Twiin werkt aan een landelijk dekkend afsprakenstelsel op alle lagen van het interoperabiliteitsmodel voor het elektronisch delen van gegevens in de zorg. Wet- en regelgeving is de bovenste laag van het interoperabiliteitsmodel. Hieruit volgt het kader voor het elektronisch delen van gegevens tussen zorgaanbieders en zorgverleners en met de patiënt. Het Twiin Afsprakenstelsel is in lijn met alle relevante wet- en regelgeving en normen en volgt ook de ontwikkeling van nieuwe wet- en regelgeving en normen.  

Op basis van dit Twiin Afsprakenstelsel, kunnen zorgaanbieders gegevens uitwisselen via GtK’s, met gebruik van generieke functies en gemeenschappelijke voorzieningen. Welke partij welke rol heeft binnen het Twiin Afsprakenstelsel en wat er van de betrokkenen wordt verwacht, moet passen binnen het wetgevend kader. 

In dit hoofdstuk staat een overzicht van de wet- en regelgeving die van toepassing is op gegevensuitwisseling in de zorg, inclusief samenvatting van de inhoud. Tevens is aangeduid per onderdeel op welke manier het Twiin Afsprakenstelsel toepassing geeft aan de wet- en regelgeving. 

Inhoud

Overzicht wet- en regelgeving

De wet- en regelgeving die van toepassing is op gegevensuitwisseling in de zorg is voortdurend in beweging. Tabel 2.1 is een overzicht van de relevante wet- en regelgeving voor het Twiin Afsprakenstelsel (geldend op 13 december 2023). Dit overzicht zal worden uitgebreid met de verordening betreffende de Europese ruimte voor gezondheidsgegevens (ook wel genoemd “EHDS”) als deze verordening eenmaal is vastgesteld.

Tabel 2.1: De belangrijkste wetten op het gebied van zorginformatie-uitwisseling

Wet op de geneeskundige behandelingsovereenkomst (WGBO)

De WGBO bevat onder andere het recht van de patiënt:

• op inzage in en afschrift van het eigen dossier;

• een verklaring aan het dossier toe te voegen;

• en gegevens uit het dossier te laten vernietigen.

Deze wet verplicht de zorgverlener onder andere:

• zich te houden aan de professionele standaard en de kwaliteitsstandaarden;

• te voldoen aan de informatieplicht richting de patiënt;

• te voldoen aan de dossierplicht. 

Daarnaast bevat de WGBO regels over de vertegenwoordiging van de patiënt.

De zorgverlener is op basis van deze wet gebonden aan het medische beroepsgeheim. Hij mag dus niet zonder toestemming van de patiënt aan anderen dan de patiënt inlichtingen over de patiënt dan wel inzage in of afschrift van de gegevens uit het dossier verstrekken. Degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandelingsovereenkomst, of de vervanger van de zorgverlener, mogen de gegevens van de patiënt wél inzien zonder toestemming van de patiënt, mits noodzakelijk voor het uitvoeren van hun werkzaamheden.

Toepassing op het Twiin Afsprakenstelsel

De WGBO bepaalt dat de vertrouwelijkheid van het dossier geborgd moet worden, maar bepaalt niet precies welke waarborgen daarvoor nodig zijn bij uitwisseling. Het Twiin Afsprakenstelsel bevat hiervoor een nadere uitwerking in het vertrouwensmodel.  

Wet beroepen individuele gezondheidszorg (Wet BIG) 

De Wet BIG heeft als doel om de kwaliteit van de beroepsuitoefening te bevorderen en te bewaken en de patiënt te beschermen tegen ondeskundig en onzorgvuldig handelen door beroepsbeoefenaren. Deze term wordt hieronder toegelicht. Daarnaast legt de Wet BIG aan de beroepsbeoefenaren het beroepsgeheim op. Dit beroepsgeheim geldt ten opzichte van alles wat hen bij de uitoefening van hun beroep wordt toevertrouwd of waarvan zij kennis krijgen en waarvan zij het vertrouwelijke karakter moeten begrijpen. Verder voorziet de Wet BIG de beroepsbeoefenaren in tuchtrechtspraak. Dit is een bijzondere vorm van rechtspraak die erop gericht is de kwaliteit van de beroepsuitoefening te bevorderen en bewaken.

