Mitz is opgezet als een centrale toestemmingsvoorziening. Nederlanders kunnen met DigiD aangeven welke zorgverlener gegevens mag uitwisselen met andere zorgverleners. Het systeem bevat daarbij niet alleen die toestemmingen, maar ook een overzicht van waar alle medische gegevens van een patiënt zich bevinden. Volgens stichting Privacy First ontstaat daarmee opnieuw een infrastructuur die vergelijkbaar is met het Landelijk Elektronisch Patiëntendossier dat in 2011 strandde. De organisatie spreekt van “meta-data over je medische zorg” en waarschuwt dat er opnieuw wordt gestuurd op “één oplossing voor alles en iedereen”, zonder dat een decentraal alternatief wordt overwogen.

Uit het onderzoek van Pointer blijkt dat de manier waarop Mitz toestemming registreert veel breder uitpakt dan patiënten wordt verteld. Wie toestemming geeft voor het delen van gegevens tussen zijn eigen huisarts en apotheek, geeft automatisch toestemming voor álle apotheken in Nederland. Fijne, gerichte keuzes zijn niet mogelijk.

Bovendien ontdekte Pointer dat zorgverleners de toestemming van patiënten zelf kunnen aanpassen. In het systeem zit een functie genaamd Samen naar MijnMitz, bedoeld om mensen te helpen die digitaal niet vaardig zijn. Via die knop kunnen apothekers vanuit hun informatiesysteem direct Mitz openen, zonder opnieuw in te loggen of extra gegevens in te voeren. Pointer constateert dat deze functie het mogelijk maakt om de toestemming van een patiënt te wijzigen, ook als die persoon niet aanwezig is.

Zorgen om mogelijk misbruik
De Vereniging van Zorgaanbieders voor Zorgcommunicatie (VZVZ), beheerder van Mitz, erkent dat misbruik denkbaar is. “Op dit moment is er geen functionaliteit die het gebruik van de Samen naar MijnMitz-knop blokkeert,” laat de organisatie in een reactie weten. Ook het ministerie van Volksgezondheid bevestigt dat deze mogelijkheid bestaat, al benadrukt het dat de functie bedoeld is om drempels voor patiënten te verlagen. Tegelijk wil het ministerie dat eind volgend jaar meer dan negentig procent van de huisartsen en apotheken die al verbonden zijn met het Landelijk Schakelpunt, Mitz daadwerkelijk gebruikt.

Volgens Privacy First is er met deze opzet een systeemrisico ontstaan dat “vele malen groter is” dan bij het oude landelijke patiëntendossier. Zorgverleners kunnen in theorie zonder medeweten van patiënten toegang regelen tot medische gegevens, terwijl patiënten denken dat zij volledige controle hebben over hun toestemmingen. De Autoriteit Persoonsgegevens laat aan Pointer weten dat zij de ontwikkeling en invoering van Mitz nauwlettend volgt, maar geeft geen oordeel zolang de uitrol gaande is.