1. Inleiding
Mogelijkheid om opgehaalde gegevens te verwijderen uit PGO
➢ Er mist een duidelijke verwijder functie van je gezondheidsgegevens in de PGO.
➢ Er mist informatie hoe je een account die je hebt aangemaakt kan verwijderen (en evt. switchen naar een andere PGO).
➢ Mensen geven aan dat ze het niet 100% vertrouwen en dat het verwijderen van gezondheidsgegevens bijdraagt aan het veilige gevoel van gegevensuitwisseling.
➢ DigiD draagt wel bij aan een veilig gevoel.
➢ (Verplichte) communicatie over het verwijderen van gegevens gaat bijdragen aan het gevoel van veiligheid.
In de afgelopen maanden hebben we middels actieonderzoek gebruikerservaringen opgehaald. Hieronder een reactie van gebruiker over het verwijderen van gegevens in de PGO:
o “Je hoort veel van een lek, 100% vertrouw ik het niet, DigiD geeft een veilig gevoel. Ik zie ook alleen maar de voorkant, als je een verwijder functie hebt van je gezondheidsgegevens, zou dat fijn zijn. Als je dan je gegevens weer wilt hebt log je opnieuw in en haal je het zo weer boven. Zou je moeten communiceren.” (Bron: GLG Saltro)
2. Gekoppeld aan Epic AF-1340
Hieronder de verkorte versie uit PIM:
Probleemstelling
Er worden 2 user scenario's geduid;
- Het verwijderen van een specifieke opgehaalde gegevensdienst binnen een PGO.
- Het verwijderen van een volledig gebruikers profiel inclusief alle opgehaalde gegevens diensten gedurende de gehele gebruiksduur van het PGO.
Aanleiding
- Gebruiker heeft twijfel bij zijn 'opslag' van persoonlijke gezondheidsgegevens in/bij zijn PGO aanbieder.
- Gebruiker heeft twijfels of het opheffen van zijn gebruikersprofiel ook expliciet alle bestaande gezondheid en gebruikers gegevens worden gewist.
buiten Scope
Opheffen gebruikersprofiel inclusief verwijderen alle gezondheidsinformatie valt buiten scope van dit Epic (ref gesprek Casper).
Dit valt onder AVG, Recht op vergetelheid.
Oplossingsrichting/scenario
- Specifieke eisen tav PGO user scenario voor verwijderen van specifieke opgehaalde gezondheidsinformatie.
Specifieke eisen tav het volledig verwijderen van gebruikersprofiel inclusief alle gerelateerde gezondheidsdata.
Aandachtspunten
- Wat staat er al in het MedMij 1.5 stelsel over deze 2 scenario's
- Wat betekent dit voor logging
Wat betekent dit voor rapportages- Wat betekent dit voor de bewaartermijn wanneer je gegevens ophaalt en vervolgens weer verwijderd?
- Gaat dit alleen over opgehaalde gegevensdienst of ook over abonnement verwijderen?
Analyse
Onderzoek naar bestaande 'Verwijder' functionaliteit
Er is geen Analyse gedaan op de al bestaande PGO Verwijder functionaliteit!
Met andere woorden, er is geen actueel beeld hoe groot dit probleem is. Anders dan de gebruikersfeedback.
- Welke PGO's zijn gebruikt?
- Wat is de gebruikerspopulatie die deze feedback geeft?
- Wat is de huidige PGO functionaliteit tav 'verwijderen'?
- Wat is de huidige PGO communicatie strategie tav 'Managen van je gezondheidsgegevens' inclusief verwijderen en opheffen van je account?
Mogelijke tegenspraak met de functie Verwijderen
Op de pagina :Afsprakenset/Grondslagen/Achtergrond
"MedMij zegt dus iets over integriteit, validiteit, actualiteit en interoperabiliteit, maar niet over de inhoudelijke functionaliteit van een PGO. "
[aanname] de usecase verwijderen omvat alleen lokale functionaliteit van het PGO, er is geen interactie met de DVP.
Aannames: Verwijderen specifieke opgehaalde gegevensdienst
- gebruiker is ingelogd en heeft toegang tot zijn PGO opgehaalde gezondheidsinformatie elementen.
- Verwijderen is alleen lokaal in zijn PGO omgeving, geen interactie met DVP-DVA noodzakelijk.
- UI bevestigd verzoek om verwijderen en geeft expliciet weer dat dit alleen binnen PGO omgeving plaatsvindt (en dus niet in enig bron systeem)
- Verwijdering is een actie die valt onder Logging verplichting (ref NEN 7513)
- Verwijdering betekent ook daadwerkelijk verwijderen van de data, niet het niet 'zichtbaar' zijn van de data (ref NEN 7510 A.8.3.2 verwijderen van media)
Wat staat er in het MedMij 1.5 stelsel
Ref: MedMij Core
De volgende elementen zijn relevant voor de usecase 'Verwijderen'.
