Aansprakelijkheidsrisico’s bij elektronische uitwisseling van patiëntgegevens

1. Aansprakelijkheidsrisico’s bij elektronische uitwisseling van patiëntgegevens Mr. dr. Sjaak Nouwt, Adviseur Gezondheidsrecht KNMG s.nouwt@fed.knmg.nl 030-2823274

2. Vuistregels zorgvuldig omgaan met elektronische patiëntgegevens: • Eigen dossiers goed bijhouden • Waar zinvol EPD (lokaal, regionaal of landelijk) raadplegen voor relevante informatie • Uit het EPD ontvangen gegevens van anderen goed controleren • Prompt reageren op mogelijke fouten in het EPD • UZI-pas en/of wachtwoord niet uitlenen • Onderzoeksplicht naleven • Zorgvuldig e-mailen • Beveiliging informatiesysteem actueel houden Veilig uitwisselen van elektronische patientgegevens

3. Waarom? • Beschikken over actuele en juiste informatie om uw patiënt goed te kunnen behandelen; • Waarborgen van de vertrouwensrelatie met uw patiënten; • Handelen als een ‘goed hulpverlener’ (volgens de professionele standaard) Veilig uitwisselen van elektronische patientgegevens

4. Dus niet: Veilig uitwisselen van elektronische patientgegevens

5. Juridische risico’s • Negatieve publiciteit (vertrouwen) • Tuchtrechtelijk aansprakelijk • Bestuursdwang • Last-onder-dwangsom • Strafrechtelijke vervolging • Civielrechtelijke aansprakelijkheid • Arbeidsrechtelijke gevolgen Veilig uitwisselen van elektronische patientgegevens

6. Theorie of praktijk…? • EHRM: I. vs. Finland (2008) • CBP legt 4 ziekenhuizen last onder dwangsom op wegens onvoldoende informatiebeveiliging (2009) • CBP onderzoek CHP Gorinchem (2009) • CBP onderzoek SPITZ-MH Gouda (2009) • Secretaresse kijkt in GGZ-EPD (2010) Veilig uitwisselen van elektronische patientgegevens

7. Aansprakelijkheid en EPD 3 soorten schade: • Gezondheidsschade: letselschade of overlijdensschade (ziektekosten, inkomensschade, gederfd levensonderhoud, begrafeniskosten) • Privacyschade a.g.v. schending privacy patiënt (meestal geringe immateriële schade; vermogensschade soms groter door reputatieschade of niet krijgen van een baan) • Andere schade bestaande uit kosten of verloren tijd (meestal gering) Veilig uitwisselen van elektronische patientgegevens

8. Algemene conclusies rapport UvT • De aansprakelijkheidsrisico’s bij het EPD wijken niet wezenlijk af van de soort en omvang van de risico’s die reeds gelden voor het gebruik van ICT in het huidige stelsel van gezondheidszorg. • Het EPD is nieuw, waardoor niet voor iedereen duidelijk is hoe te handelen om aansprakelijkheden te vermijden. • Onderling overleg (bv op niveau van beroepsorganisaties) is zinvol om handvatten te ontwikkelen. • Ook buiten het landelijke EPD om blijft het mogelijk om elektronisch informatie uit te wisselen. • Ook al is het een hulpverlener niet altijd verwijtbaar, hij kan toch aansprakelijk zijn voor het handelen of nalaten van hulppersonen of het gebruik van gebrekkige hulpzaken, zoals apparatuur. Veilig uitwisselen van elektronische patientgegevens

9. Niet naleving zorgplichten • Civielrechtelijk aansprakelijk: • Voor eigen fouten • Voor fouten van hulppersonen en ondergeschikten (triage-assistent, XIS-beheerder, ZSP) en • Voor hulpzaken (gebrekkige computerapparatuur) • Hulpverlener kan aansprakelijkheid niet uitsluiten (7:463 BW) • Regres (verhaal, bv op de provider) is wel mogelijk (tenzij die aansprakelijkheid contractueel heeft beperkt of uitgesloten) Veilig uitwisselen van elektronische patientgegevens

