...

• Of dit één of alle PGO's betreft?
• Wat is de huidige PGO functionaliteit tav 'verwijderen'?
• Wat is de huidige PGO communicatie strategie tav 'Managen van je gezondheidsgegevens' inclusief verwijderen en opheffen van je account?

Oplossingsrichting/scenario

• Opstellen specifieke eisen tav PGO user scenario voor verwijderen van specifiek met  MedMij opgehaalde gezondheidsinformatie. 
• Opstellen specifieke eisen tav het volledig verwijderen van gebruikersprofiel inclusief alle gerelateerde gezondheidsdata.
• Opstellen specifieke eisen tav PGO user scenario voor 'bulk' verwijderen van  met MedMij opgehaalde gezondheidsinformatie.

Aandachtspunten

•  Wat staat er in het MedMij 1.5 stelsel over specifiek verwijderen van gezondheidsinformatie
  
•  Wat staat er in het MedMij 1.5 stelsel over opheffen van PGO gebruikers account
•  Wat betekent dit voor logging?
•  Wat betekent dit voor rapportages
•  Wat betekent dit voor de bewaartermijn wanneer je gegevens ophaalt en vervolgens weer verwijdert?
•  Gaat dit alleen over opgehaalde gegevensdienst of ook over abonnement verwijderen?
•  Wat betekent 'verwijderen voor het verwijderen van gegevens die je eerder met een zorgverlener hebt gedeeld?
•  Wat betekent 'opheffen van je gebruikersaccount' voor het verwijderen van gegevens die je eerder met een zorgverlener hebt gedeeld?
•  Moet er een verplichte retentietijd zijn voor een gezondheidsinformatie element die je uit ge PGO verwijdert?
•  Is een GUI stijl voorschrift tav navigatie naar optie 'opheffen gebruikersaccount' noodzakelijk
•  Wat is selectief verwijderen (Scope)

...

Analyse

Oplossingsrichting/scenario

• Opstellen specifieke eisen tav PGO user scenario voor verwijderen van specifiek met  MedMij opgehaalde gezondheidsinformatie. 
• Opstellen specifieke eisen tav het volledig verwijderen van gebruikersprofiel inclusief alle gerelateerde gezondheidsdata.
• Opstellen specifieke eisen tav PGO user scenario voor 'bulk' verwijderen van  met MedMij opgehaalde gezondheidsinformatie.

Aandachtspunten

•  Wat staat er in het MedMij 1.5 stelsel over specifiek verwijderen van gezondheidsinformatie
  
•  Wat staat er in het MedMij 1.5 stelsel over opheffen van PGO gebruikers account
•  Wat betekent dit voor logging?
•  Wat betekent dit voor rapportages
•  Wat betekent dit voor de bewaartermijn wanneer je gegevens ophaalt en vervolgens weer verwijdert?
•  Gaat dit alleen over opgehaalde gegevensdienst of ook over abonnement verwijderen?
•  Wat betekent 'verwijderen voor het verwijderen van gegevens die je eerder met een zorgverlener hebt gedeeld?
•  Wat betekent 'opheffen van je gebruikersaccount' voor het verwijderen van gegevens die je eerder met een zorgverlener hebt gedeeld?
•  Moet er een verplichte retentietijd zijn voor een gezondheidsinformatie element die je uit ge PGO verwijdert?
•  Is een GUI stijl voorschrift tav navigatie naar optie 'opheffen gebruikersaccount' noodzakelijk
•  Wat is selectief verwijderen (Scope)

Analyse

Dienstverlener persoon biedt Persoon de functie Raadplegen dossier om het persoonlijk gezondheidsdossier te raadplegen.

Aannames:

Opstellen specifieke eisen tav PGO user scenario voor verwijderen van specifieke opgehaalde gezondheidsinformatie. 

...

Aannames:

Opstellen specifieke eisen tav PGO user scenario voor verwijderen van specifieke opgehaalde gezondheidsinformatie. 

• gebruiker is ingelogd en heeft toegang tot zijn PGO opgehaalde gezondheidsinformatie elementen.
• Verwijderen is alleen lokaal in zijn PGO omgeving, geen interactie vanuit DVP met DVA noodzakelijk.
• UI bevestigd verzoek om verwijderen en geeft expliciet weer dat dit alleen binnen PGO omgeving plaatsvindt (en niet in enig bron systeem)
• Verwijdering is een actie die valt onder Logging verplichting (ref NEN 7513)
  
• Verwijdering betekent ook daadwerkelijk verwijderen van de data, niet het niet 'zichtbaar' zijn van de data (ref NEN 7510 A.8.3.2 verwijderen van media)

Opstellen specifieke eisen tav het volledig verwijderen van gebruikersprofiel inclusief alle gerelateerde gezondheidsdata.

