'Miljoenen patiëntendossiers NL worden opgeslagen bij commercieel bedrijf'

Het merendeel van alle patiëntendossiers van Nederlandse huisartsen wordt ook versleuteld opgeslagen op de systemen van een commercieel bedrijf. Dat blijkt uit onderzoek van de Nederlandse krant NRC.

NRC schrijft dat de medische patiëntendossiers van miljoenen Nederlanders wekelijks worden gekopieerd naar de servers van een commercieel softwarebedrijf. De VIP Live-software van Leids bedrijf Calculus maakt iedere week een kopie van de gehele patiëntenadministratie van een huisartsenpraktijk. Dat maakt dat huisartsen dergelijke gegevens kunnen delen met andere lokale behandelaren. De software wordt veel door huisartsen gebruikt voor het beheren van de zorg voor patiënten met chronische aandoeningen, zoals diabetes.

De kopieën bevatten volgens NRC alle medische dossiers, inclusief zaken als labresultaten, medicatie en persoonlijke observaties. De dossiers worden op de servers van het Nederlandse bedrijf opgeslagen. De kopieën bevatten ook de gegevens van patiënten die geen chronische aandoening hebben en dus niet relevant zijn voor het softwaresysteem. De kopieën worden versleuteld opgeslagen: alleen de huisarts heeft toegang tot de gegevens. Calculus en andere partijen kunnen de gegevens niet inzien.

Huisartsen zouden VIP Live gebruiken omdat ze zich niet bewust zijn van de gegevensdeling of er geen problemen mee hebben. Enkele huisartsen maken zich zorgen over het systeem, schrijft NRC. "Ik had eigenlijk geen keuze", zegt een van de huisartsen tegen het dagblad. "Ik zou heel veel geld mislopen voor werk dat ik wel doe. Tot op de dag van vandaag verbaast het me dat ik gegevens uitwissel, waar een deel van mijn patiënten nooit de vraag over heeft gekregen of ze dat oké vinden."

De Landelijke Vereniging Huisartsen zegt dat huisartsen eindverantwoordelijk zijn voor welke data wel en niet wordt gedeeld. De vereniging zet zich naar eigen zeggen al jaren in voor 'een stevigere positie ten opzichte van de ict-leveranciers'. "Nu is er voor huisartsenpraktijken te weinig bewegingsvrijheid en transparantie: overstappen is complex, tijdrovend en soms ook duur en er is te weinig helderheid over kosten en wat je daarvoor krijgt", zegt de LVH tegen de krant.

Calculus is onderdeel van Topicus Groep, dat op zijn beurt onder de Canadese investeringsmaatschappij Constellation Software valt. De Autoriteit Persoonsgegevens deed in 2018 vooronderzoek naar Calculus, maar zag toen geen aanleiding voor een uitgebreider onderzoek. De AP zegt tegen NRC dat alle gegevens uit de software versleuteld worden opgeslagen en alleen ingezien kunnen worden door huisartsen.

Reacties (143)

[cryinson]

Vrijwel elke huisarts heeft zijn eigen EPD, dit heet een HIS (huisarts informatie systeem). De werkelijke problemen, die ook in het originele artikel niet allemaal naar voren komt:

-huisartsen maken voor de vergoeding / externe communicatie t.a.v. specifieke aandoeningen (COPD, diabetes mellitus type 2) gebruik van een apart systeem (in dit geval VIP live)
-VIP live kopieert daarvoor alle volledige dossiers van alle patienten (niet proportioneel)
-VIP Live is geen backup service, maar doet dit puur t.b.v. de declaratie en externe communicatie tav de eerder genoemde specifieke aandoeningen
-Als de data versleuteld is en alleen de huisarts toegang heeft, hoe kan VIP Live dan vergoeding en externe communicatie faciliteren (m.a.w. VIP Live moet wel toegang kunnen hebben tot de onderliggende data)
-Huisartsen met verstand van ICT hebben diverse voorstellen gedaan voor proportionele dataverzameling door VIP Live - dit werd afgewezen.
-VIP Live is effectief monopolist en kan zich daarom dit gedrag permitteren

[Rob Coops]

Als de data versleuteld is en alleen de huisarts toegang heeft, hoe kan VIP Live dan vergoeding en externe communicatie faciliteren (m.a.w. VIP Live moet wel toegang kunnen hebben tot de onderliggende data)

Juist de andere vraag die ik dan heb is hoe kan een huisarts deze gegevens delen zonder ze te delen. Als alleen de huisarts de gegevens kan inzien dan is er geen reden om deze elders op te slaan tenzij het om een backup gaat. Ook waag ik te betwijfelen of iedere huisarts een eigen private key of iets dergelijks heeft voor hun data, iets dat dit artikel impliciet wel claimt omdat anders de eigenaar van het systeem de data gewoon in kan zien.
De complexiteit van elke huisarts met een eigen key laten klooien en die dan op de een of andere manier veilig opslaan en ook een veilige backup er van hebben etc is niet iets dat we van de gemiddelde huisarts mogen verwachten, en dat lijkt me dus heel erg sterk.

Mijn vermoeden is dat er ergens in dit verhaal een vriendelijke jonge meneer of dame een beleidsmaker heeft overgehaald dit systeem te selecteren en sindsdien is er nooit meer naar gekeken want het gaat vast goed en zo. Zo lang er niemand over klaagt is er ook geen probleem en als dat wel het geval is dan is de beleidsmaker al lang gevlogen.
Hoe dan ook het geen dat me erg verbaasd is het verhaal dat de Autoriteit Persoonsgegevens hier naar gekeken heeft en het allemaal wel goed vond zo. Dat geeft aan dat ze of weinig interesse hadden in het doen van hun werk of weinig begrepen van de werking van het systeem.
Immers een systeem hoort persoonsgegevens en al helemaal medische gegevens alleen te verzamelen als daar een noodzaak voor is. Tenzij de huisarts alleen maar mensen met chronische aandoeningen heeft is er dus totaal geen reden om iedereen en z'n moeder in de verzamel woede mee te nemen dat had de AP toch echt moeten weten.
Daarnaast is het simpel weg niet mogelijk om de data versleuteld op te slaan zodat alleen de huisarts de data in kan zien en niemand anders er iets mee kan als het systeem vervolgens gebruikt wordt om acties te ondernemen op basis van de inhoud van de verzamelde data. Ja er is een puur theoretische techniek die dit kan doen maar ondanks redelijk wat werk is er tot op heden niemand die dit buiten een universiteit en een strict gecontroleerde data set voor elkaar heeft gekregen en al helemaal niet op deze schaal. Dus er even van uitgaande dat het redelijk onwaarschijnlijk is dat dit Nederlandse bedrijf dit probleem heeft opgelost voor het ooit in een universiteit in de praktijk is gebracht met nogmaals een zeer strict gecontroleerde en kleine data set, is het verhaal dat alleen de huisarts de data in kan zien dus gewoon een leugen.

Nu kan ik me voorstellen dat het NRC het niet geheel bij het juiste eind heeft. Wat ik me voor kan stellen is dat de data wel eens waar wordt verzameld maar er met dat het verzameld is een meta data set van gemaakt wordt die alleen de informatie die relevant is bevat, denk behandeling tijd, datum, gebruikte materialen en kosten even als patient identificatie maar voor de rest niets. De rest van de data wordt dan simpel weg verwijderd. Dat je dit doet door alle data te verzamelen is redelijk logisch sinds je niet kunt vertrouwen op de machine van de huisarts, de rekenkracht beschikbaar en zo voort. Het is veel simpler om de data gewoon binnen te hengelen (internet bandbreedte is bijna gratis immers) en dan de meta data er uit te vissen om vervolgens de onderliggende data weer weg te gooien.
Als dit het geval is dan is het nog hoogst onwaarschijnlijk dat alleen de huisarts de data in kan zien maar goed de dat is dan niet zo maar te vertalen naar Jan Jansen bijvoorbeeld nog zal mijn data er tussen zitten want geen aandoening waar dit systeem wat mee doet.
Als dat het geval is kan ik me helemaal voorstellen dat de AP hier geen onderzoek naar wilde doen omdat de kans dat de data op straat beland relatief klein is en de data alleen voor verwerking opgeslagen is en daarna anoniem of in ieder geval zo ver versimpeld opgeslagen wordt dat er weinig mee te doen is mocht het toch uitlekken.

Ik kan me maar moeilijk voorstellen dat de AP echt simpel weg de andere kant op kijkt als er zo veel van de regels die ze hoort te controleren overtreden worden. Dus ik gok er op dat het NRC hier de plank wat mis heeft geslagen en de software niet helemaal goed begrijpt.
Zou het netter zijn om de data bij de huisarts op het systeem te verwerken en dus echt alleen (anonieme) meta data te verzamelen, ja natuurlijk. Maar zo als ik al zei ik kan me helemaal voorstellen dat dat helaas een brug te ver is voor veel huisartsen praktijken om daar de hardware voor in huis te halen en deze dan ook fatsoenlijk te beheren etc.

