De ouder/voogd van een kind van 0-11 jaar kan een PGO-account aanmaken voor zijn kind

Het is nu mogelijk dat iemand anders een account aanmaakt voor een patiënt.

Het kan nu echter niet  worden geregistreerd in een PGO account, of degene die het account aanmaakt een ouder van kind van 0 tot 12 jaar is.

Bij het aanmaken van een PGO account voor een ander moet ook geregistreerd kunnen worden dat de PGO account door een ouder/voogd voor een kind van 0-12 wordt gemaakt

2.     

Een kind van 12 tot 16 kan alleen een account aanmaken in een PGO met toestemming van de ouder

Een kind kan nu een PGO account aanmaken, maar geen gegevens ophalen.

In de gebruikersvoorwaarden van PGO’s, zie bijvoorbeeld https://www.patientsknowbest.nl/user.html of Quli staat hier verder het volgende over: Een gebruiker moet ten minste 16 jaar oud zijn of goedkeuring hebben van ouder of wettelijke voogd.

Of een kind toestemming heeft van een ouder of wettelijk voogd wordt echter niet expliciet getoetst bij het aanmaken van een PGO account. Dit is vanuit wetgeving wel nodig zie ook bijlage 4.

De verwerkingsverantwoordelijke moet naar de stand van de technologieredelijke inspanningen leveren om te controleren of sprake is van (een machtiging tot) toestemming door een persoon die ouderlijke verantwoordelijkheid draagt. Welke inspanningen redelijk is, is niet bepaald. Controlemechanismen mogen er niet toe leiden dat buitensporig veel persoonsgegevens worden verzameld.[1] Bij het bepalen van de redelijke inspanningen mag worden meegewogen dat het niet gemakkelijk is om de ouderlijke verantwoordelijkheid te controleren.[2]

In bijlage 6 staat beschreven welke methodes er toegepast worden door andere partijen die digitaal diensten aanbieden bij het toetsen van de ouderlijke toestemming.

Daarnaast bestaat er een code voor digitale kinderrechten die het één en ander hierover zegt.

Een voorstel dient nog verder uitgewerkt te worden welke methode wenselijk is om toe te passen voor PGO's. 

Totdat landelijke voorzieningen zoals de gezagsmodule en TVS  ook beschikbaar komen voor PGO's. Nu zijn deze voorzieningen nog niet beschikbaar voor PGO's omdat PGO's niet BSN-gerechtigd zijn en er geen private authenticatie-middelen zijn toegestaan om te gebruiken. Wanneer deze regelgeving verandert, moet er naar verwachting een nieuw proces worden voorgeschreven voor ouderlijke toestemming. Omdat de wet voorschrijft dat "De verwerkingsverantwoordelijke  naar de stand van de technologie redelijke inspanningen leveren om te controleren of sprake is van (een machtiging tot) toestemming door een persoon die ouderlijke verantwoordelijkheid draagt." Welke inspanningen redelijk zijn is afhankelijk van de beschikbare oplossingen. Dit verandert met de tijd. Zie verder ook risico 9.

Er loopt op het moment een onderzoek door VWS of PGO's ook DigiD mogen gaan gebruiken. In de toekomst is het verder mogelijk om de landelijke toestemmingsvoorziening ook te gebruiken met private authenticatiemiddelen, mits deze goedgekeurd zijn.

3.     

Er moet een leeftijds-check beschikbaar zijn bij het aanmaken van een PGO account.

Er is nu geen check op de leeftijd van een persoon die een PGO account aanmaakt.  De leeftijd van een PGO-gebruiker moet echter bekend zijn bij een PGO-leverancier om te weten of ook de toestemming van een ouder gevraagd moet worden bij het aanmaken van een account.

Een PGO mag nu geen centrale overheidsvoorzieningen zoals DigiD gebruiken voor inloggen en het BRP gebruiken voor het controleren van de leeftijd op basis van de geboortedatum.

Mogelijke oplossingen:

• Gebruikers moeten zelf de leeftijd opgeven bij het aanmaken van een PGO account. Wanneer zij onjuiste informatie verschaffen, is dit het probleem van de gebruiker. Dit is geen voorkeursoplossing.
• Er wordt een gegevensdienst gedefinieerd die de leeftijdscategorie (0-11, 12-15, 16 en ouder) bepaalt van een PGO-gebruiker door het BRP te raadplegen. De leeftijdscategorie waarin een PGO gebruiker valt wordt teruggegeven aan de DVP, die hierop de juiste account-kenmerken instelt.
• ...

