Henk Duinkerken rent over een bomvolle Coolsingel in Rotterdam. Het is april 2014. Hij is bezig aan zijn laatste meters van de marathon als hij, vlak voor de finishlijn, duizelig wordt en in elkaar zakt. Het ambulancepersoneel verzamelt zich om Duinkerken heen en gebruikt een defibrillator om zijn hart weer aan de praat te krijgen. Na twee schokken komt Duinkerken langzaam bij en wordt hij naar het Erasmus MC gebracht. 

Een verstopte ader, ziet de cardioloog op de spoedeisende hulp. De blokkade zit op een vervelende plek die alleen via een openhartoperatie verholpen kan worden. 

Duinkerken is dan 53 jaar, heeft nooit eerder hartklachten gehad en is altijd een actieve sporter geweest. Hij trainde drie keer in de week bij een hardloopvereniging en liep regelmatig lange afstanden. 

Twee weken na de diagnose wordt hij geopereerd. Hoewel de operatie voorspoedig verloopt, is de cardioloog er nog niet gerust op. Onregelmatigheden in zijn hartslag zouden de boel weleens in de war kunnen sturen, waarschuwt de arts. Hij krijgt dan ook een ICD, een apparaatje dat onder de huid wordt geplaatst en ingrijpt bij gevaarlijke hartritmestoornissen. De ICD verzamelt gegevens over het functioneren van zijn hart die worden bewaard op een server van de fabrikant. 

Na de ingreep wil Duinkerken direct werken aan zijn gezondheid om herhaling te voorkomen. In zijn werk als consultant is hij voortdurend bezig met digitale innovaties en hij vraagt dan ook aan zijn behandelaar om inzage in zijn medische gegevens. Met die gegevens wil hij onderzoek doen naar het effect van zijn dagelijkse keuzes in leefstijl en voeding op zijn hart. 

Maar het inzageverzoek mondt uit in een jarenlange strijd tussen Duinkerken en het ziekenhuis. Hij neemt contact op met de manager van de patiëntenadministratie en dient verschillende malen een klacht in bij de klachtencommissie van het ziekenhuis. Tevergeefs. Ook op een aangetekende brief aan toenmalige bestuursvoorzitter Ernst Kuipers krijgt hij geen antwoord.

Persoonsgegevens

Duinkerken doet zijn inzageverzoek op grond van de Algemene Verordening Gegevensbescherming (AVG) die regelt wat er allemaal wel en niet mag met de persoonsgegevens van mensen. 

Samen met de stichting MDOG (Mijn Data Onze Gezondheid) neemt Duinkerken een advocaat in de arm met wie hij in het voorjaar van 2018 aan tafel zit tegenover de bedrijfsjurist van het Erasmus MC. Tijdens het gesprek wordt duidelijk waarom zijn data niet met hem gedeeld kunnen worden. Het Erasmus MC heeft die namelijk helemaal niet. Het enige wat ze hem kunnen geven is een stapel papieren printjes, wat ongeschikt is om analyses op uit te voeren. Geen data in ‘machine readable format’, zoals de wet dat voorschrijft.

Wie wel over Duinkerkens hartgegevens beschikt, is Medtronic, de leverancier van de ICD. Het Erasmus MC heeft sinds 2015 een hechte samenwerking met dit bedrijf. De ICD wordt uitgelezen waarna deze gegevens direct verstuurd worden naar de leverancier.

Duinkerken wendt zich tot Medtronic met het verzoek om zijn gegevens in te zien, maar wordt weer terugverwezen naar het Erasmus MC vanwege het ‘ontbreken van een rechtstreekse klantrelatie’. Duinkerken: ‘Ik heb met mijn vuist op de tafel geslagen. Het is potverdorie mijn data.’ 

Follow the Money beschikt over e-mailcorrespondentie en brieven die het verhaal van Duinkerken ondersteunen. Tot op de dag van vandaag heeft hij zijn medische data niet digitaal ontvangen. 

‘Dit vind ik echt schokkend,’ zegt Gerard Ritsema van Eck. Hij is expert data en privacy aan de Universiteit van Groningen. ‘Het recht op inzage is een fundamenteel grondrecht in de AVG. Dat het bedrijf en het ziekenhuis er moeilijk over doen, dan hebben ze er zo weinig van begrepen.’