Verwijderen in deze context betreft alleen het verwijderen van opgeslagen gezondheidsinformatie uit het persoonlijk PGO Dossier
Domein
Rollen
- Persoon
- Dienstverlener persoon (DVP) als ontwikkelaar van User Agent (PGO) en DVP Server
Applicatie
Functies
- Verwijderen is niet opgenomen in versie 1.5
Gegevens
- Dossier (PGO)
Informatiemodellen Informatiemodellen
Metamodel, geen aanpassing nodig. (check met Casper!)
- Logische modellen geen aanpassing nodig (check met Casper!)
Raadplegen dossier
De functie 'Raadplegen Dossier' is getekend in het overzicht Functies en gegevens, Core
De functie 'Raadplegen Dossier' Is niet afzonderlijk expliciet beschreven in het overzicht Functies en gegevens, Core.
De volgende toelichting is vermeld:
Omdat een Persoon de regie voert over de eigen gezondheidsgegevens, moet een Dienstverlener persoon de gegevens beschikbaar stellen. Dit gebeurt vanuit de functie Raadplegen Dossier. Omdat deze functie door de Dienstverlener persoon zelf in te vullen is, staat deze niet verder uitgewerkt in het afsprakenstelsel. Hierbij moet wel voldaan worden aan de verantwoordelijkheden core.dossier.103 en core.dossier.104.
In 3.2 Dossier is opgenomen:
| 4. | Dienstverlener persoon biedt Persoon de functie Raadplegen dossier om het persoonlijk gezondheidsdossier te raadplegen. | core.dossier.103 |
Wat betekent dit voor logging
De in de NEN 7513 voorgeschreven wijze van logging heeft als doel een betrouwbaar overzicht te kunnen leveren van de gebeurtenissen waarbij persoonlijke gezondheidsinformatie is verwerkt. Verwerken is hier bedoeld zoals gedefinieerd in de AVG.
Dit betekent dat voor alle verwijderacties van gezondheidsinformatie uit het PGO er per verwijderactie een log-entry aangemaakt moet worden.
Wat betekent dit voor de bewaartermijn wanneer je gegevens ophaalt en vervolgens weer verwijderd?
Intern in het PGO is er geen verplichte bewaartermijn voor de opgehaalde of zelf ingevoerde en toegevoegde gezondheidsinformatie. De visie voor het PGO is dat dit een gezondheidsinformatie/levensloopdossier onder eigen regie is. Er is dan ook de mogelijkheid om gegevens langdurig te bewaren.
Wat een punt van aandacht is dat er wel bewaartermijnen gelden voor de dossiervoering bij de zorgverleners (Zorgdomein). Wanneer deze bewaartermijn verloopt zal de bron informatie vernietigd worden, en is daarna niet meer opvraagbaar in het PGO.
Informatie verplichting opnemen?
Moet er bij het verwijderen van zorginformatie een verplichte melding zijn dat dit mogelijk betekent dat de informatie in een later stadium niet meer opvraagbaar is?
Gaat dit alleen over PGO gezondheidsinformatie of ook over abonnement opheffen?
Voor de usecase verwijderen is abonnement opheffen buiten scope.
De usecase abonnement opheffen is onderdeel van de usecase abonneren:
Abonneren 2.2 item 4 Beëindigingsverklaring Abonnement
Overwegingen
Voor de volgende punten voorstellen om de functie 'Verwijderen' op te nemen in het MedMij stelsel. Dit maakt het expliciet dat er vanuit gebruikers/persoon perspectief directe controle is over wat ik wel of niet bewaar in mijn PGO.
Mogelijkheid om opgehaalde gegevens te verwijderen uit PGO
➢ Er mist een duidelijke verwijder functie van je gezondheidsgegevens in de PGO.
➢ Mensen geven aan dat ze het niet 100% vertrouwen en dat het verwijderen van gezondheidsgegevens bijdraagt aan het veilige gevoel van gegevensuitwisseling.
➢ (Verplichte) communicatie over het verwijderen van gegevens gaat bijdragen aan het gevoel van veiligheid.
Argumentatie om 'Verwijderen' als functie verplicht in het MedMij Core op te nemen:
Verwijderen opnemen in het stelsel op basis dat dit onderdeel is van de door NEN 7510 gereguleerde "CRUD" activiteiten van medische gegevens. Verwijderen is hier de "Delete" functionaliteit. (Vraag is dit ook van toepassing op het persoonsdomein?)
De functie 'Verwijderen' omvat alleen het verwijderen van opgeslagen informatie in het PGO Dossier. Het betreft expliciet geen verwijder transacties uit enig 'bron systeem' van de DVA's of derde (consumenten) e-health applicaties. Dit betekent ook dat de scope van de functie 'Verwijderen' beperkt is tot de Rollen Persoon en Dienstverlener Persoon en de gegevens 'Dossier'. Dit kan in de zelfde context als de bestaande functie 'Raadplegen Dossier' worden geplaatst.