Besproken moet worden met stakeholders wat de meest wenselijke en haalbare oplossing is.

In de code voor digitale kinderrechten [40] staat verder hierover ook het een en ander over zoals:

• Zolang er geen technieken beschikbaar zijn waarmee met zekerheid de leeftijd kan worden vastgesteld of de relatie met de ouder, lijkt het afdoende om af te gaan op een eigen verklaring.

• Verder wordt dit advies gegeven om te voorkomen dat een kind de verkeerde (volwassen) leeftijd opgeeft, wanneer hij er achter komt dat zijn ouders toestemming moeten geven als hij zijn echte leeftijd invoert. En deze stap niet wil uitvoeren : Als een kind eerst een leeftijd opgeeft waarmee de toegang niet mogelijk is zonder ouderlijke toestemming, is het niet (direct) mogelijk om daarna die leeftijd aan te passen naar een oudere leeftijd/leeftijd categorie.

4.     

De beheerrechten van een PGO account moeten automatisch aangepast worden wanneer een kind 12 jaar en 16 jaar wordt. Zie ook referentie [21] of pp 9 referentie [20].

De beheerrechten van een PGO-account moeten automatisch veranderen, wanneer de leeftijd van een kind verandert naar 12 jaar en naar 16 jaar .

Wanneer een kind 12 jaar wordt dient de machtiging van de ouder(s) voor alle beheerrechten opgeheven en overgedragen te worden naar het kind. Daarnaast is aanvullende toestemming nodig voor het verzamelen van gegevens bij de DVA naar de DVP. Enkel de toestemming van de gezagdragende ouder(s) volstaat dan niet meer. Vanaf die leeftijd is immer de toestemming van de gezagdragende ouder(s) EN het kind SAMEN vereist voor het delen van de gegevens met de DVP. Zie ook referentie [21] of pp 9 referentie [20]. 

Wanneer een kind 16 jaar wordt heeft deze niet langer de toestemming van zijn ouders nodig voor de PGO-account en voor het gebruikmaken van gegevensdiensten bij een Zorgaanbieder. Daarnaast moeten de inzagerechten van een ouder vervallen bij de PGO, indien een kind een ouder hiervoor vrijwillig heeft gemachtigd.

Het is niet wenselijk dat een zorgverlener extra werk heeft aan de aanpassing van inzagerechten, etc bij een leeftijdsverandering. Vandaar de eis dat de beheerrechten automatisch aangepast moeten worden bij het veranderen van de leeftijd van een kind. 

De ouder van een kind van 0-11 jaar moet gemachtigd kunnen worden voor de gegevensdiensten Verzamelen en Delen

• Één oplossing is dat ouders met het DigiD van hun kind gegevens kunnen ophalen en delen met een Zorgaanbieder
• Een andere oplossing is dat ouders een machtiging hebben voor het ophalen  en delen van gegevens voor hun kind wanneer deze 0-11 jaar is. Deze oplossing heeft de voorkeur van Vincent (Chipsoft) en wordt ook benoemd in de handreiking Digitaal machtigen in de Zorgsector [20] 

Een kind van 12 tot 16 kan alleen gegevens en documenten ophalen van een Zorgaanbieder met toestemming van het kind en van de gezagdragende ouder(s)

Dit kan nu nog niet. Een kind heeft al wel de beschikking over DigiD om in te loggen. Maar het ophalen van de gegevens via de betreffende gegevensdiensten bij een Zorgaanbieder wordt geblokkeerd. Dit is één van de twee voorgeschreven criteria voor de beschikbaarheidstoets, zie referentie [10].

Een ouder moet toestemming geven naast het kind om gegevens op te halen bij een Zorgaanbieder, zie ook antwoorden op vragen 1 en 2 in bijlage 4.

Er is geen toestemming nodig voor het delen van gegevens. Wanneer gegevens gedeeld worden in het kader van de behandelrelatie is toestemming van de ouders niet nodig. Zie ook bijlage 4. De grondslag voor het delen is de uitvoering behandelovereenkomst. 

