De kern van de controverse draait – zoals eerder al aangegeven - om een project voor datadeling tussen de ziekenfondsen en het Riziv om fraude op te sporen. Dat roept aanzienlijke bezorgdheid op over de privacy van zowel patiënten als artsen. Net daarom is een uiterst zorgvuldige wettelijke inkadering vereist die voldoet aan de strenge GDPR-eisen om een correcte balans te vinden. Een expert geeft discreet advies.

Er is uiteraard niets mis mee om de tools te verfijnen die fraude in de gezondheidszorg kunnen opsporen. Fraudeurs moeten eruit. Maar dat dient wel volgens de regels te gebeuren. De grootste vrees is dat gevoelige medische informatie van patiënten toegankelijk wordt voor personen die daar geen zaken mee hebben, gaf dr. Politis (Bvas) enkele weken geleden aan.

De expert: “De taak om fraude te controleren ligt primair bij de inspectie van de DGEC (Dienst voor Geneeskundige Evaluatie en Controle). Die inspectiedienst volgt daarvoor een zorgvuldig uitgewerkt juridisch parcours. Het is niet de taak van de ziekenfondsen om artsen te controleren. Hun rol is hoofdzakelijk administratief, gericht op de correcte toepassing van de terugbetalingsregels.”

Strenge voorwaarden

Het voorgestelde datadelingsplatform zou deze bevoegdheden aanzienlijk uitbreiden. De expert nogmaals: “De General Data Protection Regulation (GDPR) speelt een centrale rol in deze discussie. Hoewel de GDPR de toegang voor controleurs van het Riziv of ziekenfondsen niet per definitie uitsluit, stelt de verordening strenge voorwaarden:

• voor een dergelijk project voor gegevensuitwisseling is een zeer duidelijke wettelijke basis vereist. Deze wet moet expliciet en gestructureerd het volgende vastleggen:

    ◦ Het specifieke doel: ‘Fraudebestrijding’ als algemeen doel is mogelijk te vaag. Het doel moet meer ‘body’ krijgen.

    ◦ Een algemene verwijzing naar ‘alle gegevens’ van het Riziv of de ziekenfondsen zal niet volstaan. Het moet voorspelbaar zijn voor artsen en patiënten welke data worden gedeeld.

    ◦ De wet moet ook helder definiëren wie toegang krijgt tot de data en om welke specifieke redenen.”

Sowieso moet de wetgeving eerst voor advies worden voorgelegd aan de Gegevensbeschermingsautoriteit (GBA). Daarnaast dient men de risico's voor de privacy van artsen en patiënten grondig te analyseren in een zogeheten data protection impact assessment.

Rook en vuur

Dat het huidige projectvoorstel zowel voor artsen als patiënten risico’s inhoudt, is zonneklaar. Zo kan een arts ten onrechte als fraudeur gebrandmerkt worden. De gevolgen zijn ingrijpend, zelfs als hij of zij achteraf wordt vrijgesproken. De perceptie "waar rook is, is vuur" kan immers schadelijk zijn. “Mogelijk ‘vals positieven’ dient men zo beperkt mogelijk te verwerken of zo min mogelijk zichtbaar te maken in dat systeem. Ik vraag mij af in welke mate een naam van een arts meteen zichtbaar moet zijn voor de mensen die daarop werken", aldus de deskundige.

Vandaar een pleidooi voor een systeem dat zo precies mogelijk functioneert en waarborgen inbouwt. In de vorm van beperkte toegang bijvoorbeeld. Medewerkers van het platform zouden dus enkel de strikt noodzakelijke informatie mogen zien. Nog een mechanisme dat daarbij kan helpen, is gefaseerde identificatie: eerst met geanonimiseerde data werken om patronen te detecteren (bijvoorbeeld via algoritmes) en pas in een later stadium, met voldoende zekerheid, overgaan tot identificatie van een specifieke arts.

Tot slot nog meegeven dat een arts die geïnspecteerd wordt, via de GDPR het recht heeft om te controleren welke gegevens over hem of haar zijn verwerkt en wie die inkeek. Als verweermiddel is dat een sterke stok achter de deur. 

> Stan Politis over e-facturatie: "Ziekenfondsen krijgen inzage in delicate medische details"

> Karel Anseeuw: GDPR geeft artsen recht op inzage in het datalabyrint van ziekenfondsen