Elektronische gegevensuitwisseling in de zorg: van wet naar praktijk. Anton Ekker juridisch adviseur, Nictiz 20 mei 2011

Transcriptie

1 Elektronische gegevensuitwisseling in de zorg: van wet naar praktijk Anton Ekker juridisch adviseur, Nictiz 20 mei 2011

2 Elektronische gegevensuitwisseling in de zorg De zorgverlener is verplicht om een dossier bij te houden (dossierplicht WGBO) Uitwisseling vindt o.a. plaats via: OZIS-systemen huisartsen en apothekers Ziekenhuis-EPD Landelijk Schakelpunt (LSP) Edifact-berichten HIS/KIS 2

3 3

4 Toegang: de vertrouwensketen data identificatie authenticatie autorisatie logging 4

5 Informatiebeveiliging NEN-normen Uitgangspunten: vertrouwelijkheid integriteit beschikbaarheid onweerlegbaarheid 5

6 Toezicht College bescherming persoonsgegevens (CBP) Inspectie voor de Gezondheidszorg (IGZ) Nederlandse Zorgautoriteit (NZa) Nader uitgewerkt in toezichtkader EPD 6

7 Wettelijk kader Wgbo: verhouding arts - patiënt dossierplicht bewaartermijn geheimhoudingplicht Wbp: regels m.b.t. gegevensverwerking index- en patiëntgegevens zijn persoonsgegevens; algemene beginselen/patiëntenrechten verwerkingsgrond vereist 7

8 Wet BIG: titelbescherming/tuchtrecht wie zijn beroepsbeoefenaars? tuchtrecht Kaderwet: regulering landelijk schakelpunt (LSP) inrichting/beheer LSP verplichtingen zorgaanbieders/nictiz bestuurlijke boetes toegangsverboden bedrijfs-/verzekerings- /keuringsarts en verzekeraars 8

9 Uitwerking wettelijk kader Handreiking KNMG (september 2010) Vertrouwensmodel landelijke infrastructuur Gedragscode EGIZ 9

10 Handreiking KNMG Opgesteld n.a.v. bevindingen CBP bij regionale EPD s Onderwerpen: informatieplicht, behandelrelatie, logging. Informatieplicht: persoonlijk informeren d.m.v. brief/folder gezamenlijke en gecoördineerde actie informatie over toegang tot waarneemdossier/ps 10

11 Handreiking KNMG Logging conform NEN 7513: welke actie heeft plaatsgevonden het tijdstip identiteit van de patiënt identiteit van de actor identiteit van de verantwoordelijke voor de actie Behandelrelatie: raadpleging alleen toegestaan als sprake is van behandelrelatie toetsing aan de hand van inschrijving patiënt, werkcontext of bevestiging zorgverlener 11

12 Gedragscode EGIZ bevat praktische uitwerking geldende (wettelijke) normen eigenaar: samenwerkingsverbanden verenigd in Taskforce, ondersteund door Nictiz betreft alle systemen waarmee persoonsgegevens kunnen worden uitgewisseld doel: aanbieding ter goedkeuring door koepels aan College bescherming persoonsgegevens (CBP) 12

13 rechten van de patiënt informatieverstrekking toestemming/bezwaar) Onderwerpen autorisatie (wie ziet wat) toetsing behandelrelatie logging beveiliging 13

14 Algemeen 3.1. Uitwisseling en verstrekking uitsluitend voor zover dat noodzakelijk is voor een goede behandeling of verzorging van de Betrokkene De Betrokkene heeft de volgende rechten: - recht op informatie over de Verwerking van persoonsgegevens; - recht op het geven dan wel onthouden van toestemming voor de Verwerking van persoonsgegevens of, indien toepasselijk, het maken van bezwaar hiertegen; - recht op inzage in en correctie van de hem betreffende dossiergegevens; - recht op inzage in de op hem betrekkende gegevens in de Gebruiksregistratie; - recht op een (digitaal) afschrift van de hem betreffende gegevens; - recht op vernietiging van de hem betreffende gegevens. Dit recht geldt niet voor zover het verzoek van de Betrokkene tot vernietiging gegevens betreft waarvan redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk belang is voor een ander dan de patiënt, alsmede voor zover het bepaalde bij of krachtens de wet zich tegen vernietiging verzet; - recht op informatie over geconstateerd misbruik De Verantwoordelijke legt overeenkomstig artikel 13 Wbp passende technische en organisatorische maatregelen ten uitvoer om Persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. 14

15 Informatieverstrekking De Brondossierhouder [ ] verstrekt de Betrokkene informatie over: - de doeleinden van de Verwerking van Persoonsgegevens die via deze systemen plaatsvindt; - de identiteit van de Verantwoordelijke(n) voor de systemen; - de (categorieën van) Persoonsgegevens die door middel van de systemen kunnen worden verwerkt; - de (categorieën van) Zorgaanbieders die via de systemen toegang kunnen hebben tot Persoonsgegevens; - de mogelijkheid om toestemming voor de Verwerking van Persoonsgegevens te geven, dan wel in te trekken, dan wel om hier bezwaar tegen te maken; - de wijze waarop de Betrokkene wordt geïnformeerd bij uitbreiding van de omvang van de Verwerking van Persoonsgegevens 15

16 Informatieverstrekking Informatieverstrekking vindt plaats door de Brondossierhouder aan de Betrokkene persoonlijk: - voorafgaand aan de aansluiting op het systeem, óf - bij het eerste patiëntcontact met de Betrokkene, óf - op het moment van inschrijving van de Betrokkene in het systeem van de Brondossierhouder. Bij uitbreiding van de verwerking kan persoonlijke informatie achterwege blijven indien - permanent geïnformeerd wordt via openbare informatiekanalen; - de Brondossierhouder daar permanent naar verwijst; - aanvullende waarborgen worden getroffen voor medezeggenschap patiënt. 16

17 Pull-systemen Zeggenschap Vastlegging/beschikbaarstelling slechts met toestemming van de Betrokkene. Raadpleging slechts na toetsing behandelrelatie of met toestemming Betrokkene Push-systemen Verzending Push-berichten kan zonder toestemming van de Betrokkene, bezwaar is wel mogelijk 17

18 Autorisatie de verantwoordelijke verleent toegang alleen aan: de Brondossierhouder de raadpleger en door hem gemandateerde personen de Betrokkene systeembeheerders de verantwoordelijke stelt een autorisatiebeleid vast: gericht op beperking uitwisseling tot dat wat noodzakelijk is voor behandeling omvat toegangsrichtlijnen en rolgebonden autorisatieprofielen 18

19 Identificatie en authenticatie Zorgaanbieders: UZI-pas Burgers: Identificatie: BSN; Authenticatie: two-factor met sleutel face-to-face 19

20 Zenc: de impact van patiëntinzage op het zorgproces (jan. 2010) 20

21 Vragen?