschikbaar stellen van medische gegevens via een elektronisch uitwisselingssysteem meer vereist op het gebied van organisatie, techniek en beveiliging dan het zorgvuldig bijhouden van het medisch dossier. Enerzijds zullen hieraan eisen worden gesteld in de amvb op grond van artikel 26 Wbp. Anderzijds zullen zorgaanbieders vanuit het perspectief van verantwoorde zorg en goed hulpverlenerschap eventueel de medisch-professionele standaarden moeten aanpassen. Zaken die daarbij in ieder geval aandacht moeten krijgen zijn:

• – het informeren van cliënten over de voor- en nadelen van het verlenen van toestemming om gegevens via een elektronisch uitwisselingssysteem beschikbaar te stellen, alsmede het eventueel toepassen van uitsluitingen;

• – het identificeren van de cliënt aan de hand van het BSN en het BSN juist invoeren;

• – het correct en prompt registeren van toestemming van cliënten en het vastleggen en opheffen van uitsluiting van toegang tot de gegevens van de cliënt;

• – het reageren op aanwijzingen of klachten dat beschikbaar gestelde gegevens onjuist of onvolledig zijn;

• – het op juiste en voor andere zorgaanbieders bruikbare wijze vastleggen van gegevens die beschikbaar worden gesteld;

• – het zorgvuldig omgaan met de toegangsautorisatie tot het zorginformatiesysteem;

• – toezien dat het zorginformatiesysteem voldoet aan de standaarden voor een goed beheerd zorginformatiesysteem en de aansluiting op het elektronisch uitwisselingssysteem wordt beheerd door een gecertificeerde zorgserviceprovider.

Indien de zorgaanbieder aan het bepaalde in dit wetsvoorstel, het bepaalde in de amvb krachtens artikel 26 Wbp en aan de medisch-professionele standaard voldoet, zal hij in beginsel niet strafrechtelijk of tuchtrechtelijk aansprakelijk zijn, als er toch iets verkeerd gaat. Een cliënt kan een zorgaanbieder uiteraard wel civielrechtelijk aansprakelijk stellen of een klacht indienen als hij meent dat de zorgaanbieder niet juist heeft gehandeld. Strafrechtelijke aansprakelijkheid komt overigens doorgaans pas in beeld als er sprake is van dood of (ernstig) letsel.

Als de zorgaanbieder civielrechtelijk aansprakelijk wordt gesteld, kan het om eigen fouten gaan, maar ook gaan om fouten die in wezen door anderen zijn gemaakt, zoals hulppersonen, ondergeschikten of de zorgserviceprovider. De zorgaanbieder kan dan, afhankelijk van de context, de feitelijke dader in vrijwaring oproepen dan wel regres nemen. De mogelijkheden daartoe zullen, voor zover het de leverancier van een zorginformatiesysteem of de zorgserviceprovider betreft, af hangen van de contracten die de zorgaanbieder met hen heeft gesloten. Voor schade die ontstaat door het onbevoegd gebruik door andere zorgaanbieders, van gegevens die met toestemming van de cliënt beschikbaar zijn gesteld via een elektronisch uitwisselingsysteem, kan de zorgaanbieder niet aansprakelijk worden gehouden. Dit geldt andersom ook voor fouten die zijn ontstaan door het bevoegd gebruiken van informatie van andere zorgaanbieders die via het elektronisch uitwisselingsysteem beschikbaar is, terwijl die informatie achteraf niet volledig of niet juist blijkt te zijn. De zorgaanbieder die de informatie beschikbaar stelt, is er verantwoordelijk voor dat die informatie juist, volledig en actueel is. Dit laatste brengt een verantwoordelijkheid voor de zorgaanbieder mee, die verder reikt dan het zorgvuldig bijhouden van het eigen medisch dossier. Om misverstanden over beschikbaar gestelde informatie te voorkomen, zou in ieder geval uniforme medische terminologie moeten worden gebruikt, zoals SNOMED6.

De leverancier van de software die een zorgaanbieder gebruikt, is civielrechtelijk aansprakelijk jegens de zorgaanbieder die de software bij hem heeft afgenomen. Dit kan aan de orde zijn als er sprake is van een toerekenbare fout in de software waardoor schade is ontstaan. Als blijkt dat de leverancier geen fout kan worden verweten, kan de zorgaanbieder of zorginstelling dit verweer ook voeren richting de cliënt die zegt als gevolg van een fout in de software schade te hebben geleden.