[Vandaahl]

Ook waag ik te betwijfelen of iedere huisarts een eigen private key of iets dergelijks heeft voor hun data, iets dat dit artikel impliciet wel claimt omdat anders de eigenaar van het systeem de data gewoon in kan zien.

Ja dat kan: https://www.uziregister.nl/

[duizend]

Q&A n.a.v. artikel NRC (d.d.19 juli 2023)

‘Zij lazen dat de zorgvuldig bewaarde medische dossiers met alle gevoelige gegevens van alle patiënten uit hun praktijk in één keer zouden worden gekopieerd, iedere week opnieuw. Dat zou nodig zijn om informatie te delen met andere lokale behandelaars ten behoeve van de zorg voor chronische patiënten.’

Q Waarom is het nodig dat alle patiëntgegevens wekelijks worden gekopieerd?

A Om actuele informatie te kunnen gebruiken wordt elke week een extractie vanuit het huisartseninformatiesysteem van de betreffende praktijk aangeleverd aan VIPLive. Deze data van patiënten is voor niemand anders toegankelijk dan voor de huisarts. Het is aan de regio-organisatie en de huisarts welke gegevens zij delen en beschikbaar stellen via VIPLive.

Op basis van de aangeleverde data wordt invulling gegeven aan de afspraken die huisartsen met de zorggroep zijn aangegaan ten aanzien van de ketenzorg op het gebied van declareren, rapporteren richting de zorgverzekeraar en samenwerking met ketenpartners. De wekelijkse frequentie is nodig om de actualiteit van gegevens te waarborgen.


‘Van die patiënten ligt dus bij een commercieel bedrijf een compleet dossier, ergens op een server in Nederland.’

Q Waar ligt de data van patiënten bij Topicus opgeslagen? En gebeurt dat veilig / ‘ligt’ er te veel data op één plek?

A De data wordt opgeslagen in verschillende datacenters binnen de EER. Daarbij wordt data per praktijk strikt gescheiden opgeslagen. Dit draagt samen met al onze beveiligingsmaatregelen bij aan de optimale veiligheid van data.


Q Wat doet Topicus om de veiligheid van patiëntdata te waarborgen?

A Om de veiligheid van patiëntdata goed te kunnen borgen heeft Topicus/Calculus diverse technische en beleidsmaatregelen ingeregeld. Deze zijn getoetst door een onafhankelijk auditor die Topicus het ISO27001 en NEN7510 certificaat heeft verleend. Heel specifiek slaat Topicus alle gegevens gepseudonimiseerd op, waarbij enkel de huisarts die de extractie aanlevert heeft de sleutel heeft om de gegevens te ‘de-pseudonimiseren’.

Q Hoe zorgt Topicus ervoor dat gehandeld wordt conform (veranderende) wetgeving met betrekking tot privacygevoelige data?

A Topicus volgt de wetgeving op de voet en heeft een team dat zicht specifiek toelegt op compliance, mede naar aanleiding van (veranderende) wetgeving. Dit team analyseert veranderingen en zorgt dat op basis daarvan alle ontwikkelteams de benodigde aanpassingen in de software of dienstverlening tijdig doorvoeren zodat we continue voldoen aan de nieuwste wet- en regelgeving


‘De huisarts moet zelf kunnen bepalen welke medische gegevens van welke patiënten gedeeld mogen worden, vinden Theeuwen en Janssen. Binnen hun eigen praktijk hebben ze dat zelf in de hand. Maar bij de samenwerking in de regio lopen ze er tegenaan dat een gezamenlijk informatiesysteem een vereiste is.’

Q Wat vindt Topicus hiervan?

A Regio-organisaties ondersteunen zorgverleners bij het bieden van goede patiëntenzorg en de complexe uitdagingen die op hen afkomen. Samen kun je effectiever aan de slag met de arbeidsmarktproblematiek, toenemende zorgvraag en andere vraagstukken. LHV, NHG en InEen geven een impuls aan deze regionale samenwerking. (https://www.hechtehuisartsenzorg.nl/)

Hiervoor hebben ze een systeem nodig waarmee ze dit daadwerkelijk kunnen uitvoeren. De regio organisaties zijn coöperaties, die na een uitgebreid selectieproces een softwarepakket kiezen waarmee ze hun plannen om de huisartsen te ondersteunen kunnen waarmaken.

Wij vinden dit een goede ontwikkeling, omdat er zoveel op huisartsenpraktijken af komt en het echt nodig is om hier praktijk overstijgend plannen op te maken. Met onze software willen we voorzien in een belangrijke maatschappelijke behoefte; namelijk bijdragen aan het efficiënter en effectiever maken van de zorg in Nederland.


Drie huisartspraktijken weigeren bij het kruisje te tekenen. Janssen ging met pensioen, en twee andere praktijken namen hun toevlucht tot een andere regionale huisartsengroep, Gelders Rivierenland, die in hun ogen een minder invasief informatiesysteem gebruikt.

Q Er zijn blijkbaar minder invasieve systemen, waarom doet Topicus het niet anders?

A De wijze waarop deze minder invasieve systemen gegevens uitwisselen (OZIS) is verouderd en wordt binnenkort niet meer ondersteund in Nederland. Ook ondersteunt het lang niet alle vormen van zorg die regio organisaties willen uitvoeren en gecontracteerd hebben met zorgverzekeraars, bijvoorbeeld ouderenzorg. Een andere uitdaging met deze wijze van uitwisseling is dat deze data onvoldoende is om de indicatoren voor de Benchmark van InEen aan te leveren, een eis die zorgverzekeraars stellen.

Tot slot vereisen deze informatiesystemen vaak extra werkzaamheden, omdat gegevens zowel in het eigen HIS als in het keteninformatiesysteem moet worden opgevoerd (= onnodig dubbel werk voor
huisartsen).


‘Het verzet van de huisartsen is volgens de hoogleraar een symptoom van de onduidelijke wetgeving in Nederland „Dit is een van de vele voorbeelden van zorgverleners die niet precies weten wat er wel en niet mag met de gegevens die zij vastleggen.’

Q Hoe ziet Topicus dit / wat maakt deze wetgeving onduidelijk?

A De afgelopen jaren is er veel veranderd binnen de zorgsector. Innovaties en nieuwe (digitale) manieren van werken zijn vaak gebaseerd op informatiesystemen en de beschikbaarheid van data. Dit vraagt om duidelijke wetgeving op het vlak van het delen en gebruiken van patiëntgegevens.

Om dit probleem aan te pakken, is het belangrijk dat de wetgeving en regelgeving omtrent het verzamelen en gebruiken van medische gegevens duidelijk en toegankelijk zijn. Dit helpt zorgverleners om op een verantwoorde en effectieve manier met patiëntgegevens om te gaan, terwijl de privacy van de patiënt gewaarborgd blijft.

Het is essentieel dat beleidsmakers, zorgverleners en andere belanghebbenden samenwerken om een evenwicht te vinden tussen het beschermen van de privacy van patiënten en het mogelijk maken van het gebruik van gegevens voor het verbeteren van de gezondheidszorg. Duidelijke wetgeving kaneen belangrijke rol spelen bij het creëren van een goed functionerend gezondheidszorgsysteem dat de belangen van alle betrokkenen respecteert.

Q Wat kunnen huisartsen zelf doen, wanneer zij gevoelige informatie niet willen delen middels de systemen van Topicus? En, wat zijn daar de consequenties van?

A: Data wordt niet vanzelf door VIPLive uit bronsystemen gehaald maar aangeleverd door (de software van) huisartspraktijken. Na aanlevering is deze data alleen beschikbaar voor de huisartspraktijk. Wij delen geen gegevens zonder expliciete toestemming of een handeling van de huisarts.

Huisartsen kiezen er zelf (soms dus in regioverband) voor of zij gebruik willen maken van software van Topicus of niet. Als het gaat om het opslaan en beschermen van data / persoonsgegevens voldoet Topicus (en daarmee haar producten en diensten) aan de meest actuele wet- en regelgeving.

[Anoniem: 1576590]

cryinson schreef:

-Als de data versleuteld is en alleen de huisarts toegang heeft, [...]

Ik lees nergens dat "de data versleuteld is", maar overal dat "de data versleuteld wordt opgeslagen".

In de praktijk betekent dit meestal "encryption at rest", een soort "Full Disk Encryption" dus. Daarmee is de opgeslagen data, normaal gesproken, veilig indien een schijf (of een disk-array) in voedingsspanningsloze toestand gestolen wordt (ononderbroken voedingspanning is alleen relevant voor de dief indien de sleutel zich in de gestolen spulleboel bevindt).

Zoals ik het lees heeft het er alle schijn van dat data door het systeem ontsleuteld wordt zodra deze vanuit de opslag gelezen wordt (en versleuteld direct vóór wegschrijven), en bepaalt het een of andere systeem van permissies wie vervolgens toegang tot de onversleutelde data heeft.

