Het ministerie van Volksgezondheid neemt geen extra maatregelen om misbruik van een nieuw landelijk elektronisch patiëntendossier te voorkomen. Dat laat het departement tegenover Pointer weten. Juristen vinden dat er wel aanvullende maatregelen genomen moeten worden en dat dit ook door de AVG wordt geëist. Mitz, zoals het systeem heet, is een online toestemmingsvoorziening waarmee Nederlanders via DigiD kunnen vastleggen welke zorgverleners hun medische gegevens mogen delen met andere zorgverleners.

"Mitz bevat meta-data over je medische zorg, waaronder een lijst (index) met de locaties van al je medische gegevens en je ’toestemmingskeuzes’ voor toegang tot die gegevens, indien je je hebt aangemeld", aldus stichting Privacy First. "Net als het Landelijk EPD uit 2011 is Mitz een centraal systeem, met als achterliggend doel ‘één oplossing, voor alles en iedereen’. Een (decentraal) alternatief staat wederom niet op de agenda."

Een voornaam kritiekpunt op Mitz is dat toestemming zeer breed wordt vastgelegd. Het is bijvoorbeeld niet mogelijk voor een patiënt om in te stellen dat de eigen huisarts alleen gegevens met de eigen apotheek mag delen. Wanneer de patiënt toestemming geeft, geldt die automatisch voor álle apotheken in Nederland, zo liet Pointer eerder weten. Voor apothekers is een knop in het systeem aanwezig, de ‘Samen naar Mijn Mitz-knop, waarmee ze namens mensen die niet digitaal vaardig zijn toestemming kunnen instellen.

Zorgverleners zouden deze functie kunnen misbruiken om iemands toestemming aan te passen zonder dat de patiënt aanwezig is, zelfs als iemand nadrukkelijk heeft aangegeven geen gegevens te willen delen. Juristen laten tegenover Pointer weten dat alleen het loggen van wijzigingen in Mitz niet voldoende is om misbruik tegen te gaan. "De AVG eist voor het beveiligen van gegevens organisatorische maatregelen, zoals beroepseed, logging en technische beveiliging. Juist die technische maatregelen kunnen in dit geval beter", stelt hoogleraar ICT en recht Frederik Zuiderveen Borgesius tegenover Pointer.

Het ministerie van Volksgezondheid stelt dat misbruik nooit honderd procent is te voorkomen. "Daarnaast blijft het essentieel dat gebruikers zich houden aan wettelijke richtlijnen als ook de professionele afspraken en gedragsregels die binnen hun beroepsgroepen zijn vastgesteld." Zowel Borgesius als privacy-advocaat Menno Weij pleiten voor het toevoegen van sms-verificatie. Een apotheker kan dan alleen toestemmingen aanpassen met een sms-code die de patiënt krijgt.

Het ministerie is echter niet van plan om extra waarborgen tegen misbruik in te bouwen. "Om misbruik zoals onrechtmatig handelen van individuen tegen te gaan is het van belang dat men zich aan de wet houdt en dat beroepsafspraken worden nageleefd. Ook ligt er een verantwoordelijkheid bij zorgaanbieders om hun interne processen, intern en extern toezicht en opleiding zo in te richten dat gebruikers de voorziening zorgvuldig en correct volgens de geldende afspraken toepassen."