Beroepsbeoefenaren 

De Wet BIG bevat een systeem van titelbescherming voor een beperkt aantal beroepsgroepen. Wie een wettelijk geregeld beroep uitoefent, mag een publiekrechtelijk beschermde beroeps- of opleidingstitel voeren. Om te worden aangemerkt als een beroepsbeoefenaar in de zin van de Wet BIG moet worden voldaan aan een aantal wettelijke eisen. De belangrijkste daarvan hebben betrekking op de opleiding. Door een beschermde titel te voeren is voor derden duidelijk op welk gebied een bepaalde beroepsbeoefenaar deskundig is. Een beroep kan op twee manieren wettelijk worden geregeld: Er is een ‘zware’ regeling bij wet (artikel 3 Wet BIG) en een ‘lichte’ regeling bij algemene maatregel van bestuur (artikel 34 Wet BIG). Bij wet worden acht beroepen geregeld, te weten: arts, tandarts, apotheker, gezondheidszorgpsycholoog, psychotherapeut, fysiotherapeut, verloskundige en verpleegkundige. 

Registers 

Voor elk van de genoemde beroepen stelt de rijksoverheid registers in. Het gaat hier om een zogeheten constitutieve registratie. Die komt erop neer dat alleen geregistreerde personen de beroepstitel mogen voeren en dat alleen zij vallen onder het tuchtrecht.  Ook derden kunnen op verzoek informatie krijgen uit het register. Zij kunnen dus nagaan of een beroepsbeoefenaar met recht een beschermde beroepstitel voert en of er mogelijk sprake is van beperkende voorwaarden op het punt van de beroepsuitoefening. 

De ‘lichte’ regeling bij algemene maatregel van bestuur is voornamelijk bedoeld voor de paramedische beroepen. Voorbeelden zijn: de diëtist, de logopedist en de mondhygiënist. In de algemene maatregel van bestuur wordt het deskundigheidsgebied omschreven en de opleiding geregeld. Wie aan de gestelde eisen voldoet heeft het recht een opleidingstitel te voeren. De overheid houdt voor deze beroepsgroepen geen register bij. In de praktijk worden dergelijke registers veelal wel bijgehouden door de beroepsgroepen. 

Toepassing op het Twiin Afsprakenstelsel

Ook de Wet BIG bepaalt dat de beroepsbeoefenaren gehouden zijn aan het beroepsgeheim zonder dat de wet regelt hoe het beroepsgeheim geborgd moet worden bij uitwisseling. Het Twiin Afsprakenstelsel bevat hiervoor een nadere uitwerking in het vertrouwensmodel. Een belangrijk onderdeel van dit vertrouwensmodel is een betrouwbare identificatie van de zorgverleners die betrokken zijn bij de uitwisseling van gegevens. 

Het systeem van titelbescherming in de Wet BIG is voor de landelijke infrastructuur van belang vanwege de bijbehorende registers. De uitgifte van UZI-identificatiemiddelen maakt gebruik van deze registers. In het vertrouwensmodel is gekozen voor de UZI-identificatiemiddelen.

Wet kwaliteit, klachten en geschillen in de zorg (Wkkgz)

De Wkkgz legt vast wat goede zorg precies inhoudt. Ook bevat deze wet een definitie van een zorgaanbieder. Volgens deze wet moet de zorgaanbieder als instelling zorgen voor 'zodanige toedeling van verantwoordelijkheden, bevoegdheden alsmede afstemmings- en verantwoordingsplichten, dat een en ander redelijkerwijs moet leiden tot het verlenen van goede zorg.' De Wkkgz bepaalt dat zorgaanbieders een interne werkwijze moeten hebben, waarmee medewerkers incidenten veilig kunnen melden.

Ook bepaalt de Wkkgz wat er moet gebeuren als patiënten een klacht hebben over de zorg. Op basis van de Wkkgz kunnen patiënten terecht bij de klachtenfunctionaris van de zorgaanbieder. Daarnaast biedt de wet ook een laagdrempelig alternatief: de onafhankelijke geschilleninstantie. Die doet een uitspraak waaraan beide partijen zich moeten houden. De geschilleninstantie kan ook een schadevergoeding toekennen tot EUR 25.000,-.

