ROM lijkt niet in strijd met privacy

Er is diepgaander onderzoek nodig om vast te stellen of het type data dat de Stichting Benchmark GGZ verwerkt al dan niet in strijd is met de regelgeving voor persoonsgegevens en privacy en de rechten van de mens. Maar het lijkt erop dat de betreffende wetten niet van toepassing zijn op de ROM-gegevens (Routine Outcome Monitoring).

Dat is de conclusie in een kort geding dat de Stichting Koepel DBC-vrije praktijken van psychotherapeuten en psychiaters (KDVP) en Stichting LOC (Landelijke Organisatie Cliëntenraden), LOC Zeggenschap in Zorg en enkele (ex-) ggz-cliënten aanspanden tegen de Stichting Benchmark GGZ. De twee stichtingen willen dat de Stichting Benchmark GGZ (SBG) stopt met het verwerken van individuele data en het verstrekken ervan aan derden, omdat dat in hun ogen niet rechtmatig is. Ook willen ze dat de SBG ex-patiënten informeert over de verwerking van gegevens die op hen betrekking heeft. De KDVP, LOC en de cliënten willen de uitkomsten van het onderzoek van de Autoriteit Persoonsgegevens niet afwachten, mede omdat deze nog wel een jaar op zich kunnen laten wachten. Het kort geding is bedoeld als een soort verkenning of de eisen tegen de SBG enige kans van slagen zouden hebben in een bodemprocedure.

Volgens de stichtingen is de verwerking en verstrekking van de ROM-gegevens in strijd met een Europese richtlijn voor de verwerking van persoonsgegevens, met de Wet bescherming persoonsgegevens en met het recht op bescherming van het privéleven in het Europese Verdrag voor de Rechten van de Mens.  Maar dan moeten die gegevens volgens de rechter wél voldoen aan de definitie van persoonsgegevens die die wetten eraan geven. Die luidt dat het gaat om een gegeven dat betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon.

Ggz-instellingen versturen ‘gepseudonimiseerde’ gegevens, die niet omkeerbaar zijn omdat de ‘sleutel’ na verzending niet meer voorhanden is, naar de Stichting ZorgTTP. Die past nog een keer onomkeerbare ‘eenwegpseudonimisatie’ toe op de gegevens. Volgens de eisers zijn de gegevens alsnog herleidbaar, bijvoorbeeld door gegevens te combineren met informatie die bijvoorbeeld via social media kan worden verkregen, door medewerkers van de SBG die een individuele patiënt kennen of door combineren van SBG-gegevens met hun eigen gegevens door zorgverzekeraars. De voorzieningenrechter vindt echter dat de eisers deze herleidbaarheid niet voldoende toelichten. Daarmee is het niet uitgesloten, maar de rechter acht het onvoldoende aannemelijk om er uitspraken over te doen in het kort geding.

Een ander punt van de eisers was dat afzonderlijke ROM-gegevens herleidbaar zijn tot één individu, die niet te identificeren is, zogeheten ‘single-out’. Maar dit soort gegevens vallen volgens de voorzieningenrechter niet zonder meer onder de privacyregelgeving, omdat het niet om een natuurlijk persoon gaat.

Een vergelijking door de eisers met de verwerking van gegevens uit het DBC Informatie Systeem (DIS), waarover de Autoriteit Persoonsgegevens in april 2016 adviseerde dat die niet meer moeten worden verstrekt aan een aantal partijen, gaat in de zaak tegen SGB niet op. Deze gegevens werden versleuteld, maar die versleuteling kon ongedaan worden door de betreffende partijen.