• Opheffen van gebruikersprofiel moet vanuit de gebruiker (persoon) direct vanuit de GUI binnen 2 clicks toegankelijk zijn. (dus niet verstopt in sub,sub,sub menu)
• Opheffen proces flow biedt de optie om alle verzamelde en persoonlijke opgehaalde en gedeelde gezondheidsinformatie te exporteren (portabiliteit)
• Opheffen van gebruikersprofiel voldoet aan AVG Recht op vergetelheid.
  
• Opheffen van gebruikersprofiel voldoet aan Logging verplichting (ref NEN 7513)

PGO is breder dan MedMij, het volledig verwijderen van het gebruikersprofiel valt buiten de reikwijdte van het MedMij stelsel.
Stel hiervoor wel user-stories op, waarmee we dit onderscheid kunnen duiden.

• Bulk verwijderen van met MedMij opgehaalde gezondheidsinformatie
• Verwijdering is een actie die valt onder Logging verplichting (ref NEN 7513)
  
• Verwijdering betekent ook daadwerkelijk verwijderen van de data, niet het niet 'zichtbaar' zijn van de data (ref NEN 7510 A.8.3.2 verwijderen van media)

Opstellen specifieke eisen tav het volledig verwijderen van gebruikersprofiel inclusief alle gerelateerde gezondheidsdata.

• Opheffen van gebruikersprofiel moet vanuit de gebruiker (persoon) direct vanuit de GUI binnen 2 clicks toegankelijk zijn. (dus niet verstopt in sub,sub,sub menu)
• Opheffen proces flow biedt de optie om alle verzamelde en persoonlijke opgehaalde en gedeelde gezondheidsinformatie te exporteren (portabiliteit)
• Opheffen van gebruikersprofiel voldoet aan AVG Recht op vergetelheid.
  
• Opheffen van gebruikersprofiel voldoet aan Logging verplichting (ref NEN 7513)

PGO is breder dan MedMij, het volledig verwijderen van het gebruikersprofiel valt buiten de reikwijdte van het MedMij stelsel.
Stel hiervoor wel user-stories op, waarmee we dit onderscheid kunnen duiden.

• Bulk verwijderen van met MedMij opgehaalde gezondheidsinformatie
• Verwijdering is een actie die valt onder Logging verplichting (ref NEN 7513)
  
• Verwijdering betekent ook daadwerkelijk verwijderen van de data, niet het niet 'zichtbaar' zijn van de data (ref NEN 7510 A.8.3.2 verwijderen van media)

Als verwijderen als uitgangspunt wordt genomen is 'bulk' verwijderen een specialisatie hiervan.

...

Geen info gevonden over scenario 'Opheffen gebruikersaccount' in MedMij 1.5 stelsel (check met Casper!)

"Omdat deze functie zich niet over meerdere domeinen uitstrekt, is zij niet nader gespecificeerd in een stroomdiagram. Het is aan de vrijheid van de Deelnemer om deze naar behoefte van haar klanten in te richten. Maar zij mag niet ontbreken, omdat dan de Persoon geen Regie over het dossier zou kunnen voeren."

Ook het opheffen van een gebruikersaccount gaat over interne functionaliteit van een PGO.

2022-03-08 Gesprek met Casper: Stelsel kan wel wat specificeren voor gezondheidsinformatie die via 'Verzamelen' of via 'Abonnement' is verkregen in 'bulk' kan worden verwijdert. Maar Opheffen gebruiksprofiel past niet in de MedMij stelsel scope.

Wat staat er in het MedMij 1.5 stelsel

Ref: MedMij Core

De volgende elementen zijn relevant voor de usecase 'Verwijderen' en 'Opheffen Gebruikersaccount'

Verwijderen in deze context betreft alleen het verwijderen van opgeslagen gezondheidsinformatie uit het persoonlijk PGO Dossier

Domein

• Persoonsdomein

Rollen

...

Applicatie

• User Agent 
  
• DVP Server

Functies

• Verwijderen is niet opgenomen in versie 1.5
• Account opheffen is niet opgenomen in versie 1.5

Gegevens

• Dossier (PGO)

Informatiemodellen Informatiemodellen

•  

  Metamodel, geen aanpassing nodig. (check met Casper!)

•  Logische modellen geen aanpassing nodig (check met Casper!)

...

Wat betekent dit voor logging

De in de NEN 7513 voorgeschreven wijze van logging heeft als doel een betrouwbaar overzicht te kunnen leveren van de gebeurtenissen waarbij persoonlijke gezondheidsinformatie is verwerkt. Verwerken is hier bedoeld zoals gedefinieerd in de AVG en NEN7510. 