Toepassing op het Twiin Afsprakenstelsel

Vooralsnog kunnen alleen zorgaanbieders zoals bedoeld in de Wkkgz de Twiin Deelnemersovereenkomst tekenen, totdat anders wordt besloten conform de besluitvormingsprocedure die in het reglement is omschreven. Uit de Wkkgz volgt dat de zorgaanbieder verantwoordelijk is om de juiste randvoorwaarden in te richten die zorgverleners in staat stellen goede zorg te verlenen. Het gaat hierbij onder andere om de inrichting van de organisatie, de toedeling van verantwoordelijkheden en bevoegdheden en de beschikbaarheid van middelen. Gelet hierop, sluit de zorgaanbieder de Deelnemersovereenkomst en zorgt voor adequate contractuele afspraken met de Twiin Dienstverlener en de GtK Beheerder zoals uitgewerkt in de governance. 

Algemene verordening gegevensbescherming (AVG)

De AVG is een Europese wet die rechtstreekse werking heeft in de hele Europese Unie. De AVG regelt onder welke voorwaarden persoonsgegevens verwerkt mogen worden binnen de EU.

Persoonsgegevens zijn alle gegevens die zien op een geïdentificeerde of identificeerbare natuurlijke persoon. Deze wordt in de AVG de 'betrokkene' genoemd. Onder ‘verwerking van gegevens’, valt: verzamelen, vastleggen, ordenen, bewaren, bewerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, evenals het afschermen, uitwissen of vernietigen van gegevens.

Grondslag en doel

De AVG bepaalt dat dit slechts is toegestaan als sprake is van een rechtmatige grondslag. De AVG noemt zes grondslagen voor verwerking, waaronder toestemming van de betrokkene en uitvoeren van een overeenkomst. Bovendien mogen persoonsgegevens op basis van het proportionaliteitsbeginsel enkel worden verwerkt voor zover dat nodig is voor welbepaalde doeleinden.

Daarbij geldt een verbod om bijzondere categorieën van persoonsgegevens te verwerken, waaronder gegevens over gezondheid, genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon en gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid. Op dit verbod zijn een beperkt aantal uitzonderingen van toepassing. Eén van die uitzonderingen is dat de verwerking noodzakelijk is voor het verstrekken van gezondheidszorg.

Verwerkingsverantwoordelijke en verwerker

De verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de verwerking van de persoonsgegevens en is daarmee verantwoordelijk voor de verwerking. Dat brengt een aantal verplichtingen met zich mee. Zo is de verwerkingsverantwoordelijke verplicht om betrokkenen goed te informeren over de verwerking van hun gegevens en over hun privacyrechten op basis van de AVG, waaronder het recht op inzage, rectificatie, vergetelheid, beperking, dataportabiliteit en bezwaar. Uit deze rechten volgt dat de verwerkingsverantwoordelijke inzichtelijk moet hebben welke persoonsgegevens hij verwerkt, waar deze zich bevinden en hoe deze definitief verwijderd kunnen worden. De verwerkingsverantwoordelijke is ook verplicht om passende technische en organisatorische maatregelen te nemen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. De verwerker verwerkt persoonsgegevens enkel ten behoeve van de verwerkingsverantwoordelijke en onder de voorwaarden zoals vastgelegd in een verwerkersovereenkomst.

Verwerkersovereenkomst

De AVG verplicht de verwerkingsverantwoordelijke een verwerkersovereenkomst te sluiten met iedere verwerker. De AVG bepaalt ook dat de verwerkersovereenkomst aan een aantal eisen moet voldoen. In die overeenkomst moet onder andere worden bepaald wat de aard en het doel is van de verwerking, de duur van de verwerking en het soort persoonsgegevens en de categorieën van betrokkenen. Een verwerker is niet zelfstandig verantwoordelijk voor de verwerking van de persoonsgegevens, maar heeft wel een aantal afgeleide verplichtingen voor onder meer beveiliging en geheimhouding van de gegevens. De verwerkersovereenkomst moet er onder andere voor zorgen dat verwerker voldoende waarborgen biedt ten aanzien van de technische- en organisatorische beveiligingsmaatregelen met betrekking tot de verwerking van de aan hem ter beschikking gestelde persoonsgegevens. De Brancheorganisaties Zorg hebben een model verwerkersovereenkomst opgesteld die voldoet aan de eisen van de AVG, te vinden via: https://www.brancheorganisatieszorg.nl/nieuws_list/modelverwerkersovereenkomst-voor-de-zorgsector/

Data protection impact assessment (DPIA)

De AVG verplicht om een data protection impact assessment (DPIA) uit te voeren als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de mensen van wie de organisatie gegevens verwerkt. Een DPIA is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen, om daarna maatregelen te kunnen nemen om de risico’s te verkleinen.