Marketing 

In de zaak van Duinkerken gaat het om de data van één patiënt. Maar fabrikanten van medische hulpmiddelen verwerven op veel grotere schaal patiëntengegevens, zonder directe toestemming: via commerciële onderzoekstrajecten. Dat zijn gesponsorde studies die worden verricht in opdracht van de fabrikant om de veiligheid en werking van medische producten aan te tonen. 

Follow the Money onderzocht welke afspraken fabrikanten van medische hulpmiddelen maken met academische ziekenhuizen voor het uitvoeren van dit soort onderzoeken. Door middel van een beroep op de Wet openbaarheid van bestuur (Wob) ontving Follow the Money in totaal 147 onderzoekscontracten over hartkleppen, ICD’s, stents en medische apparatuur. Deze contracten schijnen licht op een handel in data die zich afspeelt buiten medeweten van degenen over wie die data gaan: de patiënten zelf.

In de meeste contracten wordt niet toegelicht welke gegevens precies verzameld worden, of zijn de betreffende passages weggelakt. Maar in een aantal overeenkomsten is wel terug te vinden welke gegevens aan de industrie worden overgedragen. Genoemd worden: (medische) dossiers, foto’s, klinische casussen, gezondheidsinformatie van patiënten waaronder diagnoses, ziektegeschiedenis, lengte, gewicht, leeftijd en geslacht. Er zijn bedrijven die genoegen nemen met geanonimiseerde of gepseudonimiseerde data tegenover bedrijven die juist alle data in handen willen krijgen. 

‘Niemand is eigenaar. De patiënt niet, het ziekenhuis niet en dus ook de leverancier niet’

Voor de medische industrie kunnen deze gegevens commercieel interessante informatie opleveren. Ze kunnen die niet alleen voor het oorspronkelijke onderzoek gebruiken, maar – zo blijkt uit de contracten – ook voor nieuwe onderzoeken, voor de verdere ontwikkeling van hun producten in de breedste zin van het woord, voor onderwijs, conferenties, publicaties en voor marketing. 

Het gaat om commercieel onderzoek, benadrukt emeritus hoogleraar farmacologie Huub Schellekens. ‘In de contracten gaat het heel duidelijk om het promoten van een product. Dit zijn studies waarbij de industrie betaalt voor patiëntengegevens en daar vervolgens eigenaar van wordt.’

In zeker 31 contracten claimen fabrikanten dat ook letterlijk: dat ze eigenaar zijn van de data. ‘Ik ben verbaasd,’ zegt Hans Vedder, hoogleraar economisch en Europees recht aan de Universiteit van Groningen die de contracten op verzoek van Follow the Money heeft bestudeerd. ‘Het gaat om zeer gevoelige persoonsgegevens die nu bij commerciële bedrijven liggen. Hiermee geeft het ziekenhuis de controle uit handen en dit is onwenselijk.’

Bart Jacobs, hoogleraar Security, privacy en identity aan de Radboud Universiteit, noemt de eigendomsclaim van fabrikanten juridische ‘onzin’. ‘Het is juridisch niet geregeld van wie patiëntengegevens zijn. Niemand is eigenaar. De patiënt niet, het ziekenhuis niet en dus ook de leverancier niet.’

Billboard

Het UMC Utrecht doet als eerste ziekenhuis in de wereld samen met Philips onderzoek naar de zogeheten Fiber Optic Realshape: een nieuwe technologie in de vaatchirurgie die voerdraden en catheters zichtbaar maakt in 3D met licht in plaats van met röntgenstraling. Daardoor kan de arts zijn medische hulpmiddelen beter zien. En doordat er minder röntgenstraling nodig is, worden operaties eenvoudiger en veiliger. 

Voor dit onderzoek wordt allerlei informatie over deelnemende patiënten verzameld: geboortedatum, geslacht, lengte en gewicht, maar ook medische gegevens van CT-scans en MRI-scans. 

‘Dit is idioot breed. Dit vind ik heftig’

‘Een kopie van al deze data wordt verkocht aan Philips,’ concludeert Gerard Ritsema van Eck, privacy- en data-expert aan de Universiteit van Groningen. ‘Dit bedrijf wil alles van de patiënten weten en kan alles met de data doen. De gegevens kunnen worden gebruikt voor nieuw onderzoek; daar kan werkelijk alles onder vallen. Dit is idioot breed. Dit vind ik heftig.’ 