Een Zorgaanbieder moet de toestemming hebben van zowel het kind als één ouder voor het delen van gegevens via een gegevensdienst naar de PGO. Voor het toestemming verlenen van ouders en kinderen tot het patiëntenportaal start op korte termijn een pilot met de landelijke TVS in combinatie met de machtingsvoorziening en gezagsmodule .

Verschillende stakeholders hebben aangegeven dat het functioneel gezien wenselijk is dat het toestemmingsproces door ouders en kind voor het gebruik van een patiëntenportaal van een Zorgaanbieder, aansluit bij het toestemmingsproces voor het ontsluiten van gegevens naar een PGO. De vraag is echter of dit procesmatig en technisch ook mogelijk is. Dit dient verder onderzocht te worden.

Dat er toestemming is gegeven door ouder en kind voor verzamelen van gegevens in een PGO, moet ook een aanvullende criterium worden van de beschikbaarheids- en ontvankelijkheidsvoorwaarde in het MedMij afsprakenstelsel.

Een ouder kan de toestemming intrekken voor de PGO account van zijn kind van 12 tot 16

Een ouder moet daarnaast de toestemming kunnen intrekken voor het verzamelen van de gegevens van zijn kind van 12 tot 16 bij de Zorgaanbieder (via de DVA) aan de DVP 

9.     

Een ouder van een kind van 0-11 en een kind van 12 tot 16 kan het PGO account verwijderen

Dit kan nu al. Een gebruiker kan zijn account verwijderen.

10.  

Een ouder/voogd kan een account van een kind verwijderen bij overlijden.

Na het overlijden is een PGO niet toegankelijk voor derden, tenzij er voor het overlijden toestemming is gegeven door de eigenaar van de PGO middels een machtiging. Dit is vastgelegd in het MedMij Afsprakenstelsel. Volgens de huidige afspraken kan een ouder wanneer deze gemachtigd is als vertegenwoordiger het PGO account verwijderen. Wanneer de leverancier van de PGO niet wordt gevraagd om het account te verwijderen blijft de informatie opgeslagen onder verantwoordelijkheid van die DVP conform de gebruikersovereenkomst.

De vraag is of het wenselijk is dat een PGO account blijft bestaan wanneer de gebruiker is overleden.

Nog checken met deelnemers of & welke afspraken hierover bestaan.

Een kind van 12 tot 16 moet een ouder kunnen machtigen voor:

(a) alleen (beperkte) inzage in de gegevens van de PGO of

(b) ook het beheren van een PGO.

(c) en deze machtiging moet het kind ook weer kunnen intrekken.

Een kind moet deze machtiging vrijwillig afgeven.

Met gezag belaste ouder(s) of voogd recht hebben op informatie over een kind van 12 tot 16  jaar, voor zover die informatie relevant is voor het geven van toestemming voor een behandeling. Voor het verstrekken van overige informatie aan de gezagdragende ouder(s) of voogd is de toestemming nodig van het kind.[1] Zie ook Bijlage 1. Afhankelijk van de relatie tussen de ouder en kind, zijn er verschillen in wensen voor de toegang tot ouders:

• In de dagelijkse praktijk merken huisartsen dat toch vaak de ouders van kinderen van 12-16 de zorg en gegevens bijhouden en bijvoorbeeld bellen voor een uitslag. Kinderen doen dit niet meestal niet zelf. In dat geval wil je ouders vergaande bevoegdheid geven voor het verzamelen van gegevens uitslagen in een PGO van het kind bijvoorbeeld via een vrijwillige machtiging door het kind. In dit geval krijgen de ouders volledig beheerrechten.
• Aan de andere kant zijn er kinderen in deze leeftijdsgroep die de regie zelf nemen en alleen alle medische gegevens willen delen voor inzage met hun ouders. In dit geval krijgen de ouders volledig inzagerechten.
• Daarnaast zijn er kinderen die bepaalde gegevens voor hun ouders willen afschermen zoals een SOA of een ongewenste zwangerschap. In dit geval krijgen de ouders beperkte inzagerechten. 