Ik ken geen systeem met permissies waarbij er geen "root"- of "administrator"-achtig account bestaat die rechten kan aanpassen (ook diens eigen rechten) zodat dat account alle gegevens kan benaderen. Normaal gesproken is dat voor noodsituaties, maar een kwaadwillende die toegang krijgt op dat niveau kan vervolgens gewoon overal bij (onversleuteld, voor alle duidelijkheid).

Versleuteld opgeslagen data is dus maar een deel van het verhaal, maar uiterst effectief om klanten, burgers en AVG-inspecteurs te misleiden. Marketeers love it.

Voor Calculus lijkt mij zo'n opzet onvermijdelijk. Immers, een huisarts weet niet bij voorbaat met welke andere zorgverlener later gegevens "moeten" worden gedeeld. Die huisarts kan dus niet bij voorbaat de symmetrische "master key" van de gegevens van één patiënt versleutelen met de public key van de betreffende zorgverlener, omdat die huisarts (nog) niet weet wie dat zal/zullen zijn. En dat t.z.t. doen is ook niet handig (denk bijvoorbeeld aan de situatie dat de huisarts op vakantie is).

De uitspraak (tegen NRC) van Calculus-directeur Brand spreekt m.i. boekdelen:

„Ik denk dat niemand heel grote problemen zou hebben als ergens bekend wordt dat je diabetes hebt. Daar zit het probleem niet.”

Het is dus geen back-up waar uitsluitend de huisarts zelf bij kan, en hier zit het probleem juist wél. Zelfs als gedeelde informatie zich zou beperken tot uitsluitend diabetes: niet meneer Brand, niet de huisarts en ook niet een andere zorgverlener hoort te bepalen of bepaalde medische- en andere persoonsgegevens (medisch beroeps-) geheim dienen te blijven c.q. met wie deze gedeeld mogen worden, maar de patiënt.

Met zo'n systeem en concentratie van gegevens op één plaats is de vraag niet óf, maar wanneer, een deel van (of alle) gegevens uit dat systeem in verkeerde handen vallen.

[teek2]

Ja, dit zijn de goede punten, het artikel van T.net is wel vreemd, want het bevat idd tegenstrijdigheden, voornamelijk dus idd: Wat is het probleem als de data is versleuteld? En hoe kan je een service gebruiken voor vergoedingen als die service de data niet kan lezen?

Dus het artikel suggereert dat er technisch niet aan de hand is, maar er lijkt toch wel degelijk iets aan de hand anders zou het hele systeem nutteloos zijn (behalve wellicht als backup voor de huisarts).

[Anoniem: 1322]

Vrijwel elke huisarts heeft zijn eigen EPD, dit heet een HIS (huisarts informatie systeem). De werkelijke problemen, die ook in het originele artikel niet allemaal naar voren komt:
De grap is dat dit probleem overal in de verschillende takken van de zorg hetzelfde is.
HiX (EPD) heeft een volledige monopoly over de ziekenhuizen tot grote zorgen van iedereen (binnen het buiten het ziekenhuis). Ook daar is genoeg over geschreven.

Het maakt zelfs niet uit dat er mensen om sterven:
https://www.computable.nl...n-peperdure-software.html

Daarin onthullen artsen dat er jaarlijks mogelijk honderden patiënten in Nederlandse ziekenhuizen sterven door gebrekkige software. Met name marktleider Chipsoft krijgt er van langs. 'Ziekenhuizen staan machteloos, de overheid staat erbij en kijkt ernaar, en it-bedrijven vullen hun zakken.'

Mensen zien niet dat de zorg totaal kapot is gemaakt en de overheid echt helemaal niets doet.
Even opstaan en klappen voor onze hulpverleners!.

[itaalol]

Zorginstellingen werken ook in de cloud en hebben bijvoorbeeld software van leveranciers in de cloud draaien.

Er staat zo ontzettend veel data van patiënten bij commerciële bedrijven en dit mag gewoon volgens NEN 7510 waarin een hele berg verplichtingen/regels staan beschreven specifiek voor de zorg.

Het enige wat bijvoorbeeld niet mag is dat patiëntengegevens niet buiten de EU landen opgeslagen mag worden. Een datacenter van Microsoft in Düsseldorf mag, een datacenter van Microsoft in New York mag niet.

[Reactie gewijzigd door itaalol op 23 juli 2024 09:33]

[ronaldvr]

Lees even na wat FISA 702 zegt, en wat NOYB daar over meldt: https://noyb.eu/en/next-steps-eu-companies-faqs dat het in Düsseldorf staat betekent niks voor de Amerikaanse overheid: Je bent een Amerikaans bedrijf dus "all your data are belong to us" simpel. Dan kan de EU-commissie onderhandse dealtjes sluiten wat ze wil die hebben niks te betekenen in de VS.

[Polydeukes]

all your data are belong to us

Feitelijk onjuist.
1) Amerikaanse bedrijven die actief zijn in de EER moeten zich houden aan de GDPR. Dat leverde een probleem op, want Amerikaanse bedrijven zijn in eigen land gehouden aan nationale wetgeving, die dus in strijd is met Europese wetgeving. Zie o.a. SCHREMS-2. Dat laat onverlet dat Amerikaanse bedrijven zich in de EER moeten houden aan de GDPR en dus niet zomaar data van EU-ingezetenen mogen doorgeven. Veel Amerikaanse bedrijven hebben dit opgelost door Europese data op Europese servers te plaatsen die in Europees eigendom waren.
2) Inmiddels is er overeenstemming tussen de EU en de VS op dit onderwerp: lees nieuws: Europese Commissie neemt opvolger van datadoorgifteverdrag Privacy Sh...

[ronaldvr]

Het zou toch goed zijn als mensen alles lezen:

FISA 702 and EO 12.333 have no territorial limitation. They also apply to servers in the EU that are operated by a US “electronic communication service provider” or where certain operations are outsourced to a US provider. The location for hosting is therefore irrelevant.

Dan kan het best zijn dat Microsoft een uitzondering zegt te zijn, dat zal een procedure ooit nog wel uitwijzen, en tot nu toe zijn zij de enige en is degene waar we het nu over hebben ook niet Microsoft.Dus als ze worden overgenomen door een Amerikaanse partij is je data alsnog het haasje.
Daarnaast zijn de recentere ontwikkelingen hier: https://noyb.eu/en/new-us...r-unlikely-satisfy-eu-law

Executive Order on US Surveillance unlikely to satisfy EU law

More than six months after an "agreement in principle" between the EU and the US, US President Joe Biden has signed the long-awaited Executive Order that is meant to respect the European Court of Justice's (CJEU) past judgments. This is meant to overcome limitations in EU-US data transfers. The CJEU required (1) that US surveillance is proportionate within the meaning of Article 52 of the Charter of Fundamental Rights (CFR) and (2) that there is access to judicial redress, as required under Article 47 CFR. Biden's new Executive Order seems to fail on both requirements. There is continuous "bulk surveillance" and a "court" that is not an actual court.

[Polydeukes]

FISA zegt (volgens mij) alleen wat over de "rechten" van inlichtingendiensten, niet over de plichten van Amerikaanse bedrijven actief in de EER.

[Reactie gewijzigd door Polydeukes op 23 juli 2024 09:33]

[ronaldvr]

Lees: https://en.wikipedia.org/...ft_Corp._v._United_States

As part of the investigation into a drug-trafficking case in December 2013, a United States magistrate judge in the United States District Court for the Southern District of New York issued a warrant under the Stored Communications Act of 1986 (SCA) requiring Microsoft to produce all emails and information associated with an account they hosted. While the information was held on Microsoft's United States servers, the emails were stored on a server in Dublin, Ireland, one of numerous servers Microsoft operates located around the world.]

Microsoft complied with providing the account information but refused to turn over the emails, arguing that a U.S. judge has no authority to issue a warrant for information stored abroad

...

While the case was being decided by the Supreme Court, Congress introduced the Clarifying Lawful Overseas Use of Data Act ("CLOUD Act") shortly after the oral hearings. Among other provisions, the CLOUD Act modified the SCA to specifically include cloud storage considerations of communication providers in the United States regardless of where the cloud servers may be located. The bill was supported by both the DOJ and Microsoft.[21] In March 2018, Congress passed the CLOUD Act as part of an omnibus government spending bill, which was signed into law by President Donald Trump on March 22.[22] By the end of March, the DOJ had issued a request for a new warrant for the original emails from the 2013 investigation under the new authority granted by the CLOUD Act,

[Polydeukes]

De CLOUD Act is niet de Foreign Intelligence Surveillance Act.

De CLOUD Act is onder de nieuwe privacy shield (2) overeenkomst tussen de VS en Europa in theorie minder ingrijpend. Zo is bulk dataverzameling niet meer toegestaan, alleen gericht.