De omvang van de aansprakelijkheid van een ICT-leverancier wordt mede bepaald door het contract dat met de zorgaanbieder of zorginstelling is gesloten. Leveranciers maken vaak gebruik van exoneratieclausules om de aansprakelijkheid te beperken. Daarmee is overigens niet uitgesloten dat de zorgaanbieder aansprakelijk is en blijft jegens zijn cliënt.

Op 4 april 2012 heeft het CBP advies uitgebracht over dit wetsvoorstel. Het CBP heeft geadviseerd op een aantal punten de toelichting te verduidelijken. De memorie van toelichting is conform dat advies met het volgende aangevuld:

• – De verhouding tussen de artikelen 23c, tweede lid, Wcz/artikel 15d, tweede lid, Wbsn-z enerzijds en artikel 7:454, tweede lid, van het Burgerlijk wetboek anderzijds. Het moet altijd duidelijk zijn welke gegevens een zorgverlener heeft opgenomen en welke gegevens op verzoek van de cliënt zijn toegevoegd.

• – De artikelen 23b, eerste lid, Wcz en 15c, eerste lid, Wbsn-z, zijn een aanvulling op de artikelen 33 en 34 Wbp.

• – Uit artikel 23, eerste lid, onderdeel a, van de Wet bescherming persoonsgegevens, volgt dat de toestemming om gegevens beschikbaar te maken via een elektronisch uitwisselingssysteem, altijd uitdrukkelijk moet zijn.

De opmerkingen van het CPB met betrekking tot de te stellen beveiligingseisen – waaronder de opmerkingen over de toepassing van NEN-normen 7510–7513 – worden meegenomen bij het opstellen van de algemene maatregel van bestuur op grond van artikel 26 van de Wet bescherming persoonsgegevens. Gelet op het belang van beveiligingseisen zal deze algemene maatregel van bestuur, zoals het CPB stelt, op zijn laatst gelijk met dit wetsvoorstel in werking moeten treden.

In deze artikelen worden de begrippen «dossier» en «elektronisch uitwisselingssysteem» gedefinieerd. Deze definities zijn van belang omdat deze begrippen in de praktijk nog wel eens met elkaar worden verward, zeker wanneer wordt gesproken over het «elektronisch patiëntendossier». Dit laatste begrip wordt in dit wetsvoorstel niet meer gebruikt. De definitie van dossier die wordt opgenomen in artikel 1 van de Wet bsn-z is gelijk aan de definitie zoals die is opgenomen in het wetsvoorstel Wcz (zie artikel 1, eerste lid, onderdeel k, opgenomen bij nota van wijziging; kamerstukken II, 32 402, nr. 7). Het betreft de gegevens die de zorgaanbieder op grond van de WGBO en het wetsvoorstel Wcz over zijn cliënt dient bij te houden en waarvan de toegang tot die gegevens is gereguleerd via artikel 7:457 BW en artikel 24 van het wetsvoorstel Wcz.

Met het elektronisch uitwisselingssysteem kunnen de gegevens uit een dossier worden gedeeld met andere zorgverleners. De definitie is zodanig dat daarvoor verschillende systemen denkbaar zijn, maar de definitie maakt wel duidelijk dat het niet gaat om een systeem waar de medische gegevens in worden opgenomen.

In principe zou ook de uitwisseling van gegevens via e-mail onder de gegeven definitie kunnen vallen. Het is echter zo dat het gebruikte systeem altijd zal moeten voldoen aan de functionele, technische en organisatorische eisen die op grond van artikel 26 Wet bescherming persoonsgegevens bij algemene maatregel van bestuur daaraan zullen worden gesteld. Dit betekent dat de uitwisseling van gegevens via een gewoon e-mailsysteem in algemene zin niet zal voldoen aan de te stellen veiligheidscriteria.