Het huidige MedMij afsprakenstelsel [24] beschrijft alleen de vertegenwoordiging van een patiënt voor het uitvoeren van de functie Verzamelen

Er zijn verschillende mogelijkheden om de vrijwillige machtiging van een kind van één of beide ouders voor inzage, respectievelijk beheer van zijn PGO account in te richten, zoals:

1. Machtigen voor beheer kan gegeven worden per gegevensdienst  
2.  Machtigen kan ingericht worden op het niveau van het gebruikersaccount van de PGO van het kind. Bijvoorbeeld een andere PGO-gebruiker (de ouder) kan door een kind gemachtigd worden voor beperkte inzagerechten, onbeperkte inzagerechten of beheerrechten. (Deze mogelijkheid was ook een advies van Vincent van Chipsoft). 

Een voordeel van machtigen per gegevensdienst is dat een Zorgaanbieder inzicht heeft of er iemand gemachtigd is door een kind voor het verzamelen of delen van gegevens in een PGO. Dit is niet inzichtelijk wanneer het machtigen wordt ingericht op het niveau van het gebruikersaccount. Alleen wanneer de de machtiging voor het PGO-gebruikersaccount ook wordt geregistreerd in een landelijk register zoals gedaan wordt in het centrale machtigingsregister, kan dit inzichtelijk worden gemaakt voor Zorgaanbieders. Dit is echter nu niet het geval.

Een voordeel voor machtigen op het niveau van het gebruikersaccount, is dat een kind eenvoudiger controle heeft welke medische gegevens een ouder wel en niet mag inzien. De gegevens die een ouder niet mag inzien kan een kind bijvoorbeeld afschermen. Een PGO moet deze functionaliteit van afschermen van specifieke gegevens dan uiteraard wel aanbieden.

Een ander voordeel voor machtigen op het niveau van het gebruikersaccount en niet op gegevensdienst is dat medische gegevens van het kind worden opgeslagen in het PGO-account van het kind. En gegevens niet per ongeluk in het PGO-account en dossier van de ouder terechtkomen.

12.  

Ouders/voogden moeten hun kind van 12 tot 16 jaar kunnen vertegenwoordigen in de PGO wanneer deze handelingsonbekwaam is

Zie ook  Bijlage 4.  Voor een verzoek voor het verzamelen van gegevens in een PGO, geldt dat de Zorgaanbieder vast moet stellen of iemand wilsonbekwaam is of niet. De vraag of iemand wilsbekwaam is, vraagt altijd om een oordeel van geval tot geval. 

Artikel 15g Wabvpz regelt de uitzondering waarbij de toestemming van het kind met een leeftijd van 12 tot 16 jaar niet nodig is als het kind niet in staat wordt geacht tot een redelijke waardering van zijn belangen. Als het kind wilsonbekwaam is ter zake, beslist de ouder dus zelfstandig en geldt de dubbele toestemming niet.

Als het kind wilsonbekwaam is, hebben de gezagdragende ouders recht op alle informatie over de behandeling van het kind, inclusief recht op inzage in en een afschrift van het medisch dossier van het kind. Overigens mag de zorgverlener besluiten om de gezagdragende ouder(s) geen informatie te verstrekken als dat risico’s oplevert voor de veiligheid of ontwikkeling van het kind. Bijvoorbeeld als er vermoedens zijn van kindermishandeling.

Nog verder te bepalen.

Ter inspiratie in bijvoorbeeld het Jeroen Bosch ziekenhuis is een machtigingsproces ingericht voor patiënten onder 18 met een verstandelijke beperking, waarbij de ouders alleen inzagerechten hebben, zie [27].

13.  

Derden (tantes, zorgverleners)  moeten gemachtigd kunnen worden voor (beperkte) inzage of beheerrechten in de PGO van hun kind van 12 tot 16. Een ouder moet toestemming geven voor deze machtiging

Nog bespreken met de Patiëntenfederatie en patiëntverenigingen hoe groot de wens is voor deze functionele eis. Is dit een must of nice to have?

De verwachting is dat deze functionele eis ‘nice to have is’

Één van de ouders van kinderen van 12-15 moet toestemming geven voor een machtiging aan derden. Zie ook Bijlage 4.

 Nog verder te bepalen.

14.  

Een kind van 12 tot 16 of ouder moet de machtiging van derden kunnen intrekken voor inzage of beheerrechten

Nog verder te bepalen.

15.  