Dit betekent dat voor alle verwijderacties van gezondheidsinformatie uit het PGO er per verwijderactie een log-entry aangemaakt moet worden.
Voor het opheffen van de gebruikersaccount geldt dit ook, de gebruikersaccount met alle bijbehorende data moet verwijdert worden. NEN 7513 beschrijft dat dit ook in de logging moet worden geregistreerd.

Wat betekent dit voor de bewaartermijn wanneer je gegevens ophaalt en vervolgens weer verwijdert?

Intern in het PGO is er geen verplichte bewaartermijn voor de opgehaalde of zelf ingevoerde en toegevoegde gezondheidsinformatie. De visie voor het PGO is dat dit een gezondheidsinformatie/levensloopdossier onder eigen regie is. Het PGO faciliteert dan ook het langdurig bewaren van gezondheidsinformatie, zowel verzameld via MedMij of persoonlijk toegevoegd.

Een punt van aandacht is dat bij de zorgverleners (aanbieders) er wel dossier bewaar- en opvraagbaarheid-termijnen gelden (regelgeving Zorgdomein). De opvraagbaarheid termijn is bv bij huisartsen beperkt tot 18 maanden. Wanneer deze is verlopen is het opnieuw vanuit het PGO opvragen niet meer mogelijk.

...

Moet er bij het verwijderen van MedMij zorginformatie een verplichte melding zijn dat dit mogelijk betekent dat de informatie in een later stadium niet meer opvraagbaar is?

Gaat dit alleen over PGO gezondheidsinformatie of ook over abonnement opheffen?

Voor de usecase verwijderen is abonnement opheffen buiten scope.

De usecase abonnement opheffen is onderdeel van de usecase abonneren:

Abonneren 2.2 item 4 Beëindigingsverklaring Abonnement  

...

Als verwijderen als uitgangspunt wordt genomen is 'bulk' verwijderen een specialisatie hiervan.

Wat staat er in het MedMij 1.5 stelsel

Ref: MedMij Core

De volgende elementen zijn relevant voor de usecase 'Verwijderen' en 'Opheffen Gebruikersaccount'

Verwijderen in deze context betreft minimaal het verwijderen van via MedMij verzamelde gezondheidsinformatie uit het persoonlijk PGO Dossier

Domein

• Persoonsdomein

Rollen

• Persoon
• Dienstverlener persoon(DVP) als ontwikkelaar van User Agent (PGO) en DVP Server

Applicatie

• User Agent 
  
• DVP Server

Functies

• Verwijderen is niet opgenomen in versie 1.5
• Account opheffen is niet opgenomen in versie 1.5

Gegevens

• Dossier (PGO)

Informatiemodellen Informatiemodellen

•  

  Metamodel, geen aanpassing nodig. (check met Casper!)

•  Logische modellen geen aanpassing nodig(check met Casper!)

Wat betekent dit voor logging

De in de NEN 7513 voorgeschreven wijze van logging heeft als doel een betrouwbaar overzicht te kunnen leveren van de gebeurtenissen waarbij persoonlijke gezondheidsinformatie is verwerkt. Verwerken is hier bedoeld zoals gedefinieerd in de AVG en NEN7510. 

Dit betekent dat voor alle verwijderacties van gezondheidsinformatie uit het PGO er per verwijderactie een log-entry aangemaakt moet worden.
Voor het opheffen van de gebruikersaccount geldt dit ook, de gebruikersaccount met alle bijbehorende data moet verwijdert worden. NEN 7513 beschrijft dat dit ook in de logging moet worden geregistreerd.

Wat betekent dit voor de bewaartermijn wanneer je gegevens ophaalt en vervolgens weer verwijdert?

Intern in het PGO is er geen verplichte bewaartermijn voor de opgehaalde of zelf ingevoerde en toegevoegde gezondheidsinformatie. De visie voor het PGO is dat dit een gezondheidsinformatie/levensloopdossier onder eigen regie is. Het PGO faciliteert dan ook het langdurig bewaren van gezondheidsinformatie, zowel verzameld via MedMij of persoonlijk toegevoegd.

Een punt van aandacht is dat bij de zorgverleners (aanbieders) er wel dossier bewaar- en opvraagbaarheidstermijnen gelden. De opvraagbaarheid termijn is bv bij huisartsen beperkt tot 18 maanden. Wanneer deze is verlopen is het opnieuw vanuit het PGO opvragen niet meer mogelijk.

Voor de gebruiker moet het duidelijk zijn dat een verwijder actie gevolg kan hebben voor de later (en langdurig) beschikbaar hebben van zijn gezondheidsinformatie.

Gaat dit alleen over PGO gezondheidsinformatie of ook over abonnement opheffen?

Voor de usecase verwijderen is abonnement opheffen buiten scope.

