033 200 30 83
Huisartsen onder druk wegens gebruik zorg-apps
Recente berichtgeving van de NOS laat zien dat digitale triage-apps op grote schaal worden uitgerold in de huisartsenzorg, terwijl over de kwaliteit, veiligheid en wettelijke houdbaarheid van die apps serieuze twijfels bestaan. Zorgverzekeraar Zilveren Kruis zet huisartsen financieel onder druk om dergelijke apps te gebruiken. Praktijken die niet meedoen, ontvangen één euro minder per patiënt, wat kan oplopen tot zo'n 10.000 euro verlies per jaar. Tegelijkertijd geeft een van de meest gebruikte tools, moetiknaardedokter.nl (MINDD), jaarlijks miljoenen patiënten advies zonder tussenkomst van een zorgprofessional en zonder dat duidelijk is waarop dat advies is gebaseerd. Beide onderzoeken raken aan een gevoelig snijvlak van zorg, technologie en gegevensbescherming.
De berichtgeving roept de vraag op of digitalisering hier in dienst staat van de patiënt, of vooral van kostenbesparing en efficiëntie. En vooral: wat betekent het voor de bescherming van persoonsgegevens wanneer software die met gevoelige gezondheidsgegevens werkt onder financiële druk en met gebrekkige waarborgen wordt ingevoerd?
Financiële druk verhoudt zich slecht tot een zorgvuldige afweging
Volgens deskundigen voldoen de betrokken apps nog niet volledig aan de wettelijke eisen en ontbreekt voldoende bewijs voor hun effectiviteit en veiligheid; ook de eindrapportage van kennisplatform Digizo.nu komt tot een genuanceerd beeld over de mate waarin deze toepassingen kansrijk zijn voor opschaling. Het Nederlands Huisartsen Genootschap wijst er bovendien op dat de beschikbare toepassingen gebruikmaken van kunstmatige intelligentie en onderling sterk verschillen in functionaliteit en toepassing, wat een eenduidige beoordeling bemoeilijkt. Toch wordt er fors op ingezet, mede met circa 800 miljoen euro aan publiek geld. Hoogleraar huisartsgeneeskunde Niels Chavannes stelt dat praktijken "met de rug tegen de muur" staan.
Triage-apps verwerken gezondheidsgegevens, die op grond van artikel 9 AVG als bijzondere persoonsgegevens extra bescherming nodig hebben. De keuze om dergelijke software in te zetten hoort het resultaat te zijn van een zorgvuldige afweging waarin kwaliteit, veiligheid en gegevensbescherming centraal staan en niet van een financiële prikkel. Wanneer een verwerkingsverantwoordelijke feitelijk wordt gedwongen tot het gebruik van een bepaalde tool, komt die zorgvuldige afweging onder druk te staan.
Ondoorzichtige adviezen en het recht op transparantie
De onderbouwing van de adviezen van MINDD blijkt bovendien ondoorzichtig. De tool verwijst naar de Nederlandse Triage Standaard en het Nederlands Huisartsen Genootschap, maar beide organisaties ontkennen toestemming te hebben gegeven en geven aan niet te weten hoe de tool werkt; hun logo's bleven desondanks op de website staan. Daarbij blijken dezelfde symptomen tot uiteenlopende adviezen te leiden afhankelijk van bijvoorbeeld de ingevulde leeftijd.
De AVG verplicht organisaties om transparant te zijn over de verwerking van persoonsgegevens (artikelen 13 en 14 AVG), en stelt aanvullende eisen aan geautomatiseerde besluitvorming die betrokkenen in aanmerkelijke mate treft (artikel 22 AVG). Een advies over het al dan niet raadplegen van een arts, dat geautomatiseerd tot stand komt op basis van gezondheidsgegevens en waarvan de logica niet inzichtelijk is, verhoudt zich slecht tot deze beginselen.
Wat dit betekent voor organisaties
Voor zorgaanbieders die met dit soort toepassingen werken, blijft de huisarts of praktijk in beginsel verwerkingsverantwoordelijke. Dat brengt verplichtingen met zich mee die niet kunnen worden afgewenteld op de leverancier. Voorafgaand aan ingebruikname hoort te worden vastgesteld of een gegevensbeschermingseffectbeoordeling (DPIA) is uitgevoerd en of er een sluitende verwerkersovereenkomst ligt. Daarnaast moet de classificatie die de leverancier hanteert kritisch worden beoordeeld.
De DPIA als instrument om dit soort risico's vóór te zijn
Wat de onderzoeken vooral duidelijk maken, is dat de problemen niet pas zichtbaar worden bij gebruik, maar al bij de keuze om een toepassing in te voeren. Juist daar komt de DPIA in beeld. Op grond van artikel 35 AVG is een DPIA verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. De Europese toezichthouders hebben uitgewerkt aan de hand van welke criteria moet worden bepaald of daarvan sprake is. Bij grootschalige verwerking van bijzondere gegevens en geautomatiseerde beoordeling met mogelijke rechtsgevolgen wegen meerdere van die criteria mee. Een triage-app raakt daarmee vrijwel per definitie aan de DPIA-plicht.
Conclusie
De digitalisering van de huisartsenzorg ontwikkelt zich sneller dan de waarborgen die nodig zijn om kwaliteit, veiligheid en gegevensbescherming te borgen. Financiële druk, ontbrekende certificering en ondoorzichtige adviezen vormen samen een risico voor zowel de patiënt als de verwerkingsverantwoordelijke. Voor organisaties is de boodschap helder: een tool die met gezondheidsgegevens werkt, mag pas worden ingezet wanneer aantoonbaar is voldaan aan de eisen rond medische hulpmiddelen én aan de AVG. Niet alleen de juridische documentatie moet op orde zijn, maar ook de dagelijkse praktijk waarin transparantie, veiligheid en zorgvuldige gegevensverwerking daadwerkelijk worden geborgd.