Een wereldwijd Elektronisch Patiënten Dossier (EPD). Dat hebben we nodig, vindt de EU, onder aanvoering van Neelie Kroes. Het staat op de agenda voor uitbreiding van de digitale dienstverlening. Hiervoor tekenden Kroes en de Amerikaanse Secretary of Health and Human Services Kathleen Sebelius in december een akkoord. De bedoeling is dat uitwisseling van medische gegevens mogelijk wordt tussen de VS en de landen van de EU. Beide bewindsvrouwen zeiden dat dit van groot belang is voor bedrijven die actief zijn of willen worden in de e-health sector, en ook voor de patiënten. “Nothing makes more of a difference to people's lives than good health,” aldus Kroes. Daar heeft ze natuurlijk een punt.

Volgens de EU zal “the deployment of eHealth technologies in Europe” “improve the quality of care, reduce medical costs and foster independent living, including in remote places”, dit alles in navolging van het eHealth Lead Market Initiative (LMI). Ook daar kan ik me nog wat bij voorstellen. Dit LMI is één van de zes gebieden waarop de Europese industrie zich in steun vanuit de EU kan verheugen. In het oprichtingsrapport staan lovende woorden voor de mogelijkheden. Heel mooi is ook dat security in het document wordt benoemd als een speciaal aandachtsgebied.

Nu ben ik er niet per definitie op uit om een domper op al deze blijheid plaatsen, maar het zal toch moeten. Het hoofdstuk security wordt afgedaan met de opmerking dat het onderwerp onder een ander Europees aandachtsgebied valt, namelijk het innovatie-stimuleringsprogramma FP7, ook wel KP7 genoemd (voluit: Framework Programme of Kaderprogramma 7). In FP7 wordt e-health inderdaad genoemd maar je moet wel erg van goede wil zijn wil je beweren dat daar iets substantieels gebeurt voor de elektronische beveiliging van de zorg. Het is eigenlijk vooral een verwijzing naar weer een ander bestuurlijk kader, waar vervolgens vooral leegte te vinden is.

Hou deze gedachte even vast: het doel is de softwarebedrijven te verlossen van de landsgrenzen die nu belemmerend zouden werken, zodat de burger betere zorg kan krijgen. En daarom moet er dus uitwisseling komen tussen EPD’s wereldwijd. Klopt deze redenering wel?

De zorg heeft al jaren internationale standaarden voor patiëntgegevens, zoals HL7, die vrijwel algemeen toegepast worden. Zorginstellingen kunnen dus al jaren gegevens uitwisselen. Maar, zoals het nog steeds niet bijster landelijke EPD bewijst, dat willen ze niet! Het gaat om concurrentieoverwegingen. De grootse bedreiging van de privacy van het landelijk EPD is niet dat de psychiatrische dossiers van bekende Nederlanders lekken naar RTL Boulevard. De grootste bedreiging is dat iedereen die weet hoe je een SQL query bakt, precies kan zien hoe goed en hoe kosteneffectief welke zorginstelling of medicus is. Met marktwerking in zicht voorwaar geen prettig idee. De deelnemers aan het EPD willen dan ook helemaal niet deelnemen, dat mogen ze alleen niet vertellen want dat is politiek niet opportuun. Concurrenten willen gewoon niet samenwerken, ook niet als het moet vanwege een computersysteem.

Goed, ze willen niet en de security stelt niets voor. Maar daarom kan een wereldomspannend EPD op zich nog wel een goed idee zijn. Voor wie? Me dunkt voor de mensen die veel in het buitenland verkeren. Hoeveel mensen zijn dat eigenlijk? Hoeveel procent van de tijd zijn Europese burgers in een ander land? Twee procent? Vier? Meer zal het niet zijn. Maar dat is zeker nog geen twee procent van de patiënten. De mensen die het meest van zorg afhankelijk zijn, zijn het minst mobiel: de ouderen. Alle overwinteringen ten spijt; zodra de zorgbehoefte stijgt, is het adios Costa del Sol en terug naar Voorthuizen.

Mensen die wel veel in het buitenland zijn, zoals expats en studenten, zijn bovengemiddeld gezond. Zelfs al zou de Europese burger gemiddeld tien procent van de tijd over de grens zijn, dan rechtvaardigt de zorgbehoefte over de grens een wereldwijd EPD zonder zeer doortimmerde beveiliging zeker niet. En de wereld buiten de EU is ook nog best wel groot. Hoeveel procent van die landen waar we overwinteren of onze vakantie doorbrengen is zo geavanceerd dat daar een aansluiting op een wereldwijd EPD zinvol is? Bedenk, er is een wereld van verschil tussen Thailand en Finland; er gaan veel meer Nederlanders naar Thailand dan naar Finland. In Finland zal ieder ziekenhuis een EPD hebben, maar in Thailand, Egypte, Belize? Neuh. Oftewel, om wellicht één promille van alle medische cases te dekken, wordt een wereldwijd ICT project opgetuigd. En, zoals het blijkbaar hoort bij ICT en zorg, dat moet dan op een koopje.