[ronaldvr]

Het gaat niet over welke wet precies, maar wat er in deze gebeurt qua data opeisen en door wie. Microsoft heeft zoals in dat artikel te lezen is, uitgebreid verzet, maar haalde 0 op het rekest toen en doordat het congres een ander wet maakte. (Wat het werk van het congres is tenslotte). Of de wet nu cloud act, Fisa of een nieuwe leuke naam krijgt, bottom line is dat de amerikanen een algemeen geldende claim leggen op data die onder verantwoordelijkheid van een Amerikaanse entiteit valt. En dan kan je in de EU hoog springen en laag springen die data krijgen ze toch zoals uit dit verhaal ook blijkt.
En dat is precies de zere plek waar Schrems ook iedere keer de vinger op legt: Je kan als EU commissie een 'good faith' overeenkomst sluiten met de VS, maar die handelen dus niet 'in good faith'

[Guru Evi]

Wat een onzin, een bedrijf in de VS kan het worst wezen wat de GDPR zegt, de EU heeft geen standing in een Amerikaans gerechtshof. En indien ik verkeerd ben, gelieve aan te wijzen in welke rechtszaak in de VS de EU zich al als partij heeft gesteld.

Schrems II zegt gewoon dat de wet niet voldoende is en daarmee is Privacy Shield zowel in de EU als in de VS ook afgewezen en er zijn inderdaad nieuwe verdragen maar ondanks wat vele mensen denken kan Obama of Trump of Biden de VS niet zomaar binden aan een internationaal verdrag. Ze kunnen natuurlijk wel een verklaring tekenen (en Trump heeft de verklaring ontbonden) maar zolang Congress (Senaat en Huis) de wet niet ratificeren (wat momenteel heel onwaarschijnlijk zal zijn) kun je er weinig mee doen.

Daarom ook dat Twitter, Amazon, Microsoft, Salesforce etc terug kantoren in Europa sluit, enkel maar de financiële gang van zaken in Europa houden, als je ze achtervolgt is er geen beslissingskracht noch financiële middelen in de tussenbedrijven.

[Reactie gewijzigd door Guru Evi op 23 juli 2024 09:33]

[Polydeukes]

Het is helemaal geen onzin, en je draait het om. Er zijn meerdere zaken aangespannen tegen Amerikaanse bedrijven die zich niet aan de GDPR houden die geleid hebben tot hoge boetes. Die bedrijven hebben zich dus wel degelijk te houden aan de GDPR en ze hebben er veel last van als ze dat niet doen.
Tweakers staat er vol mee.
Voorbeeld 1: nieuws: Amazon krijgt GDPR-boete van 746 miljoen euro
Voorbeeld 2: nieuws: Clearview AI krijgt Griekse boete voor overtreden AVG
Voorbeeld 3: nieuws: Ierse privacytoezichthouder gaf in 2022 ruim miljard euro aan boetes ...

[Anoniem: 1576590]

Ik zie geen VS-veiligheidsdiensten in jouw lijstje

[Polydeukes]

Heb je nog meer off-topic constateringen? Ik zeg nergens dat Amerikaanse veiligheidsdiensten zich aan de GDPR moeten houden en boetes krijgen als ze dat niet doen. Het onderwerp is (Amerikaanse) bedrijven actief in de EER. Graag on topic blijven.

[Anoniem: 1576590]

Heb je nog meer off-topic constateringen? Ik zeg nergens dat Amerikaanse veiligheidsdiensten zich aan de GDPR moeten houden en boetes krijgen als ze dat niet doen. Het onderwerp is (Amerikaanse) bedrijven actief in de EER. Graag on topic blijven.

Het onderwerp van NYOB is dat de FISA wetgeving Amerkaanse bedrijven verplicht om, desgevraagd -ook zonder opgave van redenen- door de veiligheidsdiensten, data te overhandigen - ongeacht waar ter wereld deze data staat, en dat onder volstrekte geheimhouding.

Zelfs de privacyrechten van Amerikanen blijken, bij herhaling, met de voeten te worden getreden. In dat licht moge duidelijk zijn wat er gebeurt met data van niet-Amerikanen - die in de Amerikaanse grondwet zo goed als rechtenloos zijn.

[Polydeukes]

Dat bestrijd ik ook nergens. Mijn punt is dat Amerikaanse bedrijven wel degelijk bestraft worden voor het overtreden van de GDPR. En dat zet hun in eigen land met de rug tegen de muur. Daarom is er ook in Amerika zelf zo ontzettend veel weerstand tegen de Patriot Act en alle daaropvolgende en aansluitende wetgevingen en amandementen die veiligheidsdiensten zo veel rechten geeft.

Mijn punt blijft dat Amerikaanse bedrijven actief in de EER zich aan de GPDR moeten houden en als ze dat niet doen, ze daarvoor bestraft worden. Om die reden proberen ze allerlei constructies te bedenken om hun eigen veiligheidsdiensten buiten spel te zetten. Want ze willen natuurlijk gewoon geld verdienen hier, en niet iedere keer beboet worden.

Daarnaast is erg onduidelijk hoe vaak er daadwerkelijk door Amerikaanse veiligheidsdiensten actief wordt gezocht in alle data van Europeanen. Van Amerikanen zelf is bijv. wel bekend dat de FBI in 2022 95% minder actieve zoekacties heeft gedaan dan in het jaar daarvoor. Maar over Europeanen is geen transparantie.

[Superstoned]

Realiteit is wel dat als je de europese GDPR overtreed je een boete krijgt. Als je nee zegt tegen een rechter in de VS kunnen ze je CEO in de cel zetten. Dus die krijgen gewoon netjes wat ze willen. En daarbij kan dat ook eventueel nog onder een 'gag order' zodat de EU er ook niets over hoort. Dan krijg je dus ook geen boete. Win-win, en ik wed dat het 99% van de tijd zo gaat.

[Guru Evi]

Clearview AI heeft ondertussen al meerdere boetes en dit aan zijn gat geveegd, ze betalen niet en gaan naar eigen zeggen ook niet meedoen want ze hebben geen kantoren in de EU.

https://www.cpomagazine.c...leading-to-big-penalties/

De andere gaan over de Europese takken van een bedrijf en daarom dat ze zich nu deels terugtrekken en kantoren sluiten na een boete van 0.001% omzet. Daarnaast blijkt dat veel van die bedrijven (oa TikTok, Clearview en Meta) niet betalen of een compromis sluiten of al jaren in beroep aanslepen na de boete is uitgedeeld en de ambtenaren hun foto in de krant gekregen hebben.

[Reactie gewijzigd door Guru Evi op 23 juli 2024 09:33]

[Polydeukes]

je hoeft hier geen kantoor te hebben om beboet te kunnen worden. Zodra je je diensten hier aanbiedt heb je je aan de GDPR te houden. En ik zie graag bronnen waaruit blijkt dat Amerikaanse bedrijven massaal hun Europese kantoren sluiten vanwege de privacywetgeving. Volgens mij is er namelijk helemaal geen massale exodus gaande en is er ook geen causaal verband tussen bedrijven die kantoren sluiten en privacy.

Of boetes wel/niet betaald worden en over juridisch langslepende zaken heb ik het niet gehad en zegt ook niks over het punt dat ik steeds maar weer herhaal en blijf herhalen: bedrijven actief in de EER moeten zich aan de GPDR houden. Punt. Uit.

[Guru Evi]

Maar hoe ga je de boetes innen? Clearview heeft duidelijk een reeks boetes en “veroordeeld” voor wanbetaling, echter verschillende politie en andere staatsdiensten gebruiken ze nog steeds. Ze zijn heel klaar op hun website staat gewoon dat ze niet van zin zijn te betalen omdat ze niet onder de wetgeving vallen. Elon Musk heeft in het verleden ook hetzelfde gezegd over zowel de GDPR als de censuur die vanuit de EU regering komt.

TikTok hetzelfde, China kan het worst wezen wat de EU zegt. Meta heeft de ‘duurste’ boete in de geschiedenis van de GDPR voor zo’n 1.3B euro en die rekening staat ook nog open. Meta zegt ook al dat ze vanwege GDPR Threads niet voor de EU willen starten, echter ze nemen wel accounts aan van EU burgers (en implementeren een schijnoplossing om dan te zeggen dat ze wel degelijk EU mensen weren)

Je mag op je kop staan, buitenlandse bedrijven hoeven niet en hebben geen zin om zich aan een binnenlandse wet te houden. Denk je dat de EU homofielen aan Iran uitlevert om te onthoofden? Waarom niet, want volgens de Koran geldt de wet op homofilie ook buiten het Midden-Oosten?

Noord Korea, Sovjets, Cuba, China en klaarblijkelijk ook de EU, alle socialistisch-communistische landen hebben zogenaamde rechtbanken waar ze mensen binnen en buitenlands veroordelen voor alle soorten zaken. Onlangs werden Amerikaanse en EU wetgevers ook ‘veroordeeld’ door zo’n rechtshof (geloof dat het in Rusland was) vanwege de steun voor Oekraïners, dat blazen we ons toch ook af.

[Reactie gewijzigd door Guru Evi op 23 juli 2024 09:33]

[latka]

En jij denkt dat bedrijven zich hier aan houden? Ik heb geen enkele reden om aan te nemen dat ee. Amerikaans bedrijf nee zegt tegen cia/fbi/nsa verzoeken met gag orders om de data aan te leveren. It's beter to ask forgiveness than seek permission. M.a.w. men heeft de gevraagde dat en doet verder alsof de neus bloed, de kan dat het uitkomt is nihil en dan verwijs je verder dat de usa je dwong dus moeten usa en eu het maar uitvechten.