De usecase abonnement opheffen is onderdeel van de usecase abonneren:

Abonneren 2.2 item 4 Beëindigingsverklaring Abonnement  

Wat betekent dit voor het verwijderen van  gegevens die je eerder met een zorgverlener hebt gedeeld?

Zoals in de aannames is gesteld, het verwijderen betreft minimaal het verwijderen van met MedMij verzamelde gezondheidsinformatie uit je PGO dossier.
Er vindt geen synchronisatie (Cascading Data Deletion) plaats met eerder gedeelde (functie Delen) informatie. Dit betekent dat gedeelde informatie bij de ontvangende zorgverlener blijft bestaan.

(analoog aan het scenario: ik heb mijn 'meetwaarden' opgeschreven op mijn weekoverzicht. Deze deel ik (bellen/mailen) met mijn huisarts/praktijkondersteuner. En vervolgens gooi ik na een maand mijn 'oude' weekoverzicht weg).

Moet er een blokkering op verwijderen zijn voor gedeelde gezondheidsinformatie? => Nee, deze is gedeeld met een zorgverlener waarmee ook een behandelrelatie bestaat (voorwaarde voor delen). Om de gedeelde gezondheidsinformatie bij de zorgverlener te (laten) verwijderen moet hier een apart verwijder verzoek plaatsvinden. (Buiten de scope van het PGO!).

(zie onderstaand informatie blok => AVG lijkt ruimte te hebben om gedeelde informatie in bepaalde gevallen oa medisch te bewaren)

Wat betekent 'opheffen van je gebruikersaccount' voor het verwijderen van gegevens die je eerder met een zorgverlener hebt gedeeld?

Wat betekend het 'Bulk' verwijderen van de  met Medmij verzamelde en vervolgens gedeelde gegevens?

Zoals in de aannames is gesteld, het verwijderen betreft alleen het verwijderen van met MedMij verzamelde gezondheidsinformatie uit je PGO dossier. Bij het opheffen van je gebruikersaccount zal je volledig in dit PGO opgebouwde dossier verwijdert worden (AVG Recht op vergetelheid). Er vindt geen synchronisatie (Cascading Data Deletion) plaats met eerder gedeelde (functie Delendelen) informatie. Dit betekent dat gedeelde informatie bij de ontvangende zorgverlener blijft bestaan.

(analoog aan het scenario: ik heb mijn 'meetwaarden' opgeschreven op mijn weekoverzicht. Deze deel ik (bellen/mailen) met mijn huisarts/praktijkondersteuner. En vervolgens gooi ik na een maand mijn 'oude' weekoverzicht weg).

Moet er een blokkering op verwijderen zijn voor gedeelde gezondheidsinformatie? => Nee, deze is gedeeld met een zorgverlener waarmee ook een behandelrelatie bestaat (voorwaarde voor delen). Om de gedeelde gezondheidsinformatie bij de zorgverlener te (laten) verwijderen moet hier een apart verwijder verzoek plaatsvinden. (Buiten de scope van het PGO!).

(zie onderstaand informatie blok => AVG lijkt ruimte te hebben om gedeelde informatie in bepaalde gevallen oa medisch te bewaren)

Wat betekent 'opheffen van je gebruikersaccount' voor het verwijderen van gegevens die je eerder met een zorgverlener hebt gedeeld?

Wat betekend het 'Bulk' verwijderen van de  met Medmij verzamelde en vervolgens gedeelde gegevens?

Zoals in de aannames is gesteld, het verwijderen betreft alleen het verwijderen van gezondheidsinformatie uit je PGO dossier. Bij het opheffen van je gebruikersaccount zal je volledig in dit PGO opgebouwde dossier verwijdert worden (AVG Recht op vergetelheid). Er vindt geen synchronisatie (Cascading Data Deletion) plaats met eerder gedeelde (functie delen) informatie. Dit betekent dat gedeelde informatie bij de ontvangende zorgverlener blijft bestaan.

Zoals in de aannames is gesteld, het verwijderen betreft alleen het verwijderen van gezondheidsinformatie uit je PGO dossier. zie 3.6

De AVG lijkt een uitzondering te maken voor gedeelde informatie met zorgverleners

...

Alleen opgenomen de passages die mij relevant lijken tav het onderwerp opheffen account

Vraagt iemand u op grond van het recht om vergeten te worden om zijn persoonsgegevens te wissen? Dan moet u een aantal stappen zetten.

1. Identiteit controleren

Controleer de identiteit van de verzoeker. Let op: is het in uw situatie passend om hiervoor een kopie te vragen van het identiteitsbewijs van de verzoeker? Dan moet u bepaalde informatie verstrekken aan deze persoon.

