Uw medische gegevens zijn veilig, toch?

Dat uw privacy wat Minister Schippers betreft maar ondergeschikt is aan de eindeloze behoefte van verzekeraars om fraude te ‘bestrijden’, schreven we eerder deze week al. Dat is niet alleen de discussie over het beperken van het beroepsgeheim met betrekking tot uitkeringsfraude, ook worden de gegevens “naamloos” in een grote database opgeslagen waarin de verzekeraars hun fraudebestrijding kunnen doen. Dat kan volgens de verzekeraars niet tot privacyproblemen leiden want de gegevens zijn niet gekoppeld aan namen. In 2014 vond Zembla deze theorie al wat hol klinken omdat je met grote datasets nu eenmaal redelijk makkelijk kunt combineren. Maargoed, Edith Schippers zegt dat de gegevens veilig zijn, en dan vertrouwen we haar. Toch?

Sterker nog, juist dat de gegevens zo veilig zijn is reden voor de Open State Foundation om ze te gaan Wobben. Prima plan – als er collectief niet-gevoelige gegevens over het zorgsysteem opgeslagen worden hoeft het natuurlijk niet zo te zijn dat alleen de verzekeraars daar profijt van hebben. Op dit WOB-verzoek wordt in eerste instantie uitvoerig gereageerd met een weigering op grond van het belang van individuele zorgverzekeraars. Dit belang bestaat waarschijnlijk uit het niet willen hebben van transparantie over prijzen van behandelingen.

Vreemd genoeg wordt er tijdens de zitting ook een ander punt geïntroduceerd.

Daarnaast stelde de NZa, zonder daar daadwerkelijk onderzoek naar te hebben gedaan, dat de theoretische mogelijkheid bestaat dat het openbaar maken van gegevens over gedeclareerde zorgkosten, ervoor kan zorgen dat de informatie herleidbaar is naar een persoon. Bron: Open State Foundation

Dat is bijzonder, want Minister Schippers zei dus dat dat niet zou kunnen. De berichtgeving wordt echter bizarrer, want de NZa heeft zélf ook een verklaring.

De organisatie wil gegevens over de aard, het tarief en de frequentie van bepaalde behandelingen per zorgaanbieder. Wat is daar gevoelig aan, zou je zeggen? Voor de meeste mensen niets: het geeft hen informatie over hoe vaak een ziekenhuis een behandeling uitvoert en tegen welke prijs. Maar er is een uitzondering: als een partij zelf meer persoonsgegevens heeft en deze slim koppelt aan de openbare data. Theoretisch kan die partij op die manier meer te weten komen over iemands ziekte, of over hoe de bedrijfsvoering van een zorgaanbieder is. Bron: NZa

Het gaat hierbij onder andere over data in het DIS. De zorgaanbieders zijn eigenaar van deze, of moeten we zeggen van uw, data en bieden die standaard aan aan het NZa, het CBS, het Ministerie van VWS, en het Zorginstituut Nederland, maar ook aan derden.

Na toestemming van de data-eigenaren kan DIS ook informatie leveren aan derden, bijvoorbeeld voor beleids- of wetenschappelijk onderzoek. De databank bevat geen persoonsgegevens. Bron: DIS

Nu hebben de meeste mensen als ze een gepseudonimiseerde dataset ontvangen geen gigantische sets aan data om die aan te koppelen, maar dit soort organisaties hebben daar veel makkelijker toegang toe, nog geheel afgezien van wat er gebeurt als kwaadwillenden zichzelf gewoon toegang tot deze data verschaffen. De vraag is dus: hoe veilig zijn die data eigenlijk?