Artikel 4 van het wetsvoorstel Wcz bevat een regeling voor het geval een cliënt een wettelijk vertegenwoordiger heeft. In artikel 5 van de Wbp is geregeld dat de wettelijk vertegenwoordiger voor minderjarigen onder de 16 jaar in plaats van die minderjarige toestemming verleent voor de verwerking van persoonsgegevens betreffende die minderjarige. In artikel 4 van het wetsvoorstel Wcz wordt afgeweken van artikel 5 van de Wbp. De reden hiervoor – een eenduidige leeftijdsgrens van 12 jaar binnen de zorg – is uitgebreid uiteengezet in de toelichting op artikel 4 in de memorie van toelichting bij het wetsvoorstel Wcz (Kamerstukken II, 2009–2010, 32 402, nr. 3, p. 100–102).

In dit onderdeel wordt de aanhef van artikel 4 van de Wcz aangepast, zodat artikel 4 ook geldt bij het uitoefenen van cliëntenrechten bij het beschikbaar stellen van gegevens via een elektronisch uitwisselingssysteem.

In deze artikelen is uitwerking gegeven aan de motie van de leden Leijten en Gerbrands (kamerstukken II, 2010–2011, 27 529, nr. 78) betreffende de zogenaamde «opt-insystematiek». Naar aanleiding van de juridische analyse is mogelijk gemaakt dat een cliënt de toegang van bepaalde zorgaanbieders tot zijn gegevens die beschikbaar zijn via het elektronisch uitwisselingssysteem kan uitsluiten. Het verlenen van toestemming en de mogelijkheid tot uitsluiting van zorgverleners, is geregeld in artikel 23a, eerste en tweede lid, Wcz, respectievelijk artikel 15a, eerste en tweede lid, Wbsn-z. Overigens is voor het verwerken van persoonsgegevens betreffende iemands gezondheid op grond van artikel 23, eerste lid, onderdeel a, Wbp, ook nu al uitdrukkelijke toestemming nodig. Het uitsluiten van een zorgaanbieder betekent dat de toegang tot de voor andere zorgaanbieders beschikbaar gemaakte gegevens, voor de uitgesloten zorgaanbieder wordt geblokkeerd. Anders dan op grond van artikel 36 van de Wbp, maken deze artikelen mogelijk dat de cliënt al op voorhand de beschikbaarheid van bepaalde gegevens voor bepaalde zorgverleners afschermt.

Door het beschikbaar maken van gegevens via een elektronisch uitwisselingssysteem, worden die gegevens opvraagbaar door andere zorgaanbieders. Voor het raadplegen is op grond van artikel 24 Wcz, respectievelijk artikel 15b Wbsn-z, in principe wel toestemming vereist. Echter, anders dan bij verstrekking van gegevens uit een dossier op grond van artikel 7:457, eerste lid, BW en artikel 24, eerste lid, Wcz, kan de zorgaanbieder die de gegevens via het elektronisch uitwisselingssysteem beschikbaar heeft gemaakt, er op het moment dat de andere zorgaanbieder die gegevens raadpleegt, er niet meer op toe zien dat er geen gegevens worden geraadpleegd die de persoonlijke levenssfeer van een ander dan de cliënt kunnen schaden. Daarom is in artikel 23a, derde lid, Wcz respectievelijk artikel 15a, derde lid, Wbsn-z, bepaald dat dergelijke gegevens niet beschikbaar worden gemaakt via een elektronisch uitwisselingssysteem.

Voor zover een cliënt toestemming heeft gegeven, hoeft een zorgaanbieder niet opnieuw toestemming te vragen om zijn gegevens uit te wisselen voor zover hij heeft kunnen vaststellen – bijvoorbeeld via het elektronisch uitwisselingssysteem – dat deze cliënt (generieke) toestemming heeft gegeven, en de desbetreffende zorgaanbieder niet heeft uitgesloten. Deze zorgaanbieder dient wel toestemming te vragen om gegevens die de andere zorgaanbieder beschikbaar heeft gesteld, te raadplegen.