2. Gegevens bepalen

Bepaal welke persoonsgegevens u moet wissen en welke niet. Er kunnen bijvoorbeeld wettelijke verplichtingen gelden waardoor u bepaalde persoonsgegevens nog even moet bewaren.

3. Gegevens wissen

Wis de persoonsgegevens die u moet wissen zo snel mogelijk, uiterlijk binnen 1 maand. Alleen als het om een heel complex verzoek gaat, heeft u 2 maanden extra de tijd. U moet dan wel binnen 1 maand aan de betrokkene laten weten dat het langer gaat duren. En waarom dat zo is.

4. Derde partijen informeren

Heeft u de betreffende persoonsgegevens aan andere organisaties verstrekt? Dan moet u deze derde partijen informeren.

Geef aan dat u de gegevens heeft gewist. Leg uit dat ook zij iedere kopie van of koppeling naar die persoonsgegevens moeten wissen.

Als een betrokkene erom vraagt, moet u vertellen welke ontvangers u op die manier heeft geïnformeerd.

• U bent alleen verplicht om die persoonsgegevens te wissen waarop een van onderstaande situaties van toepassing is. En die niet vallen onder een uitzondering.

  Situaties waarin u moet wissen

  In veel van deze gevallen mag u de betreffende persoonsgegevens sowieso niet langer verwerken. Ook al heeft niemand u gevraagd zijn of haar persoonsgegevens te wissen.

  • Niet meer nodig
    U heeft de persoonsgegevens niet meer nodig voor het doel waarvoor u ze heeft verzameld of verwerkt.
  • Toestemming ingetrokken
    De betrokkene heeft u eerder toestemming gegeven voor het gebruik van zijn/haar gegevens, maar trekt die toestemming nu weer in. En u heeft geen andere grondslag om de persoonsgegevens te verwerken.

  Uitzonderingen

  De AVG noemt daarnaast nog een aantal specifieke omstandigheden waarin u persoonsgegevens niet hoeft te wissen. Ook niet als iemand een beroep doet op zijn recht om vergeten te worden.

  Zie: Wanneer geldt het recht op vergetelheid niet?

• Wanneer geldt het recht op vergetelheid niet?

  In de privacywet staat een aantal situaties waarin het recht op vergetelheid niet geldt. In die situaties hoeft u als organisaties de persoonsgegevens dus niet te wissen. Ook al doet iemand een beroep op het 'recht op vergetelheid'.

  Uitzonderingen recht op vergetelheid

  Het recht op vergetelheid geldt niet in de volgende situaties:

  • De verwerking is noodzakelijk om het recht op vrijheid van meningsuiting en informatie uit te oefenen. Daarmee doet de AVG recht aan het principe dat privacy en vrijheid van meningsuiting gelijkwaardige grondrechten zijn.
  • U verwerkt de gegevens omdat er een wettelijke verplichting is om dat te doen. Bijvoorbeeld vanwege fiscale regelgeving of de Archiefwet.
  • U verwerkt de gegevens om openbaar gezag of een (wettelijk vastgelegde) taak van algemeen belang uit te oefenen.
  • U verwerkt de gegevens voor een taak van algemeen belang op het gebied van de volksgezondheid.
  • U moet de gegevens in het algemeen belang archiveren.
  • De gegevens zijn noodzakelijk voor een rechtsvordering.

Moet er een verplichte retentietijd zijn voor een gezondheidsinformatie element die je uit je PGO verwijdert?

Is er een retentietijd noodzakelijk (en zo ja, voor hoelang?) voor verwijderde gezondheidsinformatie ("Oeps optie" => je kunt 'restoren') Moet dit onderdeel zijn van de verwijder flow?
Dit lijkt mij niet een onderdeel van het MedMij stelsel. Meer een PGO UX element.

Is een GUI stijl voorschrift tav navigatie naar optie 'opheffen gebruikersaccount' noodzakelijk?

Dit is een van de hoofdpunten uit de gebruikersfeedback, het moeilijk of niet kunnen vinden van de optie om je gebruikersaccount op te heffen.

De Functie 'Opheffen gebruikersaccount' is niet als zelfstandige functie in het MedMij stelsel benoemd. Vanuit de AVG is het noodzakelijk om dit wel te bieden (recht op  
Echter de AVG geeft geen richtlijn over de toegankelijkheid van deze functie vanuit de applicatie gebruikersinterface zelf (check met Legal!).

Vanuit gebruikersvertrouwen is het wenselijk dat bij de optie account gegevens inzien/aanpassen ook de mogelijkheid geeft om het account op te heffen (2-clicks als norm om bij een gebruiksfunctie te komen?)

• Is bij de flow 'opheffen gebruikersaccount' de identificatie van de gebruiker (opnieuw) noodzakelijk?
• De mogelijkheid om opgeslagen data te exporteren (functie Portabiliteit) voordat deze definitief gewist wordt.