‘Maar het wordt nog heftiger,’ vervolgt hij. ‘De data worden ook gebruikt voor marketingdoeleinden. Als patiënt doe je mee aan een studie, en een jaar later zie je jezelf op een billboard in een bushokje staan met de tekst: Dit Philips apparaat heeft mijn leven gered. In feite kan dit gebeuren als je deze clausule leest.’ 

Dat een commercieel bedrijf zo’n clausule voorschotelt is tot daar aan toe, maar dat het ziekenhuis akkoord is gegaan met dit contract, vindt Ritsema van Eck ‘onbegrijpelijk’. ‘Een ziekenhuis is geen commerciële organisatie, maar is opgericht om patiënten beter te maken. Deze overeenkomst maakt vooral Philips beter.’

Een woordvoerder van Philips kan niet precies vertellen voor welke marketingdoeleinden de data gebruikt worden. ‘De gegevens zouden ingezet kunnen worden in kader van een wetenschappelijke publicatie,’ laat hij weten. 

De vrees dat patiënten zichzelf daadwerkelijk kunnen terugzien op bushokjes kan hij niet met zekerheid wegnemen. ‘Er zullen ongetwijfeld meer zaken onder marketing vallen.’

Niet op de hoogte

Navraag bij het UMC Utrecht leert dat het ziekenhuis zelf helemaal niet op de hoogte is van het gebruik van patiëntengegevens voor marketingdoeleinden. Een woordvoerder laat weten: ‘Marketingdoeleinden zijn niet opgenomen in de door de patiënt gegeven informed consent. Dat is wat uiteindelijk bepaalt wat er met data gedaan mag worden. Dus Philips mag patiëntendata uit onderzoeken onder dit contract niet gebruiken voor marketingdoeleinden.’

‘Wat een algemeen falen dit’

De woordvoerder van Philips is verbaasd als blijkt dat het ziekenhuis marketing niet in de informed consent heeft staan. ‘Dat is nieuw voor mij. Ik ben verrast. Ik moet navragen hoe dit kan.’

Een paar uur later belt hij terug: ‘Ik heb geen idee waarom marketing niet in de informed consent staat. Maar als het er niet in staat, dan mag je er van uit gaan dat we de data niet gebruiken voor marketing. We handelen conform de informed consent.’

Op de vraag hoe Philips zich aan de informed consent kan houden als het niet weet wat erin staat, geeft hij geen antwoord. ‘Hier wil ik niet op ingaan, want dat wordt te veel detailniveau. Hoe het onderling is afgestemd, is niet relevant. Dat is een zaak tussen Philips en het UMCU.’

‘Schrikbarend’ noemt Ritsema van Eck de reactie van Philips. ‘We hebben het over mensen die hun heel gevoelige gegevens beschikbaar stellen voor medisch onderzoek, en dan zijn de processen aan de achterkant zo slecht geregeld. Wat een algemeen falen is dit.’

Niet ongebruikelijk, of strafbaar feit?

Volgens de ziekenhuizen die Follow the Money sprak is het delen van gecodeerde patiëntengegevens met sponsoren van klinische trials niet alleen gebruikelijk, maar zelfs noodzakelijk om medische producten op de markt te kunnen brengen. 

‘Marketing hoort bij productontwikkeling en het beschikbaar maken op de markt van medische hulpmiddelen,’ schrijft een woordvoerder van het Amsterdam UMC. ‘Het verstrekken van patiëntengegevens voor marketingdoeleinden is daarom conform het beleid.’

Conform beleid of niet: volgens Martin Buijsen staat deze praktijk haaks op het medisch beroepsgeheim. De hoogleraar gezondheidsrecht aan de Erasmus Universiteit spreekt duidelijke taal: ‘Het is niet toegestaan om patiëntgegevens te verstrekken aan derden voor commerciële doeleinden, zelfs niet met toestemming van patiënten. Je kunt een patiënt hierover namelijk niet informeren. Een arts weet niet wat er met de gegevens gaat gebeuren. Patiënten doen mee aan een onderzoek en dan gelden voor de arts-onderzoekers de regels van het medisch beroepsgeheim. Schending van het medisch beroepsgeheim is een strafbaar feit en zorgverleners kunnen daarvoor tuchtrechtelijk aansprakelijk gesteld worden.’

Perverse prikkel 

Emeritus hoogleraar Huub Schellekens bestudeerde op verzoek van Follow the Money verschillende contracten en ziet een duidelijke relatie tussen de betalingen en de overdracht van de patiëntengegevens naar de industrie. 