[Bazi]

De datacenters van Microsoft die in Europa staan zijn echter geen eigendom van het Amerikaanse bedrijf, maar van de Europese tak. Daardoor zijn die wel veilig te gebruiken (juridisch gezien, voor zover bekend).
Dat staat ook gewoon op de pagina van NOYB waar je naar linkte:

In some cases, providers may have sufficiently limited the factual access (“possession, custody or control”) from US entities, so that an EU/EEA server is factually beyond the reach of the US government. For example, this may be the case if an EU entity is bound by the GDPR to not provide data to the US parent company and there is no factual access by the US parent company.

[itaalol]

ik zie dat @Bazi ook al gereageerd heeft, hier heeft hij inderdaad gelijk in. Heel veel apparatuur en software in Ziekenhuizen komt van Amerikaanse bedrijven, dat zou wat zijn als "all your data belongs to us" het geval zou zijn.

Daarbij hoeft de EU-commissie geen onderhandse dealtjes te sluiten en moeten de Amerikanen (zoals bijvoorbeeld Microsoft) zich aan regels binnen de EU conformeren aangezien hun zich op Europees grondgebied bevinden.

[N1traat]

Ik snap het probleem eigenlijk niet... Een commercieel bedrijf? wat maakt dat uit? Maakt het opslaan bij een non-profit of bij de zorgverleners zelf veiliger? Zolang dit commerciële bedrijf zich maar aan de regels houd die staan voor het opslaan van persoons en medische gegevens, zie ik niets aan de hand. Overigens kan iedere organisatie gehackt worden, en data lekken, dus dat is ook geen argument voor waar iets opgeslagen moet worden en waar niet.

[djiwie]

Wat hier problematisch is is, is dat alle dossiers (van elke patient) iedere week gekopieerd worden naar de centrale opslag van VIP Live. Dat is eigenlijk niet nodig want die dossiers zouden alleen uitgewisseld worden voor een aantal groepen chronisch zieke patienten (diabetici bijvoorbeeld). Maar doordat de software gewoon lomp een dump van alles maakt krijgen zij dus ook dossiers die helemaal niet nodig zijn voor de taak van die software. En dat is op zijn minst discutabel. Concurrenten konden wel een selectieve dump maken en alleen de gegevens synchroniseren die daadwerkelijk gedeeld moesten worden. Dat is een stuk beter (privacy by design).

Aangezien VIP Live een marktaandeel van >80% heeft gaat het om veel patientendossiers.

[raq]

Alle VIP concurrenten voerden min of meer een tweede dossier voor de chronische ptn, die via brakke methodes slecht wordt gesynct met het HIS van de dagpraktijk. Tegen werkelijk schandalige kosten. VIP beloofd de HA 1 dossier waarin gewerkt wordt....

[WoutervOorschot]

Heeft dus niks te maken met commercieel of niet, maar met een designkeuze (designfout) in de software.

[emphy]

Het probleem bij een commercieel bedrijf is dat die de gegevens potentieel door zou kunnen verkopen. Zelfs als je de huidige leiding volledig vertrouwd dan heb je naast het risico van een lek/inbraak nog wisseling van de wacht, overnames, en uitverkoop na een faillissement.

Dat is in dit geval overigens helemaal niet relevant omdat de gegevens blijkbaar eind-tot-eind versleuteld zijn, ervan uitgaande dat dat netjes gebeurt is.

Kortom: storm in een glas water.

[Reactie gewijzigd door emphy op 23 juli 2024 09:33]

[bwerg]

Het probleem bij een commercieel bedrijf is dat die de gegevens potentieel door zou kunnen verkopen.

En waarom kan een niet-commerciële partij dat niet? Sterker nog, een medische instelling kan prima tegelijk ook een commerciële partij zijn.

Zaken uitbesteden aan commerciële partijen is daarnaast de normaalste zaak van de wereld. Het is niet alsof we verwachten dat elke huisartsenpartij het beheer en de opslag van alle patiëntgegevens zelf regelt zonder hulp van externe (commerciële) partijen. Alsjeblieft niet, zeg. Zo deden ze het tig jaar geleden en dat was voor de beveiliging en toegangsbeheer van die gegevens niet bepaald een goed idee.

Het probleem waar dit artikel om gaat is dan ook hooguit dát het dus niet netjes volgens wet- en regelgeving zou gaan, maar dat zie ik niet erg expliciet benoemd worden. Bijvoorbeeld dat er niet meer gegevens moeten worden opgeslagen dan noodzakelijk. Voor de kwaliteit van het artikel zou het goed zijn als dat benadrukt wordt. Zaken die eng klinken maar eigenlijk helemaal geen probleem zijn zijn niet echt nieuws te noemen.

[Reactie gewijzigd door bwerg op 23 juli 2024 09:33]

[Sissors]

Los van de versleuteling, een non-profit zou de handel ook kunnen verkopen. Beide zou ronduit illegaal zijn. En risico van een lek / inbraak / etc heb je natuurlijk al helemaal in elke mogelijke situatie. Als je dat niet wil, moet je alleen bij de huisarts zelf volledig offline hebben staan, wat bij mij iig absoluut niet de voorkeur heeft. (En dan heb je alsnog mogelijkheid op fysieke inbraak).

[Reactie gewijzigd door Sissors op 23 juli 2024 09:33]

[emphy]

Tsjah, een commercieel bedrijf heeft als gehele organisatie nu eenmaal meer prikkels om de grenzen van de wet op te zoeken dan wel te overschrijden. Bovendien staat de it sector inmiddels wel bekend als eentje waarin men eerst handelt, en later pas kijkt of dat het wel mocht.

[litebyte]

Denk het niet, als commerciele org. zich ook juist te profileren als veilige 'partner' het is ook hun core business...en niet 'we moeten ons ook nog houden aan de privacy wetgeving/veilig opslaan van patientengegevens.

Het punt is dat de bestraffing in geval van misbruik/grove nalatigheid gewoon veel te laag is in Nederland - losstaande welke org. dan ook.

[Carn82]

Het probleem bij een commercieel bedrijf is dat die de gegevens potentieel door zou kunnen verkopen. Zelfs als je de huidige leiding volledig vertrouwd dan heb je naast het risico van een lek/inbraak nog wisseling van de wacht, overnames, en uitverkoop na een faillissement.

Dat is in dit geval overigens helemaal niet relevant omdat de gegevens blijkbaar eind-tot-eind versleuteld zijn, ervan uitgaande dat dat netjes gebeurt is.

Kortom: storm in een glas water.

En dan nog: als dit bedrijf de gegevens gaat verkopen dan is het einde verhaal gezien de branche en dienstverlening waar men in opereert; dan is je reputatie direct aan gort.

[Bazer]

Maar ook of dat commercieel bedrijf een europees bedrijf is of niet, mogelijk spelen er bij een buitenlands commercieel bedrijf wetgevingen die eisen dat data naar dat land gestuurd wordt of waar zelfs inzagerecht geldt. (vs bijv)

[Lisadr]

Een commerciele bedrijf die niet onder toezicht staat op het gebied van security, maar wel mogelijk toegang heeft tot veel medische gegevens is wel zorgelijk. Maar dat is niet het schuld van de commerciele bedrijf, maar die van de politiek/wetgevers.

[J_van_Ekris]

Topicus is anders een behoorlijk grote speler in de gezondheidszorg, kan me niet voorstellen dat ze geen NEN7510 certificering hebben...

[Reactie gewijzigd door J_van_Ekris op 23 juli 2024 09:33]

[Lisadr]

Op hun website zie ik dat ze NEN7510 gecertificeerd zijn. Maar NEN7510 is geen zware certificaat, maar meer een minimum basis.

[metalmania_666]

Ja dat zijn ze:
https://www.topicus-keyhu...g-nen-7510-topicus-keyhub

[JapyDooge]

Interessant dat deze enkel op de KeyHub website staat; Dat is namelijk slechts een soort password manager met wat extra features.
Het product VIPLive zelf waar het hier over gaat heeft wel ISO 27001 en NEN 7510 zeggen ze, maar ze linken enkel naar ISO 27001 op de website: https://viplive.nl/over-ons

[sambalbaj]

Canadees dus Five Eyes.
En ze zullen dus ook een Amerikaanse afdeling hebben waardoor ze rechtstreeks onder de Patriot Act vallen.

Eigenlijk moet dit gewoon via de Nederlandse overheid geregeld worden en niet via een bedrijf. En servers in Nederland hooguit in Europa en voor de gebruikte software hetzelfde. Maar houdt sowieso de controle en actief toezicht.

[Blokker_1999]

En dan krijg je het verhaal van het EPD weer.

En voor Amerika zit je nog altijd met de overeenkomst tussen de EU en de VS dat recent nog maar eens is aangepast.