Dit is wat het ontwikkelteam geen functionaliteit die vanuit MedMij opgelegd kan worden aan de PGO ontwikkelaars.

Wat is selectief verwijderen (Scope)

Selectief verwijderen omvat het met MedMij opgehaalde gezondheidsgegevens-object (één dossier element) verwijderen. (Dit betreft alleen de met MedMij opgehaalde gezondheidsgegevens).

Niet het verwijderen van zelf toegevoegde informatie of van individuele 'regels' in een gezondheidsgegevens-object. (Dit is een andere usecase namelijk het 'editen' van een gezondheidsgegevens-object)

Wat is 'Bulk' verwijderen (Scope)

Bulk verwijderen omvat alle met MedMij opgehaalde gezondheidsgegevens die in je PGO dossier zijn opgenomen, en deze met een 'verwijder' actie uit je PGO dossier verwijderen.

Overwegingen

Voor de volgende punten voorstellen om de functie 'Verwijderen' van met MedMij verzamelde gezondheidsgegevens op te nemen in het MedMij stelsel.
Dit maakt het expliciet dat er vanuit gebruikers/persoon perspectief directe controle is over welke via MedMij verzamelde gezondheidsgegevens ik wel of niet bewaar in mijn PGO.

Mogelijkheid om opgehaalde gegevens te verwijderen uit PGO

➢ Er mist een duidelijke verwijder functie van je gezondheidsgegevens in de PGO.

➢ Mensen geven aan dat ze het niet 100% vertrouwen en dat het verwijderen van gezondheidsgegevens bijdraagt aan het veilige gevoel van gegevensuitwisseling.

➢ (Verplichte) communicatie over het verwijderen van gegevens gaat bijdragen aan het gevoel van veiligheid.

De functie 'Verwijderen' omvat alleen het verwijderen van met MedMij verzamelde gezondheidsgegevens uit het PGO dossier. Het betreft expliciet geen verwijdertransactie uit enig bronsysteem. Dit betekent dat de scope van de functie 'Verwijderen' beperkt is tot de rollen Persoon, Dienstverlener Persoon en de gegevens PGO dossier. Met de beperking dat het hier alleen de met MedMij verzamelde gezondheidsgegevens betreft, kan dit in het MedMij stelsel, in de zelfde context als de bestaande functie 'Raadplegen Dossier' geplaatst worden.

De functie 'Verwijderen' omvat alleen het verwijderen van opgeslagen informatie in het PGO Dossier. Het betreft expliciet geen verwijder transacties uit enig 'bron systeem' van de DVA's of derde (consumenten) e-health applicaties. Dit betekent ook dat de scope van de functie 'Verwijderen' beperkt is tot  de Rollen Persoon en Dienstverlener Persoon en de gegevens 'Dossier'. Dit kan in de zelfde context als de bestaande functie 'Raadplegen Dossier' worden geplaatst.

Dit is een nieuwe functie is die ook door de PGO's geïmplementeerd moet worden. Het is (op dit moment) niet inzichtelijk welke ontwikkel inspanning dit van de PGO's vraagt. Een gefaseerde aanpak kan passend zijn, eerst als MedMij Extensie, en de volgende release als MedMij Core functionaliteit)

User Stories

Op basis van de analyse en de overwegingen zijn de volgende user stories opgesteld. Hierbij is ook de functionaliteit opheffen gebruikersaccount opgenomen zodat we in de aanbeveling kunnen aangeven welke user stories binnen en buiten scope van dit eppic vallen.betekent dat gedeelde informatie bij de ontvangende zorgverlener blijft bestaan.

Zoals in de aannames is gesteld, het verwijderen betreft alleen het verwijderen van gezondheidsinformatie uit je PGO dossier. zie 3.6

De AVG lijkt een uitzondering te maken voor gedeelde informatie met zorgverleners

Moet er een verplichte retentietijd zijn voor een gezondheidsinformatie element die je uit je PGO verwijdert?

Is er een retentietijd noodzakelijk (en zo ja, voor hoelang?) voor verwijderde gezondheidsinformatie ("Oeps optie" => je kunt 'restoren') Moet dit onderdeel zijn van de verwijder flow?
Dit lijkt mij niet een onderdeel van het MedMij stelsel. Meer een PGO UX element.

Het (ondoordacht) per ongeluk verwijderen van opgehaalde gezondheidsinformatie kan gevolgen hebben voor de compleetheid van het levensloop gezondheidsdossier.
Het zou een goed uitgangspunt zijn om in de workflow van verwijderen op te nemen dat verwijderde gezondheidsgegevens tot 30 dagen terug te halen zijn (restore). 