Zie voor actuele informatie https://www.autoriteitpersoonsgegevens.nl/nl/zelf-doen/data-protection-impact-assessment-dpia?qa=PIA

Uitvoeringswet Algemene verordening gegevensbescherming (UAVG)

De UAVG geeft een nadere invulling voor de toepassing van de AVG binnen Nederland. Daar waar de AVG ruimte laat voor nationale regelingen of soms opdraagt tot het treffen van een regeling, komt de UAVG in beeld.

De UAVG bepaalt dat de uitzondering op het verwerkingsverbod van gezondheidsgegevens voor het verstrekken van gezondheidszorg enkel geldt voor hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening en enkel voor zover de verwerking noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk (artikel 30 lid 3 UAVG). 

De Uitvoeringswet AVG regelt dat het BSN alleen mag worden gebruikt bij de verwerking van persoonsgegevens ter uitvoering van de desbetreffende wet dan wel voor doeleinden bij de wet bepaald (art 46 UAVG).

In de UAVG is uitgewerkt dat minderjarigen vanaf 16 jaar zelfstandig beslissen over de verwerking van hun persoonsgegevens (artikel 5 UAVG).

De UAVG wijst de Autoriteit Persoonsgegevens aan als de toezichthouder voor de AVG die handhavend kan optreden.

Toepassing op het Twiin Afsprakenstelsel

Iedere Twiin Deelnemer is zelfstandig verwerkingsverantwoordelijke voor de verwerking van persoonsgegegevens in de eigen zorginformatiesystemen waaronder de GtK. Daaruit volgen een aantal verplichtingen:

• De zorgaanbieder is als verwerkingsverantwoordelijke het aanspreekpunt is bij verzoeken van betrokkenen op basis van hun AVG-privacyrechten zoals uitgewerkt in de Twiin Voorwaarden. 

• De zorgaanbieder moet voldoen aan de toepasselijke beveiligingsnormen, waaronder met name NEN 7510, NEN 7512 en 7513. Het vertrouwensmodel legt op een aantal onderdelen vast op welke wijze zorgaanbieders invulling geven aan deze normen.

• De zorgaanbieder is ervoor verantwoordelijk dat hun eigen GtK voldoen aan de toepasselijke beveiligingsnormen, waaronder met name NEN 7510, NEN 7512 en 7513. 

• De GtK Beheerder is verwerker in opdracht van de Twiin Deelnemer voor het uitvoeren van beheer, leveren van support en de monitoring. Als er naast de GtK Beheerder een leverancier bepaalde diensten levert, zoals technisch beheer, is ook deze partij (sub)verwerker. Dat kan zijn in opdracht van Twiin Deelnemer als verwerker of in opdracht van de GtK Beheerder als sub)verwerker. Deelnemer is verplicht om een (sub)verwerkersovereenkomst te (laten) sluiten met alle verwerkers zoals uitgewerkt in de Twiin Voorwaarden. 

• De zorgaanbieder is gehouden om zelf een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren als het gaat om verwerkingsactiviteit met een hoog privacyrisico zoals ook vastgesteld in de Twiin Voorwaarden.

Het Twiin Afsprakenstelsel schrijft in een aantal gevallen het gebruik van gemeenschappelijke voorzieningen voor. De gemeenschappelijke voorzieningen zijn zelf niet in het Twiin Afsprakenstelsel beschreven en deze hoeven ook niet door de Twiin-organisatie te worden ontwikkeld en/of beheerd. De Twiin-organisatie heeft zodoende geen rol van eigenaar, verwerkingsverantwoordelijke of (sub)verwerker ten aanzien van deze gemeenschappelijke voorzieningen.

Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)

Elektronisch uitwisselingssysteem

De Wabvpz regelt de voorwaarden voor het gebruik van een elektronisch uitwisselingssysteem. Dit is een systeem waarmee zorgaanbieders op elektronische wijze, dossiers, gedeelten van dossiers of gegevens uit dossiers voor andere zorgaanbieders raadpleegbaar kunnen maken. De belangrijkste rechten van de patiënt die in de Wabvpz geregeld worden, zijn:

• Het recht op (kosteloos) elektronische inzage in zijn dossier;

• Het recht op een (kosteloos) elektronisch afschrift van zijn dossier;

• Sinds juli 2020: het recht op een (kosteloos) elektronisch overzicht wie en op welke datum bepaalde informatie in een elektronisch uitwisselingssysteem beschikbaar heeft gesteld, en wie en op welke datum informatie heeft ingezien of opgevraagd.

De Wabvpz doet geen afbreuk aan de privacy-rechten van betrokken op basis van de AVG.

De belangrijkste plichten van een zorgaanbieder bij (elektronische) gegevensuitwisseling zijn:

• De plicht de patiënt te informeren over zijn rechten bij elektronische gegevensuitwisseling, de wijze waarop hij zijn rechten kan uitoefenen, de werking van het elektronisch uitwisselingssysteem en welke zorgaanbieders zijn aangesloten op het systeem;

• De plicht om zijn patiënt uitdrukkelijke toestemming te vragen voor het beschikbaar stellen van de patiëntgegevens via een elektronisch uitwisselingssysteem;

• De patiënt te informeren als nieuwe categorieën zorgverleners aansluiten bij het elektronisch uitwisselingssysteem.

Toepassing op het Twiin Afsprakenstelsel

In het onderdeel toestemming van het vertrouwensmodel is vastgelegd dat Twiin Deelnemers gebruik maken van Mitz voor de uitdrukkelijke toestemming van de patiënt. In het onderdeel transparantie van het vertrouwensmodel is nadere invulling gegeven aan de wijze waarop Twiin Deelnemers de patiënt informeren.

Het gebruik van het BSN

De Wabvpz bevat verplichtingen over het gebruik van het BSN. Om patiënten in de zorg op een betrouwbare manier te kunnen identificeren, moeten zorgaanbieders, indicatieorganen en zorgverzekeraars het BSN verplicht gebruiken in hun administratie en bij de onderlinge communicatie over patiënten. Om geen twijfel te laten bestaan over de correctheid van het BSN worden er twee acties uitgevoerd:

• BSN-verificatie
  Hierbij verifieert de zorgaanbieder dat bepaalde persoonskenmerken, waaronder naam, geslacht en geboortedatum), bij een BSN horen. Als persoonskenmerken en BSN bij elkaar horen, spreken we van een ‘geverifieerd BSN’. Voor de verificatie gebruikt de zorgaanbieder de interfaces van de SBV-Z (Sectorale Berichten Voorziening in de Zorg) die zorgen voor de ontsluiting van het BSN-register en het Registratie Niet-ingezetenen.

• BSN-validatie
  Zodra de nieuwe patiënt voor het eerst in het ziekenhuis komt, wordt aan de hand van een geldig Wettig Identiteits Document (WID: paspoort, rijbewijs, ID-kaart) gecontroleerd of de persoon voor de balie inderdaad degene is die is of wordt ingeschreven in het EPD. Hierdoor is vanaf dat moment sprake van een ‘gevalideerd BSN’.
  Het is ook mogelijk de geldigheid van het identiteitsbewijs elektronisch te laten controleren met behulp van een (tweede) koppeling met het SVB-Z voor de WID-controle. Dit kan men bijvoorbeeld doen als er twijfels zijn over de geldigheid van het identiteitsbewijs. Om een BSN te valideren is deze controlestap echter niet vereist en niet alle zorgaanbieders hebben de koppeling in gebruik. Het kan voorkomen dat het BSN van een patiënt wel bekend is binnen een ziekenhuis-informatiesysteem, maar dat deze nog niet is gevalideerd. Bijvoorbeeld als een patiënt zich nog niet heeft geïdentificeerd met een identiteitsbewijs.

Gebruik BSN in de praktijk

Voor gebruik van het BSN bij uitwisseling van gegevens tussen verschillende zorgaanbieders, moeten zorgaanbieders aan de volgende regels voldoen:

• Voordat de zorgverlener/zorgaanbieder gegevens van een patiënt mag delen met een andere zorgaanbieder, moet de brondossierhouder een gevalideerd BSN van de patiënt hebben. Dat wil dus zeggen dat de patiënt fysiek in de zorginstelling is geweest en dat de identiteit van de patiënt is vastgesteld aan de hand van een wettig identiteitsdocument. (NB dit staat los van het feit dat de patiënt daarnaast toestemming moet hebben gegeven voor het delen van zijn gegevens).