Als voorbeeld noemt hij een contract van Abbott, een fabrikant van cardiologische implantaten. Schellekens: ‘Het Erasmus MC ontvangt geld als de patiëntengegevens zijn overgedragen aan het bedrijf.’

Ook in een contract van Adagio, fabrikant van cardiologische producten, wordt hetzelfde ziekenhuis betaald per patiënt nadat de patiëntengegevens zijn ingevoerd in een elektronische database van de fabrikant. 

Data-expert Ritsema van Eck noemt dit een perverse prikkel: ‘Het ziekenhuis kan zoveel mogelijk patiënten laten meedoen aan de studie. Immers, iedere patiënt brengt extra geld in het laatje. Hierdoor kunnen andere belangen dan het patiëntenbelang een rol gaan spelen.’

Hoeveel van de onderzochte fabrikanten precies betalen op basis van geleverde patiëntendata is vanwege de veelal weggelakte passages niet te achterhalen. 

Doorverkoop 

Ritsema van Eck ziet nog iets opmerkelijks in het contract van Adagio: ‘De patiëntendata kunnen volgens deze overeenkomst overgedragen worden aan andere partijen, bijvoorbeeld omdat het bedrijf opgekocht wordt of omdat Adagio daar gewoon zin in heeft. Daar heeft het ziekenhuis niks meer over te zeggen.’  

Precies dezelfde clausule is ook terug te vinden in contracten van andere fabrikanten.

En nog een probleem: Veel van de fabrikanten zijn ofwel gevestigd in de Verenigde Staten, of delen hun data met Amerikaanse (zuster)maatschappijen. In de Verenigde Staten bestaat geen algemene wetgeving voor de bescherming van persoonsgegevens. Het is onder de AVG dan ook ‘in beginsel niet toegestaan om persoonsgegevens door te geven aan de VS,’ schrijft de Autoriteit Persoonsgegevens op haar website.  

‘Ik raak het spoor bijster’

Ritsema van Eck is resoluut: ‘Patiëntengegevens versturen naar de VS is hartstikke onrechtmatig. Van de terminologie die in sommige contracten wordt gebruikt krijg ik wel een beetje jeuk in dit verband. De term ‘ownership’ impliceert bijvoorbeeld dat Amerikaanse bedrijven kunnen doen wat ze willen met die data.’ 

‘Voor mij als privacy-jurist is het niet duidelijk wat er allemaal gebeurt met de patiëntendata en bij welke partijen de gegevens terechtkomen. Ik raak het spoor bijster. Als ik het al niet uit het contract kan halen, hoe moet een patiënt die meedoet aan een onderzoek dan begrijpen waar hij ja tegen zegt’, aldus Ritsema van Eck. 

Het Amsterdam UMC en het UMC Utrecht verklaren aanvullende clausules op te stellen als persoonsgegevens naar de VS gaan, maar die zijn niet terug te vinden in de contracten. Het Erasmus MC zegt ervoor zorg te dragen dat de ontvangende partij van de data maatregelen treft om de bescherming van de gegevens te waarborgen. 

Inzageverzoek

Voor hartpatiënt Henk Duinkerken is het volstrekt duidelijk hoe de vork in de steel zit. Hij gaf weliswaar toestemming om zijn gegevens te delen met zijn zorgverlener en zijn team, maar dat zijn data ook naar Medtronic zou gaan, staat niet in zijn informed consent formulier.  

Waarom het Erasmus MC Duinkerken hier niet van op de hoogte heeft gesteld, vertelt het ziekenhuis niet. Wel laat het ziekenhuis schriftelijk weten dat ‘het niet toegestaan is om als ziekenhuis vragen te beantwoorden over patiënten. In algemene zin hebben wij er geen enkel belang bij om de gevraagde gegevens niet te verstrekken. Alle patiënten kunnen tijdens het polibezoek, als ze zelf een USB stick meenemen, een PDF krijgen van de gegevens die ook tijdens een reguliere ICD controle worden verkregen. Zij moeten er zelf om vragen, het is niet standaard.’

Duinkerken laat het er niet bij zitten en is voornemens een AVG-inzageverzoek in te dienen. Zo hoopt hij na negen jaar eindelijk zijn data te kunnen ontvangen. ‘Ik voel mij klemgezet. Alsof ik gevangen zit in een dwangbuis. En de ICD-leverancier heeft zich in een prettige positie gemanoeuvreerd om de apparaten te verkopen en de data te gebruiken om mensen in die dwangbuis te houden.’