[Reactie gewijzigd door Blokker_1999 op 23 juli 2024 09:33]

[J_van_Ekris]

Canadees dus Five Eyes.
En ze zullen dus ook een Amerikaanse afdeling hebben waardoor ze rechtstreeks onder de Patriot Act vallen.

Dat is een aanname die volgens mij niet gerechtvaardigd is: in het overzicht van vestigingen is Andelst (Belgie) de verst gelegen vestiging....

En dat je een Amerikaanse investeerder/eigenaar hebt, of een vestiging daar hebt, betekent niet dat je onder de Patriot Act valt. Zelfs als je hoofdkantoor in de VS staat is een organisatorische scheiding maakbaar die door de Patriot Act niet te overbruggen is (Microsoft doet dat bijvoorbeeld met Outlook/Office365 en Azure).

[cariolive23]

Als dat waar is, dan is zo'n NEN-certificaat dan ook minder waard dan een stuk toiletpapier om m'n kont mee af te vegen...

Wat heeft Topicus een bende gemaakt van de COVID-informatie! Alle storingen die je in het nieuws hebt gelezen, zijn daar begonnen.

[SunnieNL]

Dat gaat sowieso veranderen in october volgend jaar als de supply chain van essentiele bedrijven (waar huisartsen onder vallen) moeten voldoen aan bepaalde regelgeving omtrend digitale beveiliging.
Daarnaast, als je zorgt dat de gegevens encrypt zijn voor ze in transit gaan naar de opslagplaats, dan is er op zich bij een datalek ook niet 1-2-3 een groot probleem (mits die encryptie dan weer aan voorwaarden voldoet).

[flurb]

Ik vind het ook wel interessant waarom men nu hier over valt, wetende dat bijna alle EPD's in Nederland commerciële services zijn. En tot een paar jaar geleden, toen ik een audit mocht doen op Nederlandse jeugdzorg EPDs, is het om te huilen hoe deze partijen (al dan niet schermend met (matig) relevante certificaten) de boel niet op orde hebben.

Geen haan die daar naar lijkt te kraaien,. Het zal je kind maar zijn met een medisch dossier wat per ongeluk op straat komt te liggen.

[Guru Evi]

Iemand heeft de juiste handjes binnen de regering niet gevuld denk ik, of er is een grote partij die ook een deeltje van de markt wilt (vb. Epic dat door grotere medische systemen gebruikt wordt en inslag probeert te maken op kleine praktijken).

Met de Benalla affaire hebben we ook gezien dat de GDPR heel selectief gebruikt wordt om achter groepen te gaan die de regering (Macron in dit geval) tegenzitten.

Als ITers weten we dat er overal gaten zitten ivm GDPR waar we een vrachtwagen kunnen rijden, ik heb ook mijn aandeel klachten ingevuld, maar dossiers voor grote bedrijven met goede verbindingen naar onze machthebbers worden naar achter geschuifeld, genoeg kleinere bedrijven die afgestraft kunnen worden.

[Reactie gewijzigd door Guru Evi op 23 juli 2024 09:33]

[memphis]

Misschien niet geheel hetzelfde maar het is zoals de NASA hun netwerk en servers laat beheren door een Chinees bedrijf. De verleiding zal aanwezig zijn om data te kopiëren.

[bwerg]

Zeg maar gerust "totaal niet hetzelfde". Chinese en Amerikaanse wetgeving lopen mijlen ver uit elkaar, daar ligt dus een juridisch probleem. Terwijl het in beginsel helemaal geen juridisch probleem is als een huisarts patiëntdata verwerkt met behulp van een derde partij. Mits natuurlijk gewoon netjes aan alle wetten en regelgeving voldaan wordt. Of die partij commercieel is is totaal niet relevant.

[Brent]

Leg mij dan maar eens uit waarom Nederlandse patientendossiers 1. op het darkweb te koop staan en 2. waarom men daar kennelijk zulke bedragen voor betaald. Slordige omgang met gegevens liggen aan de basis hiervan.

[willieverhoef]

Want op de pc van de doctor is het veiliger?. Wat verwacht je het staat toch gewoon op een server, aangezien de overheid het niet betaald, wordt deze al jaren beheerd door een externe partij. Aangezien al die lokaties gecentraliseerd worden, wordt ook deze server in de cloud geplaats. Persoonlijker denk ik dat dat veiliger is dan op de laptop van de doctor, met een backup op een USB sticky.
Het enige wat we in de hand hebben is welke leverancier, welke locatie, en de encryptie lijkt me.

[Bitfreakie]

Het Huisarts Informatiesysteem (HIS) dat de huisartsenpraktijk dagelijks gebruikt zal vaak genoeg op een externe server staan. Waar het hier om gaat is dat een integrale kopie van alle patiënten bij een derde partij wordt geplaatst. Ook van patiënten die geen chronische ziekte hebben en waarvoor het niet nodig is dat hun dossier bij die partij staat.
Die externe partij zal alles wel op orde hebben qua beveiliging, certificeringen etc. maar in het kader van dataminimalisatie is deze constructie niet echt een schoolvoorbeeld van hoe het moet.

[GertMenkel]

Dan nog heb je toestemming nodig, of op zijn minst een vermelding nodig in het privacystatement, wat je bij veel dokters niet vindt.

Overigens worden de dossiers dus dagelijks met de server gesynchroniseerd, je hebt nu dus de onveilige PC van de dokter én de cloudboer als risicopunt. Het wordt er op die manier niet veiliger op, je voegt alleen maar meer risicopunten toe.

Daarnaast is dit een systeem dat al die dossiers helemaal niet nodig heeft, zoals het artikel zegt. Het is een systeem dat bedoeld is voor chronisch zieke mensen, maar de meeste mensen zijn dat niet en komen toch in dat systeem terecht.

Ik ben benieuwd hoe versleuteld het systeem nou echt is, misschien maar eens een inzage verzoek sturen naar Calculus.

[bwerg]

Dan nog heb je toestemming nodig, of op zijn minst een vermelding nodig in het privacystatement, wat je bij veel dokters niet vindt.

Waarom? Als de dokter zelf gewoon de juiste toestemming heeft, en de dokter en de derde partij dekken hun onderlinge overeenkomst om patiëntdata te verwerken netjes af volgens regels en wetgeving, dan is expliciete toestemming voor elke derde partij niet per definitie nodig.

[GertMenkel]

Als het noodzakelijk is voor de dokter of als je zelf toestemming hebt gegeven natuurlijk wel.

Data van niet-chronisch-zieke mensen die naar een systeem voor chronisch zieke mensen wordt opgestuurd, is natuurlijk alleen niet noodzakelijk.

Een "ja" op "mogen we gegevens met derden delen als het niet noodzakelijk is" is meestal prima, maar dan moet je wel "nee" kunnen zeggen (wat volgens dit artikel niet lijkt te kunnen) of überhaupt de vraag krijgen. Het hele punt van dit nieuws is dat het zonder toestemming, noodzaak, of zelfs kennisgeving gebeurt.

[Kees]

Een van de problemen die je hier mee zou kunnen krijgen is dat in het geval van een hack of een lek je meteen ook miljoenen dossiers op straat hebt liggen. Een hack bij de dokter treft alleen zijn eigen patienten.

De PC van de dokter is dus niet perse veiliger, maar bevat wel veel minder data dan alles op 1 plek opslaan. Het is daarom ook niet gewenst dat de overheid maar 1 centrale plek organiseert, want dan houd je hetzelfde probleem dat het een heel erg aantrekkelijke plek is om te hacken.

Eigenlijk zou je meerdere (enkele tientallen) bedrijven hebben die dit soort zaken doen, maar het probleem daarmee is weer dat door marktwerking er meestal maar enkele partijen boven komen drijven, zeker in zo'n relatief klein land als Nederland.

Dat zou ook geen probleem hoeven te zijn, als ze het maar niet centraal ergens opslaan, en dat doet dit bedrijf dus wel.

[sus]

Dokter. Een doctor is titel na je afstuderen. Een dokter de naam voor een iemand met een medische achtergrond.

Een dokter kan ook doctor zijn natuurlijk, maar tis wel iets heel anders.

Zie ook https://www.onzetaal.nl/taalloket/doctor-dokter

[Reactie gewijzigd door sus op 23 juli 2024 09:33]

[MSteverink]

Na je promotie. Bij je afstuderen word je doctorandus of drs. Letterlijk doctor in wording

[Lisadr]

Dat is niet het punt. Wat je vaak ziet is dat het fout gaat met encryptie (zoals enkele encryptie zonder goede key management of deels encryptie waarbij de leverancier ook de key heeft) maar ook dat dit soort bedrijven afhankelijkheden hebben van partijen buiten de EU (zoals technische support vanuit India) waardoor er onnodig risico’s zijn.

Een andere probleem is de sterk afhankelijkheid van de zorg van een klein aantal commerciële partijen.

[Limbeckx]

Oprechte vraag waar ik het antwoord niet op weet: Valt het plaatsen van een beveiligde backup (immers versleuteld) ook onder delen van gegevens?

