Het College Bescherming Persoonsgegevens onderzoekt of de privacy van patiënten wordt geschonden door een database die wordt gebruikt voor declaraties in de zorg. Het zou onmogelijk zijn om via de database te achterhalen wie welke behandeling heeft gehad, maar dat blijkt volgens het CPB in de praktijk toch te kunnen.
Via het DBC-informatiesysteem (DIS) sturen ziekenhuizen en andere zorgaanbieders declaraties van behandelingen naar verzekeraars. Dit is bedoeld om de zorg transparanter te maken en om ontwikkelingen in de zorgmarkt in de gaten te kunnen houden.
In het systeem zijn behandelingen niet op naam terug te vinden, maar de postcode, het geslacht en leeftijd van patiënten worden wel opgeslagen. Zeker in dunbevolkte gebieden is hierdoor toch te achterhalen om wie het gaat.
De Nederlandse Zorgautoriteit heeft daarover een brief gestuurd aan zowel leveranciers als afnemers van DIS en doordat NU.nl deze brief heeft ingezien komt het verhaal nu naar buiten. Het CPB bevestigt tegenover NU.nl dat er inderdaad een onderzoek is ingesteld, maar wil verder niets kwijt.
DIS blijft tijdens het onderzoek gewoon bruikbaar voor het versturen van declaraties, maar de NZa (Nederlandse Zorgautoriteit) heeft een aantal derden die gegevens uit het systeem konden halen voorlopig de toegang ontzegd. Het gaat onder meer om een aantal brancheorganisaties.
Waarschuwing
Het is niet voor het eerst dat DIS in het nieuws komt vanwege mogelijke privacyproblemen. Negen jaar geleden waarschuwde het CPB het ministerie van Volksgezondheid al dat DIS één van de meest risicovolle verwerkingen van persoonsgegeven in Nederland is.
Zembla meldde vorig jaar ook dat het mogelijk is om gegevens uit DIS te herleiden naar personen, naar aanleiding van uitspraken van het Centraal Bureau voor de Statistiek dat voor onderzoek bij gegevens uit het systeem kan. En in een recente rechtszaak over de toegang tot informatie uit DIS gaf de NZa ook al toe dat informatie uit het systeem mogelijk te herleiden is naar personen.