10. Niet naleving zorgplichten • Strafrechtelijk aansprakelijk: • Bij niet-voldoen aan medisch-professionele standaard waarbij sprake is van dood of ernstig letsel • Tuchtrechtlijk aansprakelijk (3 hoofdgroepen tuchtrechtklachten): • vakmatig handelen • verhouding tot patient (informed consent, toestemming, beroepsgeheim) of • verhouding met andere beroepsbeoefenaren • Privacyrechtelijk aansprakelijk: • Bij onbevoegd opvragen gegevens (zonder toestemming patiënt, zonder behandelrelatie, met verlopen UZI-pas) • Bijv EHRM: mw. I. vs. Finland, • Privacyrechtelijke aansprakelijkheid = tuchtrecht, strafrecht, bestuursrecht, civiel recht en klachtrecht Veilig uitwisselen van elektronische patientgegevens

11. E-mailen van patiëntgegevens? • Toestemming (expliciet, verondersteld), wettelijk verplicht, conflict van plichten • Identiteit ontvanger vaststellen • Gegevens versleutelen • Berichten niet in e-mail programma bewaren maar afdruk in (e-) dossier • PC/laptop beveiligen (toegang, screensaver, virusscanner, firewall) • Respecteer e-mail- en internetrichtlijnen van de organisatie • Vermijd uitingen van boosheid, vrijpostigheden, e.d. Veilig uitwisselen van elektronische patientgegevens

12. Cases (1) • Sacha de B. merkt tot haar schrik en verbazing dat een roddelblad melding maakt van haar pogingen om zwanger te raken. Daarbij worden allerlei details vermeld van behandelingen die alleen uit haar medisch dossier zouden kunnen blijken. Na tussenkomst van haar advocaat blijkt uit de logging-gegevens van het LSP dat een haar onbekende arts de gegevens heeft geraadpleegd. De arts weet van niets, maar herinnert zich na enig nadenken dat hij zijn UZI-pas en wachtwoord had verstrekt aan een tijdelijke assistente opdat zij voor hem het opzoekwerk in het EPD kon doen. De assistente blijkt de UZI-pas gebruikt te hebben om gegevens van de presentatrice op te zoeken. Veilig uitwisselen van elektronische patientgegevens

13. Cases (2) • Apotheek A legt medicatiegegevens vast en legt dit correct vast. De melding wordt gedaan bij het LSP. De cliënt komt bij apotheek B. De apotheker ziet wel dat apotheek A een medicijn verstrekt heeft, maar de computer van A functioneert niet zodat hij niet ziet welk medicijn. De patiënt krijgt een ander medicijn. De twee medicijnen hebben een zodanige interactie dat permanente gezondheidsschade optreedt. • Dezelfde casus, maar nu is het LSP uit de lucht en weet de apotheker dus ook niet dat een andere apotheek heeft voorgeschreven. Veilig uitwisselen van elektronische patientgegevens

14. Cases (3) • Een zorgverlener maakt een fout in het noteren van de bloedgroep. Bij een spoedtransfusie wordt verkeerd bloed toegediend en sterft de patiënt. Veilig uitwisselen van elektronische patientgegevens

15. Cases (4) • Het LSP is één dag lang uit de lucht, waardoor ziekenhuizen en huisartsen niet bij de patiëntengegevens kunnen en aantoonbare meerkosten maken om gegevens over patiënten te achterhalen. • Dezelfde casus, maar nu omdat een computer defect bleek, niet aan stond of een virus het doorsturen van informatie heeft geblokkeerd. Veilig uitwisselen van elektronische patientgegevens

16. Aansprakelijkheidsrisico’s bij elektronische uitwisseling van patiëntgegevens Mr. dr. Sjaak Nouwt, Adviseur Gezondheidsrecht KNMG s.nouwt@fed.knmg.nl 030-2823274