[GertMenkel]

De richtlijnen "informatie opslaan in Amerika", die golden voor de EU nieuwe bezigheidstherapie voor Scherms heeft klaargezet, stellen dat gegevens bij Amerikaanse partijen opslaan mag mits de gegevens versleuteld zijn en de externe partij die sleutel niet heeft.

Als de versleuteling goed is (goedgeïmplementeerde AES bijvoorbeeld) en de server de sleutel niet heeft, lijkt me dat er niks aan de hand is. Het zijn dan binaire blobs die ergens op een server staan, eventueel extra beveiligd achter een wachtwoord.

Aan de andere kant vraag ik me af wat het nut van een systeem is waar de gegevens allemaal extern staan maar de sleutel niet bekend is. Willen dokters hiermee gegevens uitwisselen dan zal de sleutel toch gedeeld moeten worden, en ik denk niet dat ze over de telefoon AES-sleutels gaan lopen uitwisselen.

Als je de data alleen at-rest versleuteld, zit je alsnog data te verwerken. Nu is versleutelen van de schijf at rest natuurlijk zo'n beetje wettelijk verplicht als het op persoonlijke informatie aankomt, maar dat alleen is niet voldoende om niet van gegevens delen te kunnen spreken.

Aangezien Calculus bijvoorbeeld declaraties opstelt, via een webinterface als ik hun website mag geloven, vermoed ik toch dat er op zijn minst hier en daar een verzekeringsnummer (persoonlijke informatie) langskomt.

[dakka]

Onder het mom, better safe than sorry, zou ik zeggen ja, het zou handig zijn (en kleine moeite) om het op te nemen in de dataverwerkings overeenkomst

[ShadLink]

Officieel gezien wel. Je deelt de gegevens met een externe partij. Als de encryptie ergens faalt heb je een groot probleem.

[bwerg]

En als de encryptie faalt bij je huisarts is dat probleem er niet?

[Limbeckx]

Als je encryptie faalt heb je altijd een probleem. In de kern is backuppen een goede practice. Zeker als dat beveiligd gebeurd.

het doel van is toch niet het delen van data maar het veilig stellen van data?

[itaalol]

Ik zou het niet zeker weten maar qua gevoel zou ik zeggen nee. Delen van gegevens vind ik het pas op het moment dat het voor een of meerdere partijen leesbaar is of kan worden gemaakt. Dus als het bedrijf waar deze beveiligde backup de gegevens zou kunnen inzien zou ik het technisch gezien delen van gegevens noemen.

[Defragging]

Hier stukje leesvoer hierover: https://autoriteitpersoon...uploads/imported/av23.pdf

Aangepast: per ongeluk mijn Adobe extensie voor PDF viewer erin geplakt

[Reactie gewijzigd door Defragging op 23 juli 2024 09:33]

[jochem4207]

Das een vreemde link 🤔

[Defragging]

Aangepast, perongeluk mijn Adobe extentie voor PDF viewer erin geplakt

[Limbeckx]

Iemand een goede tldr?

[Frame164]

Een huisartsen- of tandartspraktijk is overigens ook een commercieel bedrijf.

[raq]

Ja, en het grappige is dat Topicus sowieso marktleider is bij de huisartsen in de praktijk (medicom is ook van Topicus). In feite wordt data van topicussysteem1 naar topicussysteem2 gekopieerd.
Sowieso een flut-artikel van nrc: Tendentieus, onvoldoende onderbouwd en geen aandacht voor de noodzaak tot deze kopieerslag (actieve HIS-systemen uit de jaren 90, kostenreductie en een gebrek aan uitwisselstandaarden in de zorg). Die hele wetgeving gaat over delen en beschikbaar stellen van ptn-informatie, daar is hier geen sprake van.

[Krulliebol]

[De software] maakt iedere week een kopie van de gehele patiëntenadministratie van een huisartsenpraktijk. Dat maakt dat huisartsen dergelijke gegevens kunnen delen met andere lokale behandelaren. (...) De kopieën worden versleuteld opgeslagen: alleen de huisarts heeft toegang tot de gegevens.

Als de gegevens versleuteld zijn, hoe kan een andere behandelaar ze dan inzien? Dan zou de huisarts dus een wachtwoord moeten delen met de behandelaar of de gegevens laten versleutelen met een key van de behandelaar of zo. Ik kan me toch niet voorstellen dat het zo werkt?

[Groningerkoek]

Je hebt 1 bedrijf welke:

De interne software voor de huisarts verzorgt
Welke dus ook de lokale opslag en de versleuteling verzorgt
Welke zorgt dat elke week alle informatie naar hun eigen servers gaat
Welke zorgt dat elke huisarts in Nederland dankzij hun software al die info op hun servers in kan zien

En jij vraagt je af wie de sleutel beheert?

[Krulliebol]

Volgens het artikel kunnen Calculus en andere partijen de gegevens niet inzien en heeft enkel de huisarts toegang. Ik vraag me af hoe dat mogelijk is.
Volgens mij denken we er hetzelfde over

[Reactie gewijzigd door Krulliebol op 23 juli 2024 09:33]

[Emproh]

Het is jammer dat zulke nieuwsberichten mij niet meer verassen...

[SambalBij]

Het is jammer dat iets wat volkomen normaal is, en wat zich zo te lezen gewoon allemaal netjes aan de AVG houdt, toch weer met een schreeuwende titel als "nieuws" wordt gebracht...

Dat bedrijf verwerkt toch gewoon de gegevens namens de verantwoordelijke huisartsenpraktijk?
Als er gewoon netjes een verwerkingsovereenkomst is onder de AVG, wat is dan echt het probleem?
Is dit zo veel anders dan een bedrijf met een CRM systeem in de cloud waarmee dat bedrijf dus ook jouw gegevens aan Microsoft Azure/AWS geeft?

[gaskabouter]

Precies dat. Ik ben bestuurder in de zorg. Ik ken geen één bedrijf wat onze data opslaat voor ons en niet commercieel is. Zou ik ook heel gek vinden want als wij ze niet betalen hoe verdienen ze dan hun geld? Liever aan mij dan aan mijn data.

Bovendien ken ik dit bedrijf al jaren. Zit veel kennis en ervaring en weten echt wel waar ze mee bezig zijn.

[Reactie gewijzigd door gaskabouter op 23 juli 2024 09:33]

[IJS-T]

Ik twijfel niet aan de intenties van Calculus. Het probleem is de noodzaak a.g.v. vereisten van de NZA (overheid), die vervolgens zorgt dat voor het behapbaar en volgbaar houden van de zorg leidt tot noodzaak van dergelijke interfaces (want uiteindelijk is dat wat Calculus is).

Dat er veel kennis en ervaring zit klopt inderdaad, maar het zou niet nodig moeten zijn. Overheid en zorgverzekeraars zou hierin een grotere rol kunnen vervullen door bijvoorbeeld Vecozo verder uit te werken. Denk aan interfaces direct met de primaire registratie tools (bijvoorbeeld Medicom).

Nu ontstaat er een diffuus (commercieel) speelveld, met een groter risico op lekken van patientgegevens, mede ingegeven door de gedwongen digitalisering (zowel administratief gedwongen, als feitelijk middels ECD en EPD).

[gaskabouter]

Waarom moeten overheid en verzekeraars zich bemoeien met de infrastructuur van data opslag en back up? Die hebben geen ervaring en zijn geen expert op dat gebied. Er zijn gewoon wettelijk vastgelegde eisen aan data opslag in de zorg. Dat kan een commerciële partij prima behappen.

Ik zie ook bepaald niet waarom de overheid minder garantie geeft o lekken dan professionele partijen die niet anders doen. Iets van schoenmaker en leest....

[Baserk]

Voor een bestuurder in de zorg, een tamelijk zorgelijke opmerking.
Zoals vermeld door Tweaker cryinson, wordt VIP Live-software gebruikt voor vergoedingen voor huisartsen.

-huisartsen maken voor de vergoeding / externe communicatie t.a.v. specifieke aandoeningen (COPD, diabetes mellitus type 2) gebruik van een apart systeem (in dit geval VIP live)
-VIP live kopieert daarvoor alle volledige dossiers van alle patienten (niet proportioneel)
-VIP Live is geen backup service, maar doet dit puur t.b.v. de declaratie en externe communicatie tav de eerder genoemde specifieke aandoeningen
-Als de data versleuteld is en alleen de huisarts toegang heeft, hoe kan VIP Live dan vergoeding en externe communicatie faciliteren (m.a.w. VIP Live moet wel toegang kunnen hebben tot de onderliggende data)
-Huisartsen met verstand van ICT hebben diverse voorstellen gedaan voor proportionele dataverzameling door VIP Live - dit werd afgewezen.
-VIP Live is effectief monopolist en kan zich daarom dit gedrag permitteren

Maar wel blijven volhouden dat het alleen maar gaat om 'een backup'?
Fraai.

