Zorgverzekeraars mogen controle uitoefenen op de rechtmatigheid en doelmatigheid van geleverde zorg volgens de verplichte en aanvullende zorgverzekeringen en voor Wlz-zorg. Hiervoor moet wel een duidelijke aanleiding zijn. De Regeling Zorgverzekering beschrijft de regels voor de materiële controle door zorgverzekeraars.
Bij ‘materiële controle’ controleert een zorgverzekeraar of een zorgaanbieder (hierna: arts) een gedeclareerde prestatie wel daadwerkelijk heeft geleverd (rechtmatigheid) en of die prestatie de meest aangewezene was (doelmatigheid). Hiervoor moet een duidelijke aanleiding zijn. Het mag alleen wanneer na eerder onderzoek met verzamelde gegevens nog steeds sprake is van een redelijk vermoeden van ondoelmatig of onrechtmatig handelen. Voor deze controle mag de zorgverzekeraar alleen als ultimum remedium en onder zeer strikte voorwaarden gebruikmaken van tot patiënten herleidbare medische gegevens.
De procedure voor de materiële controle is te vinden in de Regeling Zorgverzekering (sinds juni 2011) en in het Protocol Materiële Controle. Het Protocol is een onderdeel van de Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars (2012). De Regeling Zorgverzekering houdt onder andere in dat een arts wettelijk verplicht is om de daarvoor noodzakelijke medische persoonsgegevens te verstrekken als een zorgverzekeraar controles uitvoert. Voorwaarde is wel dat zorgverzekeraars daarbij de procedure in deze regeling moeten volgen. Het verstrekken van patiëntgegevens aan zorgverzekeraars valt onder het medisch beroepsgeheim. Op grond van de Regeling Zorgverzekering bent u echter verplicht inzage te verlenen in patiëntendossiers, mits de zorgverzekeraar voldoet aan de voorwaarden die de regeling stelt.
Volgens de Regeling generalistische ggz en de Regeling gespecialiseerde ggz van de NZa kan een patiënt die dergelijke zorg ontvangt bezwaar maken tegen het verstrekken van diagnosegegevens (DBC) op de factuur die de zorgaanbieder bij de zorgverzekeraar declareert. De patiënt kan dan gebruik maken van de privacyregeling GGZ. Wanneer de patiënt en de zorgverlener samen de Privacyverklaring generalistische ggz of de Privacyverklaring gespecialiseerde ggz hebben ingevuld en ondertekend, mag de zorgverlener de vermelding van diagnosegegevens (DBC) op de factuur achterwege laten. Ook hoeft de zorgverlener dan geen MDS-gegevens aan te leveren aan DIS (DBC Informatie Systeem).
Hebben artsen een medewerkingplicht tot het verlenen van inzage in patiëntendossiers door zorgverzekeraars bij materiële controle?
Voor zorgverzekeraars gelden de regels uit een aantal Regelingen voor de materiële controle van geleverde zorg volgens de verplichte en aanvullende zorgverzekeringen en voor geleverde Wlz-zorg [1].
Materiële controle is de controle door zorgverzekeraars of een zorgaanbieder (hierna: arts) een gedeclareerde prestatie wel daadwerkelijk heeft geleverd (rechtmatigheid) en of die prestatie de meest aangewezene was (doelmatigheid). Voor deze controle mag de zorgverzekeraar alleen gebruikmaken van tot patiënten herleidbare medische gegevens als na eerder onderzoek met geaggregeerde gegevens nog steeds sprake is van een redelijk vermoeden van ondoelmatig of onrechtmatig handelen. Er moet dus altijd een duidelijke aanleiding zijn.
De Regeling houdt o.a. in dat een arts wettelijk verplicht is om de daarvoor noodzakelijke medische persoonsgegevens te verstrekken als een zorgverzekeraar controles uitvoert. Voorwaarde is wel dat zorgverzekeraars daarbij de procedure in deze regeling moeten volgen. Het verstrekken van patiëntgegevens aan zorgverzekeraars valt onder het medisch beroepsgeheim. Op grond van de Regeling Zorgverzekering bent u echter verplicht inzage te verlenen in patiëntendossiers, mits de zorgverzekeraar voldoet aan de voorwaarden die de Regeling stelt.