Om te zorgen dat cliënten goed op de hoogte zijn van de rechten die hen bij elektronische gegevensuitwisseling toekomen en hoe zij die rechten bij de desbetreffende zorgaanbieder kunnen uitoefenen, is in deze artikelen de plicht voor de zorgaanbieder opgenomen, dat hij zijn cliënten daarover actief informeert. Het betreft een aanvulling op de artikelen 33 en 34 Wbp. Op grond van artikel 34, eerste lid, onderdeel b, Wbp dient voorafgaand aan het beschikbaar stellen van de gegevens via een elektronisch uitwisselingssysteem duidelijk te worden gemaakt waarvoor bepaalde gegevens worden verwerkt en waarvoor die gegevens vervolgens kunnen worden gebruikt. Dit houdt in dat de zorgaanbieder ook toelicht welke gegevens het betreft – bijvoorbeeld het kerndossier – en wat de reikwijdte van de toestemming is; welke zorgaanbieders hebben na het geven van toestemming mogelijkheid tot inzage. De artikelen 23b Wcz en 15c Wbsn-z, regelen in aanvulling op de bepalingen in de Wbp dat de zorgaanbieder specifieke informatie geeft over de rechten van de cliënt bij elektronische gegevensuitwisseling en hoe de cliënt die rechten bij deze specifieke zorgaanbieder kan uitoefenen.

In het tweede lid is de verplichting opgenomen dat zorgaanbieders een registratie bijhouden van het verlenen van toestemming door cliënten voor het beschikbaar stellen van hun gegevens via een elektronisch uitwisselingssysteem. Het niet verlenen van toestemming hoeft niet te worden geregistreerd: zonder expliciete toestemming, is er geen toestemming. Ook dienen eventuele uitsluitingen van bepaalde zorgaanbieders of categorieën van zorgaanbieders voor de toegang tot de via het uitwisselingssysteem beschikbare gegevens, te worden geregistreerd. Met deze registratie wordt zeker gesteld dat expliciet toestemming wordt gevraagd en dat uitsluitingen duidelijk worden geregistreerd.

Het eerste lid geeft uitvoering aan de motie van het lid Omzigt (kamerstukken II, 2010–2011, 27 529, nr. 70). Geregeld wordt dat indien een cliënt inzage in zijn gegevens wenst of een afschrift daarvan, de zorgaanbieder die langs elektronische weg moet kunnen verstrekken indien de cliënt daarom vraagt. Dit artikel vormt daarmee een aanvulling op het bepaalde in artikel 7:456 BW en artikel 22 van het wetsvoorstel Wcz, waarin wordt geregeld dat de inzage of het afschrift van een dossier, zo spoedig mogelijk wordt verschaft, en dat verstrekking van gegevens achterwege blijft voor zover dit in het belang is van de bescherming van de persoonlijke levenssfeer van een ander. De bepaling van het eerste lid impliceert dat een zorgaanbieder de gegevens elektronisch beschikbaar heeft, omdat hij die gegevens desgevraagd elektronisch moet kunnen verstrekken. De cliënt kan op grond van het eerste lid zowel vragen om elektronische inzage of een elektronisch afschrift van zijn dossier, als vragen om de gegevens die de zorgaanbieder beschikbaar stelt via een elektronisch uitwisselingssysteem. Dit onderscheid wordt gemaakt omdat in een dossier immers meer gegevens kunnen zijn opgenomen dan de gegevens die via een elektronisch uitwisselingssysteem beschikbaar zijn gesteld.

In het tweede lid is uitwerking gegeven aan de motie van het lid Kuiken (kamerstukken II, 2010–2011, 27 529, nr. 69) dat de cliënt bij de uitgifte van medicijnen direct inzage kan krijgen in zijn medicatiegegevens. Het tweede lid maakt mogelijk dat de cliënt desgewenst zijn gegevens kan laten aanvullen met informatie over zelfmedicatie. Deze gegevens worden dan raadpleegbaar via het elektronisch uitwisselingssysteem. Op basis van de loggegevens (zie de toelichting bij artikel 23d Wcz en artikel 15e Wbsn-z) is kenbaar dat deze gegevens bij de apotheek zijn ingevoerd, en moet duidelijk zijn dat het niet om informatie over door een zorgverlener voorgeschreven medicijnen gaat. Overigens geldt op grond van artikel 7:454, tweede lid, van het Burgerlijk wetboek ook al dat de herkomst van aanvullingen in het dossier op verzoek van de patiënt, duidelijk moet zijn. In dit artikel van de WGBO is geregeld dat een hulpverlener desgevraagd een door de patiënt afgegeven verklaring met betrekking tot de in het dossier opgenomen stukken aan het dossier toevoegt.