Een zorgverlener wil voorkomen dat een patiënt bepaalde gegevens in de PGO kan inzien, in het belang van de patiënt van 12 tot 16

Een hulpverlener mag een patiënt bedoelde inlichtingen onthouden voor zover het verstrekken ervan kennelijk ernstig nadeel voor de patiënt zou opleveren. Deze gegevens worden dan met degene gedeeld die de belangen van de patiënt behartigen. Op een later moment, wanneer de patiënt er wel mee om kan gaan,  kunnen deze gegevens dan wel door de patiënt opgehaald worden in de PGO

Een zorgverlener kan niet de beheerrechten van een gebruiker voor een PGO intrekken, omdat een zorgverlener geen zeggenschap heeft over een PGO. Mogelijke oplossingen zijn:

•  De zorgverlener zet de toegang voor alle gegevensdiensten waarbij gegevens verzameld worden uit. Deze actie moet dan wel heel snel kunnen worden uitgevoerd voordat deze gegevens opgehaald zijn door de patiënt.
• Een zorgverlener kan aangeven dat bepaalde gegevens of documenten niet gedeeld mogen worden via een MedMij gegevensdienst. 

Deze oplossingsrichtingen moeten nog gecheckt worden met stakeholders op haalbaarheid. In de praktijk wordt nu meestal gekozen voor het dichtzetten van alle gegevens.

Opmerkingen:

1. In de handreiking voor Digitale machtigingen in de zorg [20].  pp8 wordt als mogelijke oplossing voorgesteld dat een zorgverlener de toegang tot gegevens geheel of gedeeltelijk dicht kan zetten.
2. Het is mogelijk dat een kind gegevens van meerdere Zorgaanbieders via de PGO ontsluit en dat slechts één Zorgaanbieder merkt dat het ontsluiten van gegevens ernstig nadeel tot gevolg heeft voor het kind. Te bespreken met Zorgaanbieders (zie ook vragen in Bijlage 3): informeren Zorgaanbieders nu elkaar al wanneer dit het geval is? Hoe dan? Zou dit communicatiekanaal ook gebruikt kunnen worden om Zorgaanbieders ervan te informeren dat de gegevensdiensten 'dicht'gezet moeten worden voor een kind?

Een zorgverlener wil weten of gemachtigden inzage hebben in een PGO van een kind.

En wil voorkomen dat gemachtigden bepaalde gegevens in de PGO kunnen inzien, in het belang van de patiënt

In het kader van goed zorgverlenerschap, moet een zorgverlener soms de inzagerechten voor een gemachtigde zoals een ouder beperken. Dan moet een zorgverlener wel weten of een gemachtigde inzagerechten heeft via bijvoorbeeld een PGO.  

Wanneer een machtiging wordt gegeven per gegevensdienst en/of landelijk wordt geregistreerd in een landelijk machtigingsregister , weten zorgverleners of een gemachtigde inzicht heeft. Wanneer een machtiging op een PGO-account wordt gegeven, weten zorgverleners dit niet.

Een zorgverlener kan verder niet de inzagerechten van een ouder voor een PGO intrekken zoals dat voor patiëntenportaal van een Zorgaanbieder geldt. Mogelijke oplossingen zijn:

• De zorgverlener zet de toegang voor alle of een deel van gegevensdiensten waarbij gegevens verzameld worden uit. Deze actie moet dan wel heel snel kunnen worden uitgevoerd voordat deze gegevens opgehaald zijn door de patiënt of ouder(s). Een nadeel van deze oplossingen is dat een kind van 12 tot 16 jaar deze gegevens dan ook niet krijgt.
• De toegang wordt geregeld en dichtgezet in het brondossier zelf zodat de gegevens zijn afgeschermd voor alle vormen van uitwisseling, ook met externe zorgaanbieders). Op dit punt zou de oplossing moeten aansluiten bij de wijze waarop dit is ingericht voor patiëntenportalen.
• De zorgverlener informeert het kind van 12 tot 16 dat hij/zij de machtiging van inzage in de PGO door zijn ouders moet intrekken.

Een zorgverlener wil weten of een dossierwijzigingsverzoek, of ingevulde vragenlijst  ingestuurd is vanuit een PGO door het kind van 12 tot 16 zelf of door een gemachtigde (ouder of derde)

18.  

Bijzondere groepen zoals verstandelijk gehandicapten, jeugd-gedetineerden kunnen géén of gegevens die hun veiligheid in gevaar brengen niet ophalen in een PGO.

Een Zorgaanbieder kan de toegang tot alle of bepaalde gegevensdiensten dicht zetten voor gebruikers, die in deze groepen vallen.