Hier vindt u de geldende tekst van de Regeling Zorgverzekering, waarvan hoofdstuk 7 gaat over de verwerking van persoonsgegevens
In de Regeling Zorgverzekering is het systeem van 'Chinese muren' gehandhaafd zoals dat was gebouwd in het Addendum voor zorgverzekeraars (bijlage bij de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen uit 2003). Chinese muren moeten voorkomen dat binnen een (verzekeraars)concern medische persoonsgegevens van verzekerden - noodzakelijk voor de basisverzekering - worden gebruikt voor andere verzekeringen (bijvoorbeeld een levensverzekering of arbeidsongeschiktheids-verzekering) of diensten.
Uitgangspunt bij materiële controle is dat een zorgverzekeraar eerst de lichtere instrumenten inzet ter controle van de gedeclareerde zorg. Die lichte instrumenten zijn:
Bij gebruik van deze instrumenten is normaal gesproken geen toegang nodig tot het medisch dossier van de verzekerde.
Alleen als na de inzet van de lichtere controle-instrumenten geen ‘voldoende zekerheid’ is verkregen dat de gedeclareerde zorg rechtmatig en doelmatig is, mag een zorgverzekeraar het zwaardere instrument 'detailcontrole' op patiëntniveau toepassen. Detailcontrole is het onderzoek door een zorgverzekeraar naar patiëntgegevens die berusten bij een arts. Ook bij detailcontrole moeten eerst de lichtere vormen worden ingezet waarbij geen toegang tot het medisch dossier nodig is (bijvoorbeeld controle van gemaakte afspraken, opvragen van informatie bij verzekerden, verklaring vragen aan de arts voor afwijkende kengetallen). Daarna mogen pas de zwaardere vormen, met als ultimum remedium (laatste redmiddel) de inzage in het medisch dossier, worden toegepast. De inzage moet bovendien beperkt blijven tot die informatie die noodzakelijk is voor het specifieke onderzoek. Dat betekent bijvoorbeeld dat voor een specifiek onderzoek naar dubbele blindedarmoperaties geen inzage hoeft te worden verleend in de psychiatrische gegevens van een patiënt.
De Regeling Zorgverzekering bevat procedurevoorschriften die de zorgverzekeraar wettelijk verplicht is te volgen om de materiële controle te mogen uitvoeren. De zorgverzekeraar is bijvoorbeeld verplicht om de arts bij wie de detailcontrole wordt uitgevoerd – mondeling of op verzoek van de arts schriftelijk – te informeren over de specifieke controle bij de betreffende arts. Een zorgverzekeraar die deze procedurevoorschriften volgt, mag detailcontrole uitvoeren zonder dat de verzekerde toestemming hoeft te geven aan de arts om patiëntgegevens aan de zorgverzekeraar te verstrekken.
Volgens de Regeling Zorgverzekering geldt voor de detailcontrole dat deze alleen mag worden uitgevoerd onder de verantwoordelijkheid van een medisch adviseur in opdracht van de zorgverzekeraar. Wettelijk is nu geregeld dat als de arts voorafgaand daaraan daar om verzoekt, de medisch adviseur bij deze detailcontrole aanwezig moet zijn. Wij adviseren om voor de inzage de medisch adviseur bij de arts uit te nodigen om de controle ter plaatse uit te voeren en niet over te gaan tot het opsturen van gegevens uit uw patiëntendossiers
In afwijking van het bovenstaande kan de zorgverzekeraar met betrekking tot een individuele verzekerde ook detailcontrole uitvoeren zonder dat bovengenoemde voorwaarden van toepassing zijn. Dat is het geval als de verzekerde ten behoeve van de materiële controle (of fraudeonderzoek) schriftelijk toestemming aan de arts heeft gegeven voor de verstrekking van persoonsgegevens over diens gezondheid aan de zorgverzekeraar. Deze methode van controle is vooral van betekenis voor controle in individuele gevallen, en uiteraard niet als ‘alternatief’ voor algemene en specifieke controleplannen.
De zorgverzekeraar mag niet meer gegevens verzamelen dan noodzakelijk is gelet op het onderzoeksdoel en de omstandigheden van het geval. Dat mag ook niet als de verzekerde toestemming heeft gegeven om persoonsgegevens te verstrekken voor de detailcontrole. Wij adviseren ook hier om voor de inzage de medisch adviseur bij u uit te nodigen om de controle ter plaatse uit te voeren en niet over te gaan tot het opsturen van gegevens uit uw patiëntendossiers.
