Hedenmiddag verzond Privacy First de volgende brief aan de EPD-woordvoerders in de Tweede Kamer:
"Geachte Kamerleden,
Geheel terecht wees de Eerste Kamer onlangs met algemene stemmen het wetsvoorstel ter invoering van een landelijk Elektronisch Patiëntendossier (EPD) af, met name gezien de enorme privacyrisico's die dit EPD met zich zou meebrengen. Het is dan ook met grote zorg dat Privacy First inmiddels heeft kennisgenomen van ontwikkelingen die duiden op een mogelijke 'doorstart' van ditzelfde EPD langs private, buitenparlementaire weg. Een dergelijke 'doorstart' getuigt niet alleen van minachting van het democratisch proces, maar tevens van ontkenning van de risico's en zorgen op basis waarvan wettelijke invoering van een landelijk EPD (L-EPD) onlangs geen doorgang vond. Hierbij doet Privacy First dan ook een dringend beroep op u om deze ontwikkeling een halt toe te roepen en de relevante bewindspersoon ter verantwoording te roepen. In privacyrechtelijke zin blijft de Nederlandse overheid in de optiek van Privacy First immers onverminderd verantwoordelijk voor de privacy-inbreuken die uit een 'privaat L-EPD' zullen voortvloeien, juist ook gezien het feit dat een dergelijk systeem door de Eerste Kamer nadrukkelijk om privacyredenen is verworpen.
In lijn met de recentelijk aangenomen motie Franken dringt Privacy First er in dit verband tevens bij u op aan om zo spoedig mogelijk een onafhankelijke, openbare Privacy Impact Assessment (PIA) uit te (laten) voeren naar zowel 1) een landelijk EPD zoals dit betrokken private partijen voor ogen staat als naar 2) mogelijke alternatieven voor dit L-EPD. De criteria van noodzakelijkheid, proportionaliteit, subsidiariteit en keuzevrijheid dienen bij de uitvoering van deze PIA leidend te zijn. Een belangrijke rol bij de PIA zou moeten toekomen aan privacy by design en privacy enhancing technologies, waaronder bijvoorbeeld geavanceerde patiëntenpassen of personal health records. Totdat deze PIA zal zijn afgerond dienen geen onomkeerbare stappen richting een private doorstart van het L-EPD te worden gezet.
In de visie van Privacy First dient het Landelijk Schakelpunt (LSP) van het L-EPD conform de wens van de Eerste Kamer te worden omgevormd naar kleinschalige regionale systemen. Voor regionale uitwisseling is een LSP onnodig: daartoe volstaan immers regionale schakelpunten (RSP's), eventueel aangevuld met bovenregionale push-communicatie. Dit bevordert de beveiliging en vermindert de risico's van misbruik die aan een L-EPD inherent zijn."