Is een GUI stijl voorschrift tav navigatie naar optie 'opheffen gebruikersaccount' noodzakelijk?

Dit is een van de hoofdpunten uit de gebruikersfeedback, het moeilijk of niet kunnen vinden van de optie om je gebruikersaccount op te heffen.

De Functie 'Opheffen gebruikersaccount' is niet als zelfstandige functie in het MedMij stelsel benoemd. Vanuit de AVG is het recht op vergetelheid vastgelegd.  
De AVG geeft geen richtlijn over de toegankelijkheid van deze functie vanuit de applicatie gebruikersinterface zelf.

Vanuit gebruikersvertrouwen is het wenselijk dat het voor de gebruiker eenvoudig is om het 'gebruikersaccount' opheffen proces te op te starten.

• Functionaliteit direct in de PGO omgeving (er is in de gesprekken hier de kanttekening geplaatst dat dit mogelijk onbedoelde en niet herstelbare gebruikersaccount opzeggingen geeft. En daarmee de het levensloop dossier 'vernietigt'.)
• Proces beschrijving hoe dit aan te vragen bij de PGO leverancier.
• Verplichte functie gegevens Portabiliteit voordat de account definitief gewist wordt.

Dit is wat het ontwikkelteam betreft geen functionaliteit die vanuit MedMij opgelegd kan worden aan de PGO ontwikkelaars.

Wat is een gezondheidsgegevensblok in de context van 'verwijderen'

Dit betreft een geheel dat vanuit een verzamel actie bij een aanbieder-gegevensdienst is opgehaald.

Image Added

Voor verwijderen betreft dit minimaal het grijs gemarkeerde gegevensblok

Wat is selectief verwijderen (Scope)

Selectief verwijderen omvat het met MedMij opgehaalde gezondheidsgegevensblok (één element) verwijderen. (Dit betreft minimaal de met MedMij opgehaalde gezondheidsgegevens).

Niet het verwijderen van zelf toegevoegde informatie of van individuele 'regels' in een gezondheidsgegevensblok. (Dit is een andere usecase namelijk het 'editen' van een gezondheidsblok of het 'creëren van zelf samengestelde informatie')

Selectief verwijderen maakt het ook mogelijk om eventueel dubbel verzamelde gegevens handmatig te ontdubbelen.

Wat is 'Bulk' verwijderen (Scope)

Bulk verwijderen omvat alle met MedMij opgehaalde gezondheidsgegevens die in je PGO dossier zijn opgenomen, en deze met een 'verwijder' actie uit je PGO dossier verwijderen.

Vraag bij deze optie is wel, wat is dan nog de 'waarde' van het PGO als levensloop-dossier.

Overwegingen

Voor de volgende punten voorstellen, om de functie 'Verwijderen' van met MedMij verzamelde gezondheidsgegevens, op te nemen in het MedMij stelsel.
Dit maakt het expliciet dat er vanuit gebruikers/persoon perspectief directe controle is over welke via MedMij verzamelde gezondheidsgegevens ik wel of niet bewaar in mijn PGO.

De functie 'Verwijderen' omvat minimaal het verwijderen van met MedMij verzamelde gezondheidsgegevensblokken uit het PGO dossier. Het betreft expliciet geen verwijdertransactie uit enig bronsysteem. Dit betekent dat de scope van de functie 'Verwijderen' beperkt is tot de rollen Persoon, Dienstverlener Persoon en de gegevens PGO dossier. Met de beperking dat het hier minimaal de via MedMij verzamelde gezondheidsgegevens betreft, kan dit in het MedMij stelsel, in de zelfde context als de bestaande functie 'Raadplegen Dossier' geplaatst worden.

User Stories

Op basis van de analyse en de overwegingen zijn de volgende user stories opgesteld. 

Conclusie - Aanbevelingen

De PGO functionaliteit is breder dan alleen het MedMij stelsel functies en de via het MedMij stelsel verzamelde gezondheidsgegevens.

Dit beperkt de functionele eisen die aan Verwijderen en Gebruikersaccount opheffen vanuit MedMij kunnen opstellen.

Aanbeveling is om dit niet als functionele eis op te nemen.

Functie (selectief) Verwijderen van met MedMij opgehaalde gezondheidsgegevens opnemen en benoemen zoals ook de functie Raadplegen is opgenomen.

Aanbeveling is om selectief verwijderen van minimaal met MedMij opgehaalde gezondheidsgegevens als Extensie Core (verplichting) op te nemen in het MedMij stelsel. (ref 24 Mar 2022  Expertgroepsessie)

Met als basis de user story:

...

Conclusie - Aanbevelingen

De PGO functionaliteit is breder dan alleen het MedMij stelsel functies en de via het MedMij stelsel verzamelde gezondheidsgegevens.