Ook het derde lid is opgenomen naar aanleiding van deze motie. Hoewel de motie alleen vroeg om kosteloze inzage, is in het derde lid ook geregeld dat elektronische afschriften, kosteloos worden verstrekt. Hiermee wordt een bijzondere regeling gegeven ten opzichte de WGBO en de Wbp. Op grond van artikel 7:456 BW, kan een redelijke vergoeding worden gevraagd voor het verstrekken van een afschrift, omdat het afdrukken op papier kosten met zich meebrengt waarvan het niet redelijk is dat die voor rekening van de zorgaanbieder zouden zijn. Ook artikel 39 Wbp maakt het vragen van een vergoeding voor een afschrift mogelijk.

Overigens geldt bij het verlenen van inzage en het verstrekken van een afschrift dat de zorgaanbieder op grond van artikel 5, onderdeel b, van de Wet bsn-z en art. 12 Wet algemene bepalingen burgerservicenummer, dat de hulpverlener het BSN dient te verifiëren omdat het handelingen betreft die zijn aan te merken als het verwerken van persoonsgegevens. De zorgaanbieder moet daarom zeker stellen dat het de juiste persoon betreft aan wie hij de gegevens verstrekt.

Deze bepalingen stemmen overeen met de in het meergenoemde amendement van het lid Omzigt c.s. (paragraaf 1.1) opgenomen bepaling dat door de verantwoordelijke voor een elektronisch uitwisselingssysteem aan de zorgautoriteit melding moet worden gedaan van elk vermoeden van overtreding van het verbod tot toegang door de ziektekostenverzekeraar. Reden hiervoor is dat, nu een ziektekostenverzekeraar zich niet op reguliere wijze toegang tot het elektronische uitwisselingssysteem zal kunnen verschaffen, maar dit alleen met behulp van een valse sleutel, het doorbreken van de beveiliging e.d. zou kunnen doen, een dergelijke toegangsverschaffing in principe niet zichtbaar zal zijn voor de patiënt via de loggegevens. Naar verwachting zal, als de betrokken situatie zich voordoet, de verantwoordelijke voor het elektronische uitwisselingssysteem de eerste zijn die van een wederrechtelijke toegangsverschaffing door de ziektekostenverzekeraar op de hoogte is. Om die reden wordt op de verantwoordelijke de plicht gelegd een vermoeden van een zodanige overtreding te melden aan de toezichthouder, de Nederlandse zorgautoriteit.

Op 21 december 2011, heeft de Tweede Kamer de motie Kuiken c.s. (kamerstukken 2011/12, 27 529, nr. 99) aangenomen, inhoudende dat zorgverzekeraars onder geen beding toegang mogen hebben tot elektronische uitwisselingssystemen. De inhoud van de motie komt overeen met hetgeen bij amendement van het lid Omtzigt c.s. in het verworpen wetsvoorstel met betrekking tot de infrastructuur en inrichting van een landelijk EPD, was opgenomen (kamerstukken II, 2008/2009, 31 466, nr. 49). Naar aanleiding van adviezen van het College bescherming persoonsgegevens en de Raad van State met betrekking tot het concept-besluit tot wijzing van het Besluit gebruik burgerservicenummer in de zorg, is uiteindelijk nog een wetsvoorstel ingediend waarbij deze bij amendement ingebrachte bepalingen zijn bijgesteld (Wijziging van de Kaderwet elektronische zorginformatie-uitwisseling in verband met de uitbreiding van de mogelijkheden tot handhaving bij misbruik van het EPD, kamerstukken II, 2010/2011, 32 546, nr. 3). Het College bescherming persoonsgegevens had fundamentele bezwaren tegen het feit dat het artikel toch nog de mogelijkheid bood dat zorgverzekeraars – onder voorwaarden – toegang zouden hebben tot elektronische patiëntendossiers. In het genoemde wijzigingsvoorstel is die mogelijkheid eruit gehaald en werd een absoluut toegangsverbod voorgesteld. Het in dit wetsvoorstel opgenomen artikel 25a Wcz en artikel 15f Wbsn-z, houden naar aanleiding van de adviezen van het Cbp en de Afdeling advisering van de Raad van State, ook een absoluut verbod in van toegang van zorgverzekeraars tot elektronische uitwisselingssystemen. Daarnaast is conform de bepalingen in het verworpen wetsvoorstel, in artikel 25a, tweede lid, respectievelijk artikel 15f, tweede lid, ook een verbod opgenomen voor bedrijfsartsen, verzekeringsartsen en keuringsartsen zich toegang te verschaffen tot een elektronisch uitwisselingssysteem.