• Voor het raadplegen van gedeelde patiëntgegevens van een andere zorgaanbieder, is het voldoende dat de patiënt in de eigen organisatie bekend is met een geverifieerd BSN. De patiënt hoeft hiervoor dus nog niet fysiek aanwezig geweest te zijn.

In sommige gevallen, zoals bij een spoedverwijzing of een intercollegiaal consult, kan het voorkomen dat de patiënt nog niet bekend is in de zorginstelling die gegevens raadpleegt. Uitgangspunt is in deze gevallen dat men erop kan vertrouwen dat de zorginstelling die de medische gegevens heeft vastgelegd en aangemeld voor delen buiten de zorginstelling, het BSN heeft geverifieerd. Het proces van validatie van het BSN in de raadplegende zorginstelling blijft bestaan. De eerste keer dat een patiënt daar fysiek aanwezig is, geldt de reguliere validatieprocedure.

Toepassing op het Twiin Afsprakenstelsel

Het onderdeel identificatie van het vertrouwensmodel legt vast dat Twiin Deelnemers verplicht zijn de patiënt met BSN te identificeren.

Besluit elektronische gegevensverwerking door zorgaanbieders (Begz)

De Begz bepaalt onder andere dat een zorgaanbieder moet zorgen voor een veilig en zorgvuldig gebruik van het zorginformatiesysteem en van het elektronisch uitwisselingssysteem waarop hij is aangesloten, conform NEN 7510 en NEN 7512 en dat de logging voldoet aan NEN 7513.

De Begz verplicht de verantwoordelijke voor een elektronisch uitwisselingssysteem om te werken met een zorgserviceprovider die is geautoriseerd volgens in NEN 7512 vastgestelde criteria. Een zorgserviceprovider is een netwerkleverancier van een beveiligde netwerkverbinding tussen een zorginformatiesysteem en een elektronisch uitwisselingssysteem.

Ook verplicht de Begz de rechtspersoon die een elektronisch uitwisselingssysteem beheert en in stand houdt, eens in de vijf jaar door middel van een audit te laten vaststellen dat het systeem voldoet aan NEN 7510 en NEN 7512 en daarnaast om te borgen dat de logging van het systeem voldoet aan NEN 7513. Op basis van artikel 5 Begz is vastgesteld (Staatscourant 2019, 38007) dat de logging ten minste 5 jaar bewaard vanaf het moment dat de logregel wordt geschreven.

Overigens is de Begz niet de enige wet die naleving van een NEN norm vereist. De Regeling gebruik burgerservicenummer in de zorg verplicht dat gegevensverwerking van het BSN voldoet aan NEN7510.

Toepassing op het Twiin Afsprakenstelsel

De Twiin Voorwaarden verplichten de Twiin Deelnemer aantoonbaar te zorgen voor een veilig en zorgvuldig gebruik van het eigen zorginformatiesysteem en een veilig en zorgvuldig gebruik van het uitwisselingssysteem, overeenkomstig het bepaalde in NEN 7510 en NEN 7512 en NEN 7513.

Wet elektronische gegevensuitwisseling in de zorg (Wegiz)

De Wegiz is opgezet als een kaderwet. De onderliggende AMvB’s bepalen welke gegevensuitwisseling verplicht digitaal moeten verlopen en aan welke eisen de uitwisseling moet voldoen. De minister legt in een meerjarenagenda een lijst vast met gegevensuitwisselingen die aangewezen kunnen worden. 

De Wegiz is primair gericht op het uitwisselen van patiëntgegevens tussen zorgaanbieders. Voor aangewezen gegevensuitwisselingen kan een AMvB bepalen dat uitwisseling met een persoonlijke gezondheidsomgeving (PGO) ook verplicht is.

Er zijn twee sporen mogelijk. De AMvB kan enkel verplichten tot elektronische uitwisseling. Dat wordt spoor 1 genoemd. De wet kan ook verplichten tot interoperabele uitwisseling. Dat wordt spoor 2 genoemd. Bij spoor 2 liggen de eisen ten aanzien van taal en techniek vast in een NEN-norm. Bij spoort 2 zijn leveranciers verplicht om te zorgen voor certificering. 

