De Dienstverlener zorgaanbieder voert, als verwerker voor elke verwerkingsverantwoordelijke Zorgaanbieder, diens in verantwoordelijkheid 1a bedoelde beleid uit in UC/UCI Verzamelen, UC/UCI Abonneren, UC/UCI Delen en UC/UCI Notificeren. De Dienstverlener zorgaanbieder voert in aanvulling op dat van de Zorgaanbieders geen eigen beleid dienaangaande.

Het MedMij Afsprakenstelsel verplicht er niet toe om leeftijdsgegevens en behandelrelatiegegevens expliciet te administreren. Waar het bestaan van een behandelrelatie of een toereikende leeftijd, op juridische en/of organisatorische gronden, geïmpliceerd wordt door andere gegevens, mogen laatstgenoemde gegevens ook met die implicatie gebruikt worden. Het MedMij Afsprakenstelsel speci­ficeert daarom geen logica voor de voorwaarden; het bepaalt slechts twee noodzakelijke onderdelen van hun post­conditie: een toereikende leeftijd van de Persoon en het (hebben) bestaan van een toepasselijke behandelrelatie.

• Voor zover er aparte geautoma­ti­seerde logica worden ge­bruikt voor een toets op beschikbaarheid of ontvankelijkheid vraagt de vroege variant ex­tra ver­keer ten opzichte van de late variant, namelijk tussen Autho­ri­zation Ser­ver en de com­ponent-(en) die zij voor het uitvoe­ren van die toets aan­spreekt. Dat ver­keer speelt zich wel geheel binnen de verantwoordelijkheid van een enkele verwerkingsverantwoordelijke af; er vindt geen verstrekking plaats.
• De Authorization Server komt alleen in de vroege variant extra te weten dat behandel­relatie en leef­tijd in orde zijn. In de late variant komt alleen de Resource Server dat te weten. Dat laat onverlet dat beide onder dezelfde eindverantwoordelijke Dienstverlener Zorgaanbieder vallen.

• In de late variant vindt, in tegenstelling tot in de vroege, al het verkeer na de au­thenti­catie (de toe­stem­mingsvraag, het uit­de­len van authoriza­tion code en ac­cess to­ken en het aan­spreken van de Resour­ce Ser­ver) onnodig plaats. Dit verkeer strekt zich uit over verantwoordelijkheidsgrenzen.
• In de late variant krijgt de PGO Server, onnodig, meer over de beschikbaarheid/ontvankelijkheid, en dus over de Persoon, te weten van de Resource Server dan in de vroege variant van de Authorization Server. In de vroege variant kan de betreffende uitzondering immers, vanuit de PGO Server bezien, ook door falende authenticatie of weigering van toestemming veroorzaakt zijn. In de late variant komt de PGO Server echter wel te weten, door het ontvangen van de onnodige authorization code, dat er sprake is van zowel een behandelrelatie als een toereikende leeftijd.

In de late variant vindt, in tegenstelling tot in de vroege, een overbodige toe­stemmingsvraag plaats. Dit verkeer vindt plaats over het relatief onveilige frontchannel.

geen verschil

In de vroege variant is de Persoon onmiddellijk op de hoogte, zodat deze:

• geen onnodige en verwarrende handeling (betekenisloze toestemming) met rechtsgevolgen hoeft uit te voeren, zoals in de late variant;
• preciezer dan in de late variant op de hoogte raakt van waarom een uitwisseling faalt. In de late variant kan dat falen andere redenen hebben, zodat de Persoon voor opheldering op ondersteuningsvragen aangewezen zou zijn, die wellicht zelfs aan de Zorgaanbieder gericht worden. In de vroege variant zijn Uitzonderingen 2, 3 en 4 in UC/UCI Verzamelen, UC/UCI Abonneren en UC/UCI Delen weliswaar samengenomen in één melding naar de PGO Server, zodat deze het onderscheid tussen falende authenticatie, falende autorisatie en falende beschikbaarheid/ontvankelijkheid niet kan maken. De Persoon zelf echter kent vanwege zijn/haar voorafgaande rechtstreekse interactie met de Authorization Server het resultaat van de authenticatie en de autorisatie wel, en kan dus alsnog uit deze gecombineerde melding, buiten medeweten van de PGO Server, afleiden of er sprake was van falende beschikbaarheid/toegankelijkheid.

In de vroege variant is de persoon onmiddellijk op de hoogte en hoeft deze geen onnodige en verwarrende handeling (holle afwijzing) uit te voeren, zoals in de late variant.