De boete en het opzegrecht als bedoeld in de motie zijn geregeld in de artikelen III en IV van dit wetsvoorstel.

Zoals toegelicht bij artikel I, onderdeel B, bevat artikel 4 van het wetsvoorstel Wcz een regeling voor het geval een cliënt een wettelijk vertegenwoordiger heeft, waarmee wordt afgeweken van artikel 5 van de Wbp. In afwijking van de Wbp, geldt in de zorg een eenduidige leeftijdsgrens van 12 jaar in plaats van 16 jaar is geregeld dat de wettelijk vertegenwoordiger voor minderjarigen onder de 16 jaar in plaats van die minderjarige toestemming verleent voor de verwerking van persoonsgegevens betreffende die minderjarige. In artikel 4 van het wetsvoorstel Wcz wordt afgeweken van artikel 5 van de Wbp. De reden hiervoor – een eenduidige leeftijdsgrens van 12 jaar binnen de zorg – is uitgebreid uiteengezet in de toelichting op artikel 4 in memorie van toelichting bij het wetsvoorstel Wcz (Kamerstukken II, 2009–2010, 32 402, nr. 3, p. 100–102).

Artikel 15g regelt dat de rechten van een cliënt met een wettelijk vertegenwoordiger voor wat betreft het beschikbaar maken van zijn gegevens via een elektronisch uitwisselingssysteem, net als op grond van artikel 4 Wcz door die wettelijk vertegenwoordiger worden uitgeoefend, met dien verstande dat ook hier voor de categorie minderjarigen tussen de 12 en 16 jaren geldt dat hun rechten zowel jegens hen als jegens hun wettelijk vertegenwoordigers moet worden nagekomen.

Artikel II, onderdeel C (Artikel 16)

In de Wet tot uitbreiding van de bestuurlijke handhavingsinstrumenten in de wetgeving op het gebied van de volksgezondheid (Stb. 191, 2010), is opgenomen dat de IGZ in het kader van haar toezichthoudende taak voor de Kwaliteitswet zorginstellingen en de Wet op de beroepen in de individuele gezondheidszorg patiëntendossiers kan inzien.

Omdat de bepalingen van de Wet bsn-z en het onderhavige wetsvoorstel nadere invulling geven aan de verantwoorde zorg die zorgaanbieders moeten leveren, is toezicht en handhaving voor de Wet bsn-z en dit wetsvoorstel, geregeld in de Kwaliteitswet zorginstellingen en de Wet op de beroepen in de individuele gezondheidszorg. Ook de bepalingen met betrekking tot het inzien van dossiers zijn daarbij van toepassing. Een afzonderlijke bepaling daarover in de Wet bsn-z kan daarom vervallen.

De in punt 1 van de bedoelde motie opgenomen mogelijkheid om aan een ziektekostenverzekeraar die zich toegang tot het elektronische uitwisselingssysteem verschaft, een bestuurlijke boete op te leggen, wordt geregeld door de toevoeging van artikel 91 aan de Wmg. Deze boete kan worden opgelegd door de Nederlandse Zorgautoriteit die op grond van het voorgestelde artikel 16a Wmg, bevoegd wordt ter zake handhavend op te treden. Om de ernst van een inbreuk van een zorgverzekeraar op het verbod om zich toegang te verschaffen tot een elektronisch uitwisselingssysteem te benadrukken en de preventieve werking te verhogen, is de hoogte van de bestuurlijke boete anders dan de motie voorstelt, gemaximeerd op een hoger bedrag, te weten € 500.000 of, indien dat hoger is, 10% van de omzet van de onderneming in Nederland.

In artikel 91 Wmg is voorts bepaald dat de zorgautoriteit een besluit tot het opleggen van een bestuurlijke boete openbaar maakt nadat het rechtens openbaar is geworden. Deze openbaarmaking – «naming and shaming»- kan grote consequenties hebben voor de verzekeraar die het betreft. Verwacht mag worden dat de bekendmaking dat een zorgverzekeraar op deze manier de privacy heeft geschonden, voor een groot aantal verzekeringsnemers aanleiding zal zijn om bij het afsluiten van een zorgverzekering voor het nieuwe jaar, naar een andere zorgverzekeraar over te stappen.