Toepassing op het Twiin Afsprakenstelsel

Het Twiin Afsprakenstelsel sluit zo goed mogelijk aan op de meerjarenagenda van de Wegiz bij de ontwikkeling van de verschillende zorgtoepassingen. De zorgtoepassingen zelf sluiten aan bij de relevante NEN-normen en bijbehorende informatiestandaarden.

Normen – NEN 7510, 7512, 7513

Om veilig met elektronische medische gegevens om te gaan heeft het Nederlands Normalisatie-instituut (NEN) een aantal normen ontwikkeld. De eerste norm die is ontwikkeld is de NEN 7510, de norm voor Informatiebeveiliging in de zorg. Deze norm is gebaseerd op de Code voor Informatiebeveiliging, de ISO- 27000-serie. Voor de zorgsector is een aangepaste versie van deze norm opgesteld. De reden hiervoor is dat er zorg-specifieke aandachtspunten zijn, met name het belang van de vertrouwelijkheid en integriteit van persoonlijke gezondheidsinformatie. De NEN 7510 is voor de zorg aangevuld met NEN 7512 vertrouwensbasis voor gegevensuitwisseling en de NEN 7513 logging. Zorgaanbieders zijn verplicht om NEN 7510 toe te passen bij de verwerking van BSN en alle drie de normen bij gebruik van een elektronisch uitwisselingssysteem.

NEN 7510, informatiebeveiliging in de zorg (NEN 7510:2017)

De NEN 7510 bestaat uit twee onderdelen. NEN 7510-1 beschrijft de eisen voor het vaststellen, implementeren, bijhouden en continu verbeteren van een managementsysteem voor informatiebeveiliging.
NEN 7510-2 voorziet in richtlijnen voor zorginstellingen en andere beheerders van persoonlijke gezondheidsinformatie over hoe met het beste de beschikbaarheid, integriteit en vertrouwelijkheid van dergelijke informatie kan beschermen.

NEN 7512, Vertrouwensbasis voor gegevensuitwisseling (NEN 7512:2022)

In de NEN 7512 is een methodiek uitgewerkt voor het classificeren van risico's en het vaststellen van beheersmaatregelen bij de uitwisseling van gegevens. Deze norm bepaalt dat authenticatie van gebruikers van uit te wisselen persoonlijke gezondheidsinformatie in overeenstemming met eIDAS moet zijn, waarbij het betrouwbaarheidsniveau ‘hoog’ moet worden gebruikt.

Ondertekening van het uitgewisselde is ook verplicht. In de norm staat hierover het volgende: “Ondertekening bij uitwisseling dient twee doelen. Ten eerste de toegenomen zekerheid omtrent de integriteit van de uitgewisselde gegevens en ten tweede de zekerheid omtrent de afzender. Immers, veel instellingen hebben grote hoeveelheden medewerkers en voorkomen behoort te worden dat een niet daartoe geautoriseerde medewerkere de indruk kan wekken dat een onjuiste uitwisseling eigenlijk een goede uitwisseling is.“

NEN 7513, logging (NEN 7513:2018)

Deze norm bepaalt:

• welke gegevens in de logging aanwezig moeten zijn;

• welke gebeurtenissen moeten worden gelogd;

• welke gegevens van die gebeurtenissen moeten worden vastgelegd;

• aan welke kwaliteitseisen het loggen en de logbestanden moeten voldoen.

Verder biedt de norm houvast aan zorginstellingen en andere beheerders van persoonlijke gezondheidsinformatie over het verstrekken van informatie over wie toegang heeft gehad tot haar of zijn elektronisch patiëntdossier.

Toepassing op het Twiin Afsprakenstelsel

De Twiin Voorwaarden verplichten de Twiin Deelnemer aantoonbaar te zorgen voor een veilig en zorgvuldig gebruik van het eigen zorginformatiesysteem en een veilig en zorgvuldig gebruik van het uitwisselingssysteem, overeenkomstig het bepaalde in NEN 7510 en NEN 7512 en NEN 7513. De normen zijn toegepast in het vertrouwensmodel en dan met name in de onderdelen authenticatie, autorisatie en logging en ook in de uitwerking van die functies in de technische kern.