Zes voorwaarden voor het pseudonimiseren van gegevens

Door: Jaap van der Wel

Met het groeien van de informatie-uitwisseling in de medische sector groeit het risico van ‘collateral privacy damage’. Het versleutelen van gegevens (pseudonimiseren van gegevens) kan dit voorkomen.

Illustratie: Arend van Dam ictzorg november/december 2008 

Uitwisselen van patiëntgegevens en patiëntprivacy knellen

Rond afscherming van medische gegevens ontwikkelt zich een paradoxale situatie. Deze gegevens zijn vertrouwelijk maar worden steeds vaker en op steeds grotere schaal uitgewisseld. Dit begon in de jaren tachtig met ziekenhuisautomatisering en koppelen van bestanden binnen waarneemgroepen van huisartsen of samenwerkingsverbanden van apothekers. In de tussentijd zijn daar vele onderzoekers en statistiekmakers bij gekomen zoals het Centraal Bureau voor de Statistiek en ook beslissers zoals de centrale indicatieorganen. Binnenkort wordt daar het elektronisch patiëntendossier (EPD) aan toegevoegd evenals het elektronisch kinddossier (EKD).

Een goede volgende kandidaat is de uitwisseling van DNA-gegevens die een steeds belangrijkere rol gaan spelen bij onder meer oncologie.Met het groeien van de informatie-uitwisseling tussen medici, groeit ook de ‘collateral privacy damage’ bij de ontwikkeling en het beheer van de uitdijende ict. Zo wordt in de praktijk vaak getest met productiegegevens waardoor testverslagen met vertrouwelijke gegevens rondslingeren op de bureaus van de it’ers. Verder hebben de systeembeheerders van softwareleveranciers vaak inzage in patiëntgegevens. Met versleuteling van databases of andere oplossingen dit vaak wel tegengegaan maar als softwarestoringen verholpen moeten worden, dan is toch inzage nodig in de onversleutelde gegevens om na te gaan hoe de storing is ontstaan.

Bij een nieuw plan voor inzage in medische gegevens stelt de bedenker natuurlijk de voordelen voorop en acht gewoonlijk de privacynadelen acceptabel. De optelsom van al die plannen leidt er echter toe dat vertrouwelijke medische gegevens beginnen door te dringen tot de top van de gegevens die het meest worden rondgepompt in ons land. De pleidooien van privacy-aanhangers tegen het landelijk EPD en andere uitbreidingen zijn begrijpelijk. Ze maken echter geen schijn van kans zoals het verleden heeft laten zien: de controlebehoefte van bestuurders wint het keer op keer. Een mijlpaal voor grootschalige administraties was de bevolkingsadministratie die Napoleon tegen veel weerstand in realiseerde om met dienstplicht zijn veroveringslegers op te bouwen.

De motieven van de huidige controlebehoefte, zoals het voorkomen van ongelukken met geneesmiddelen, zijn natuurlijk nobeler dan toen. Niettemin is de tendens onmiskenbaar: gegevensuitwisseling wordt steeds grootschaliger en intensiever. Er zijn creatiever oplossingen nodig dan tegenhouden.