Dit is een nieuwe functie is die ook door de PGO's geïmplementeerd moet worden. Het is (op dit moment) niet inzichtelijk welke ontwikkel inspanning dit van de PGO's vraagt. Een gefaseerde aanpak kan passend zijn, eerst als MedMij Extensie, en de volgende release als MedMij Core functionaliteit)
(Verplichte) communicatie
- Voor de opmerkingen rondom verplichte communicatie is dit onderdeel van MedMij stelsel?
- Ook voor het onderwerp "Er mist informatie hoe je een account die je hebt aangemaakt kan verwijderen (en evt. switchen naar een andere PGO)." is dit een relevante vraag.
- Als PGO leverancier is er namelijk geen 'belang' dat jij als 'klant' overstapt naar een andere PGO. Is dit een onderdeel van de gesprekken met de PGO leveranciers?
Conclusie - Aanbevelingen
De Functie 'Verwijderen' is op de Business laag een logische toevoeging op het hoofdstuk 'Dossier'.
RFC/Aanpassingen
Op hoofdpunten waar we in het MedMij stelsel aanpassingen/toevoegingen moeten doen uitvoeren
Omdat een Persoon de regie voert over de eigen gezondheidsgegevens, moet een Dienstverlener persoon de gegevens beschikbaar stellen. Dit gebeurt vanuit de functie Raadplegen Dossier. Omdat deze functie door de Dienstverlener persoon zelf in te vullen is, staat deze niet verder uitgewerkt in het afsprakenstelsel. Hierbij moet wel voldaan worden aan de verantwoordelijkheden core.dossier.103 en core.dossier.104.
| Oud | Nieuw |
|---|---|
| Omdat een Persoon de regie voert over de eigen gezondheidsgegevens, moet een Dienstverlener persoon de gegevens beschikbaar stellen. Dit gebeurt vanuit de functie Raadplegen Dossier. Omdat deze functie door de Dienstverlener persoon zelf in te vullen is, staat deze niet verder uitgewerkt in het afsprakenstelsel. Hierbij moet wel voldaan worden aan de verantwoordelijkheden core.dossier.103 en core.dossier.104. | Omdat een Persoon de regie voert over de eigen gezondheidsgegevens, moet een Dienstverlener persoon de gegevens beschikbaar stellen en de mogelijkheid bieden om selectief gezondheidsgegevens te verwijderen. Omdat deze functies door de Dienstverlener persoon zelf in te vullen is, staat deze niet verder uitgewerkt in het afsprakenstelsel. Hierbij moet wel voldaan worden aan de verantwoordelijkheden core.dossier.103 |
| Oud | Nieuw | ||
|---|---|---|---|
| x. | Dienstverlener persoon biedt Persoon de functie Verwijderen om in het persoonlijk gezondheidsdossier selectief gezondheidsgegevens te verwijderen. | core.dossier.10x | |
8. Logging en portabiliteit => core.logging.10X
Logging moet al actief zijn op alle Dossier handelingen, een 'Verwijder' actie van een gezondheidsinformatie element uit Dossier is ook een verwerking vallend onder NEN7513.
- Met de splitsing van Logging en Portabiliteit moet er gekeken worden of 'Verwijderen' een aanpassing/toevoeging van Logging vraagt op het onderwerp Dossier mutaties (TO DO, check met Casper)
Principe's
| Principe | Principe | ||
|---|---|---|---|
1 Het MedMij-netwerk is zoveel mogelijk gegevensneutraal | 11 Stelselfuncties worden vanaf de start ingevuld | ||
| 2 Dienstverleners zijn transparant over de gegevensdiensten | 12 Het afsprakenstelsel is een groeimodel | ||
| 3 Dienstverleners concurreren op de functionaliteiten | 13 Ontwikkeling geschiedt in een half-open proces met verschillende stakeholders | ||
| 4 Dienstverleners zijn aanspreekbaar door de gebruiker | 14 Uitwisseling is een keuze | ||
| 5 De persoon wisselt gegevens uit met de zorgaanbieder | 15 Het MedMij-netwerk is gebruiksrechten-neutraal | ||
| 6 MedMij spreekt alleen af wat nodig is | 16 De burger regisseert zijn gezondheidsinformatie als uitgever | ||
| 7 De persoon en de zorgaanbieder kiezen hun eigen dienstverlener | 17 Aan de persoonlijke gezondheidsomgeving zelf worden eisen gesteld | ||
| 9 De dienstverleners zijn deelnemers van het afsprakenstelsel | 18 Afspraken worden aantoonbaar nageleefd en gehandhaafd | ||
| 10 Alleen de dienstverleners oefenen macht uit over persoonsgegevens bij de uitwisseling | 19 Het afsprakenstelsel snijdt het gebruik van normen en standaarden op eigen maat | ||
| Toelichting | |||