Onder het mom van betere zorg voor van de ‘wereldburger’ worden EPD’s wereldwijd met een gigantische impact op de privacy en veiligheid genormaliseerd en gekoppeld. Gigantische impact? Ja, best wel. De lokale dienstkloppers, de chanteurs, de loverboys en de secties Stiekem Wereldwijd krijgen toegang tot je patiëntgegevens als ze maar genoeg aandringen. Voor je het weet word je aan de grens van je favoriete vakantieland geweigerd omdat je huisarts geregistreerd heeft dat je maar niet van het roken af komt. Of wordt je dochter opgewacht door een paar gladde types met gouden kettinkjes omdat haar psychiater in het dossier schreef dat ze gemakkelijk te beïnvloeden is. Een groot systeem is nu eenmaal per definitie kwetsbaarder dan een klein systeem. Het aanvalsoppervlak en de bedreiging (het rendement van een gerichte aanval) groeit exponentieel wanneer de omvang lineair groeit. En de beveiligingskosten groeien evenzeer exponentieel. De enige bestuurlijke oplossing voor dat probleem is – zoals altijd - de veiligheidsmaatregelen weg te laten en het gat te vullen met loze praatjes. Zet dat maar niet in de folder, nee.

Het verbeteren van de zorg voor de patiënt middels wereldwijde e-health voorzieningen is dus een loos verkooppraatje. Het echte verhaal is veel banaler: de EU wil Europese bedrijven in de e-health sector ondersteunen. Dat is nodig, omdat Microsoft en Google zich op de materie gestort hebben, en de Europese bedrijven niet tegen deze giganten op kunnen. De vraag is echter of ze dit met een beetje industriepolitiek vanuit Brussel wel zullen kunnen. Het is je wellicht nog niet opgevallen, maar het taboe op industriepolitiek is helemaal weg. Een taboe dat ontstaan is in de jaren tachtig toen bij de parlementaire enquête naar RSV en de bauxietschraper voor Suriname bleek dat industriepolitiek een onverantwoordelijke bestuurlijke hobby is. De overheid schoot kwakkelende bedrijven te hulp in moeilijke economische tijden. Deze industriepolitiek hield een aantal grote, oude en ongezonde bedrijven iets langer weg bij de curator, waarmee gezonde bedrijven oneigenlijk beconcurreerd werden. En waarmee de burger met een onbetaalde rekening van miljarden achterbleef. Geld dat de burgers in de economisch sombere jaren ’80 liever in de portemonnee hadden gehad. Geld dat voor een deel afkomstig was uit de pensioenfondsen die ons straks niet zullen uitbetalen.

Industriepolitiek werkt niet – een goede ondernemer met een goed plan werkt wel. Een goede ondernemer kan altijd wel aan geld komen, zelfs als de rente 12% is, zoals bleek in diezelfde jaren ‘80. Alleen slechte ondernemers met een mager plan hebben subsidie nodig. Helaas is het gemakkelijker om subsidie van Brussel of Den Haag te krijgen dan om een goed ondernemer met een goed plan te zijn.

Industriepolitiek is het belangrijkste speerpunt van ons kabinet en ook bij de EU zijn ze er wel van; de overheid strooit anno 2011 lustig met subsidies voor bevriende grote bedrijven. Ik mag natuurlijk niet opschrijven dat dit helpt om straks een leuk commissariaatje te scoren, maar de gedachte gaat wel door mijn hoofd. Dat is het meest opvallend bij het innovatiedossier - de geldstromen worden weggehaald bij TNO en de universiteiten en gaan naar grote bedrijven die natuurlijk eigenlijk helemaal geen subsidie nodig zouden hebben. Dom? Zeker. Maar de RSV-enquête is al weer meer dan 25 jaar geleden is en wie weet dat nu nog?

In het geval van de internationale standaardisatie van het EPD is dit dan ook de echte reden; Europese softwarebedrijven krijgen een duwtje in de rug en daar is ongetwijfeld stevig voor gelobbyd. Dat dit twee kanten op werkt, ontgaat de Europese commissie blijkbaar ten enen male: buitenlandse bedrijven krijgen door deze insteek natuurlijk ook meer toegang tot de Europese markt.

Met dit beetje industriepolitiek zullen de Europese e-health bedrijven de wereldmarkt heus niet veroveren; de steun moet heel substantieel zijn, wil het helpen om Google en Microsoft te verslaan. Maar dat is te duur voor Brussel en Den Haag. Dus dan lijkt een gratis maatregel als een verdrag om het EPD technisch te standaardiseren een mooie daad.

De kernvraag is wat de Europese burger aan deze industriepolitiek heeft. Dat iets van Microsoft of Google is, is niet het beste voorteken voor veiligheid en privacy, maar waarom zou de Europese concurrentie zo veel beter zijn dat ze de markt kunnen veroveren op de twee machtigste ICT-bedrijven ter wereld? De privacy en de veiligheid van de burger wordt hier onnadenkend opgeofferd aan een beetje symbolische industriepolitiek. En goedkoper wordt het vast ook niet.

Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Laatste 10 columns