Ook is expliciet opgenomen "MedMij zegt dus iets over integriteit, validiteit, actualiteit en interoperabiliteit, maar niet over de inhoudelijke functionaliteit van een PGO. "

Dit beperkt de functionele eisen die aan Verwijderen en Gebruikersaccount opheffen vanuit MedMij kunnen opstellen.

Aanbeveling is om alleen selectief verwijderen en bulk verwijderen van met MedMij opgehaalde gezondheidsgegevens als functie op te nemen in het MedMij stelsel.

Ten aanzien van communicatie over hoe een migratie tussen PGO's te faciliteren is een rol voor de PGO's en de Patiënten vertegenwoordiging?

De Functie 'Verwijderen', van met MedMij verzamelde gezondheidsgegevens, is op de Business laag een logische toevoeging op het hoofdstuk 'Dossier'.

...

De Functie 'Verwijderen', van met MedMij verzamelde gezondheidsgegevens, is op de Business laag een logische toevoeging op het hoofdstuk 'Dossier'.

De Functie 'Gebruikersaccount opheffen' valt buiten de scope van het MedMij stelsel.

Deze is niet verder uitgewerkt

RFC/Aanpassingen

Op hoofdpunten waar we in het MedMij stelsel aanpassingen/toevoegingen moeten doen uitvoeren

Titel RFC

RFC0071 Introductie functie Verwijderen

Waarom is deze RFC nodig?

In de afgelopen maanden hebben we middels actieonderzoek gebruikerservaringen opgehaald. Hieronder een reactie van gebruiker over het verwijderen van gegevens in de PGO: 

o “Je hoort veel van een lek, 100% vertrouw ik het niet, DigiD geeft een veilig gevoel. Ik zie ook alleen maar de voorkant, als je een verwijder functie hebt van je gezondheidsgegevens, zou dat fijn zijn. Als je dan je gegevens weer wilt hebt log je opnieuw in en haal je het zo weer boven. Zou je moeten communiceren.” (Bron: GLG Saltro)

Er worden 2 primaire user scenario's geduid:

• Het verwijderen van een specifieke opgehaalde gezondheidsgegevens-element binnen een PGO.
• Het verwijderen van een volledig gebruikers profiel inclusief alle opgehaalde gegevens diensten gedurende de gehele gebruiksduur van het PGO met daarbij de optie om je gegevens te migreren naar een ander PGO.

Uitgangspunten:

• Gebruiker heeft twijfel bij zijn 'opslag' van persoonlijke gezondheidsgegevens in zijn PGO dossier door de PGO aanbieder.
• De gebruiker moet de regie over zijn eigen gezondheidsgegevens kunnen voeren, verwijderen van eerder opgeslagen persoonlijke gezondheidsgegevens is hier een onderdeel van.
• Dit draagt bij aan het vertrouwensmodel van de PGO

Oplossingsrichting

Het als extensie In de core opnemen van de functie 'Verwijderen' voor minimaal de met MedMij verzamelde gezondheidsgegevens. (ref 24 Mar 2022  Expertgroepsessie)

Het user scenario verwijderen volledig gebruikers profiel, dit niet als functie opnemen. (Dit betreft het gehele PGO welk breder is dan alleen de MedMij functionaliteit)

RACI

•  TBD
•  TBD

Aanpassing van

•  TBD
•  TBD

Impact op rollen

Dit betreft een uitbreiding van de functionaliteit voor de rol Persoon

Impact op beheer

Geen aanpassing van de R&A

Impact op acceptatie

•   mogelijk toetsing of functie 'Verwijderen' is geïmplementeerd

Uitwerking

Opnemen in "Architectuur en technische specificaties"

3. MedMij Core, Extensies en Domeinen

Plaat met structuur MedMij extensie uitbreiden met functie Verwijderen ( en link fixen voor Vertegenwoordiging)

Drawio
border true diagramName MedMij Core, Extensies en Domeinen V1.6.0 simpleViewer false width 200 links auto tbstyle top lbox true diagramWidth

...

503 revision

...

De Functie 'Bulk Verwijderen', van met MedMij verzamelde gezondheidsgegevens, is op de Business laag een logische toevoeging op het hoofdstuk 'Dossier'.

...

2

Opnemen in MedMij Extensies

Extensie Verzamelen

 Rollen, Verwijderen

Verwijderen heeft geen aanpassing op de bestaande rollen

• Persoon
• Dienstverlener persoon

Functies en Gegevens, Verwijderen

 Inleiding

Onderstaand diagram toont de toevoeging van de functie Verwijderen op de centrale functies die vanuit de MedMij Core worden aangeboden, welke rollen verantwoordelijk zijn voor het leveren van deze functies en welke gegevens door de functie bewerkt worden.