Bij een daadwerkelijk verzoek van de zorgverzekeraar aan een arts om inzage in een patiëntendossier in verband met de controle van gedeclareerde zorg, bevelen wij aan dat de arts het stappenplan volgt om te beslissen of al dan niet inzage het/de dossier(s) zal worden verleend. Dit Stappenplan inzage zorgverzekeraar i.v.m. controle gedeclareerde zorg treft u hierbij als bijlage aan.
[1] Het betreft de volgende drie Regelingen:
Een huisarts belt verontwaardigd. Hij heeft een patiënt verwezen naar een eerstelijnspsycholoog wegens ernstig depressieve klachten. Op de aanvraag voor de zorgverzekeraar heeft de huisarts gemeld dat de behandeling door een psycholoog noodzakelijk is. Nu wordt er aanvullend om de diagnose gevraagd. ‘Moet de patiënt eerst toestemmen?’, vraagt de huisarts.
Op grond van de Zorgverzekeringswet moet de privacy van de patiënt/verzekerde soms wijken voor het belang van goede uitvoering van de zorgverzekering of van de Zorgverzekeringswet. De geheimhoudingsplicht van de arts wordt daardoor doorbroken. De hoofdregel luidt dat een zorgaanbieder gezondheidsgegevens aan een zorgverzekeraar moet verstrekken als het gaat om persoonsgegevens die nodig zijn voor uitvoering van de zorgverzekering of van de Zorgverzekeringswet.
In de artikelen 7.2 en 7.3 van de Regeling zorgverzekering is aangegeven om welke gegevens het gaat (als de zorgaanbieder de verleende zorg rechtstreeks bij de zorgverzekeraar declareert).* Het betreft dan naam, adres, postcode en woonplaats van de verzekerde, het polisnummer, burgerservicenummer of sociaal-fiscaalnummer, geslacht en geboortedatum, én de prestatiebeschrijving aan de verzekerde. Daarnaast mag u gegevens verstrekken over het tarief dat u in rekening bracht voor de geleverde prestatie en de vaststelling of de prestatie behoort tot het verzekerde pakket. Zo kan de zorgverzekeraar achterhalen voor welke indicaties hulp is verleend.
Voor het verstrekken van andere gegevens is toestemming van de verzekerde vereist.**
Geeft de zorgverzekeraar of het zorgkantoor aan dat de ontvangen informatie onvoldoende of te vaag is om op basis daarvan de wet of de zorgverzekering te kunnen uitvoeren, dan is het niet onredelijk nadere informatie te verstrekken. Waarschijnlijk is het in dergelijke gevallen niet strikt noodzakelijk een zeer gedetailleerde diagnose en/of omschrijving van klachten te verstrekken, maar kunt u volstaan met de aanduiding dat de klachten behoren tot een bepaalde categorie.
Voor de Algemene wet bijzondere ziektekosten geldt dat er geen expliciete wetsbepaling is, maar dat de noodzaak van enige gegevensverstrekking aan zorgverzekeraars/zorgkantoren ook daar niet ter discussie staat. Hier is discussie mogelijk over hoeveel en welke gegevens redelijkerwijs verstrekt moeten worden.
De aanvullende verzekering valt niet onder het regime van de Zorgverzekeringswet, maar doet zich als een ‘pure’ privaatrechtelijke overeenkomst voor. Er is geen sprake van uitgewerkte afspraken zoals voor de ‘wettelijke verzekeringen’ en dat laat dus een groot ‘grijs gebied’ waarin de verzekeraar zelf kan bepalen welke eisen ‘redelijk zijn’.
De verzekeraar zal (waarschijnlijk) in de polisvoorwaarden hebben opgenomen dat de verzekeraar aan derden (zorgverleners, leveranciers en dergelijke) inlichtingen mag vragen en geven voor zover dat nodig is om de verplichtingen voor de zorgverzekering te kunnen nakomen. Zonder dergelijke gegevensverstrekking is er dan geen recht op vergoeding.
Het is goed de patiënt te wijzen op deze consequentie en bij verwijzing naar bijvoorbeeld een eerstelijnspsycholoog de toestemming van de patiënt te vragen voor de gewenste gegevensverstrekking aan de zorgverzekeraar. Mocht de patiënt die toestemming niet verlenen, dan kan de arts de informatie niet verstrekken en moet de patiënt de verzekeringsrechtelijke consequenties (geen recht op vergoeding) dragen.
* Zorgverzekeringswet en art. 7.2 Regeling zorgverzekering.
** Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars, conceptversie 2009.