[gaskabouter]

Ik zeg nergens dat het alleen een backbup is. Dit programma wordt gebruikt om patiënten te overleggen met bijvoorbeeld specialisten. Data uit te wisselen etc. Best handig als daar ook data bij beschikbaar zijn. Dit is gewoon weer een typisch geval

Zorgen + commercie= ophef

Terwijl het hele systeem is ingericht op veilige en doelmatige inzet van schaarse middelen ten behoeve van de patiëntenzorg. Dat er tegenstanders zijn is altijd zo. Heeft ook te maken met de huisartsen die geld willen besparen. Uiteindelijk moet je een knoop doorhakken om samen te kunnen werken.

En bij ieder contact is er gewoon een standaard vergoeding. De kpn luistert jouw gesprek ook niet af om de rekening te kunnen opmaken. Of wel?

[Reactie gewijzigd door gaskabouter op 23 juli 2024 09:33]

[Baserk]

gaskabouter @Baserk • 19 juli 2023 14:54

Dat heet een back up. Complete click bait dit bericht. .

Man, man, man.
Hoe hou je jezelf zo voor de gek?

[Reactie gewijzigd door Baserk op 23 juli 2024 09:33]

[gaskabouter]

Ik werk al meer dan twintig jaar in de zorg. Dit programma maakt mogelijk interdisciplinair samen te kunnen werken op een efficiënte en veilige manier. Ze voldoen aan alle richtlijnen. De regionale huisartsen groep heeft lang gepusht en is erg blij dat we het nu gebruiken.

Je weet niet waar je het over hebt maar slaat aan op de sensatiezoekerij. En ondertussen in mijn spreekkamer verbaasd zijn dat we geen gegevens hebben een niet verder komen omdat alles afgeschermd wordt op basis van sentimenten. Mede gevoed door dit soort stemmingmakerij.

Maar ik ga je niet overtuigen. Je bubbel is daar...

[OruBLMsFrl]

@gaskabouter : "Ze voldoen aan alle richtlijnen."
Dat lijkt haast niet mogelijk, want ze verwerken dus kennelijk medische data, ofwel bijzondere persoonsgegevens, van personen in een doelgroep waar ze helemaal geen diensten voor leveren.
en @beeldbuijs :
"Mijn vader kreeg een keer een beroerte op vakantie in een Spaanstalig land. Kun je van alles gaan ondernemen om zijn patiëntendossier boven water te krijgen, in het weekend, als zo'n praktijk dicht is. Wat mij betreft wordt het opt-out in plaats van opt-in."
Hoe gaat een systeem helpen om van jouw vader in het verre buitenland een patiëntendossier boven water te krijgen dat daar geheel niet voor bedoeld is? VIP-live gaat het hier toch om, dat volgens het NRC bron artikel dient om voor chronische patiënten zoals diabetici/mensen met hartritmestoornissen/ouderenzorg de ketenzorg te vereenvoudigen binnen de regio? De Calculus directie zelf zegt in dat artikel: "Door de patiëntendossiers te kopiëren en daarna slim te verwerken ten behoeve van zorgverzekeraars en regionale samenwerking hoeven huisartsen geen dubbele administratie te voeren"

Het wijzen naar een bubbel op Tweakers verder, heel bijzonder als dit uiteindelijk gaat om een groot onderzoek door en uiteindelijk artikel van NRC... moet je ook lezen hoe Calculus directeur Brand dan doet over onze medische privacy, dat zijn echt niet je vrieden die wel goed voor jouw belang zorgen daar:
"Ik denk dat niemand heel grote problemen zou hebben als ergens bekend wordt dat je diabetes hebt. Daar zit het probleem niet."

Die directeur heeft 80% van de markt in handen, loopt financieel volledig binnen met dat systeem, maar niet een filter bouwen om enkel die diabetes en andere ketenzorg gevallen binnen te halen die nodig zijn. Makkelijk ook even alle gevallen van chlamydia, psychologische problemen en al het andere binnenhalen. Als start-up kun je nog eens proberen dat die investeringen in filtering nog niet gingen en later zouden volgen, maar met 80% marktaandeel ben je monopolist en mag je nu eenmaal aan een veel hogere standaard gehouden worden. Zelfs gemeten tegen de normale standaard echter, zou je zulke fundamentele zaken allang op orde moeten hebben, zoals uitsluiten van risico op extra data die je bedrijf nergens voor nodig heeft. Zelfde als met brandverzekering, klein risico maar grote impact als het ergens ooit misgaat, wel iets aan doen. Maar dat dossier import filter kan echt niet zegt het grote farma ICT geld nog altijd 5 jaar na serieuze meldingen van huisartsen.

Dat is geen kwestie van niet kunnen meer na zo een lange tijd, dat is domweg bedrijfsmatig niet willen. En daarmee meer geld en opbrengsten zien in al die extra dossiers dan de risico's van al die extra data overpompen en extra kosten om die allemaal op te slaan. Juist die houding van de directie van een ICT zorg firma maakt dat mensen ook over andere zorg en privacy zaken terughoudend worden, juist die houding maakt dat het lastiger wordt om in het buitenland op een acceptabele manier aan je patiëntendossier te komen.

[Reactie gewijzigd door OruBLMsFrl op 23 juli 2024 09:33]

[gaskabouter]

Nou ja even kort. Ze leveren wel diensten. Namelijk aan de zorgverlener. Zij zorgen ervoor dat data op essentiële momenten beschikbaar is en gedeeld kan worden. Dan moet je die data wel hebben.

Je wil niet weten hoeveel huisartsen en zelfs ziekenhuizen buiten kantoortijden nog iets uitprinten en op de fax gooien. En veel huisartsen, en dus ook hun dossier!, Is niet eens beschikbaar buiten kantoortijden.

[Reactie gewijzigd door gaskabouter op 23 juli 2024 09:33]

[beeldbuijs]

Het wijzen naar een bubbel op Tweakers verder, heel bijzonder als dit uiteindelijk gaat om een groot onderzoek door en uiteindelijk artikel van NRC

Als je vrijwel alleen nieuwsberichten plaatst die voorbeelden zijn van hoe het fout gaat qua onderwerp X, dan is dat net zo goed een bubbel. Ook als zijn die nieuwsberichten op zich nog zo onderbouwd en waarheid en schrijnende gevallen.

[beeldbuijs]

Met alle respect, maar eerder is tweakers al jaren steeds meer een bubbel waar bij voorbaat alles wat met data gebeurt, uiterst verdacht is.

Het gaat met grote regelmaat over 'algoritmes' die enge dingen doen, bij de (semi)overheid zoals gemeentes en politie en grote bedrijven zoals NS en in de zorg. Alsof niet elk computerprogramma een algoritme is. Alsof overheid en bedrijfsleven hun werk ook wel af zouden kunnen met een typmachine en een dossierkast.

Mijn huisarts vraagt wél toestemming voor gebruik digitaal patiëntendossier.

Mijn vader kreeg een keer een beroerte op vakantie in een Spaanstalig land. Kun je van alles gaan ondernemen om zijn patiëntendossier boven water te krijgen, in het weekend, als zo'n praktijk dicht is. Wat mij betreft wordt het opt-out in plaats van opt-in.

[IJS-T]

Gegeven het gebrek aan informatiebeveiliging die mogelijk is binnen Medicom, durf ik wel hardop te stellen dat dit zeker niet voor iedere commerciële partij het geval is.

De overheid kan zeker geen garanties geven, maar dit is essentiële infrastructuur voor (gemakkelijke) uitoefening van het beroep, als ook het uitwisselen van gegevens. Lijkt mij dus niet de verantwoording van meerdere commerciële partijen met dito winstmarge. Dit is, in essentie, de taak van de overheid. Het feit dat de overheid niet in staat is ICT infrastructuur goed op te zetten hieromtrent is een veelgehoord excuus, maar neemt niet weg dat dit wel haar taak is.

Dit staat los van primaire registratie van gegevens, waar ik mij nog voor kan stellen dat keuze uit leveranciers meer persoonlijk is ihkv bruikbaarheid en toepasbaarheid op de organisatie (zo zal Medicom niet voor elke huisarts de beste keus zijn, zoals ONS dat niet is voor elke verpleegorganisatie).

[J_van_Ekris]

Precies dat. Ik ben bestuurder in de zorg. Ik ken geen één bedrijf wat onze data opslaat voor ons en niet commercieel is. Zou ik ook heel gek vinden want als wij ze niet betalen hoe verdienen ze dan hun geld? Liever aan mij dan aan mijn data.

Ik ken een niet-commerciele speler, maar dat is historisch zo gegroeid. Maar hoe dan ook, het zou inderdaad niemand mogen verbazen dat er professionele commerciele organisaties diensten aan zorgorganisaties verlenen. Het is inderdaad extreem bekrompen allemaal terwijl de AVG en WGBO door de gemiddelde zorgorganisatie zeer serieus worden opgepakt. Als partij overleef je gewoon niet als je je zaken niet op orde hebt.

[Baserk]

Issue lijkt me meer dat dit systeem blijkbaar nodig is/gebruikt wordt om patiënten-info mbt een chronische ziekte, te kunnen delen met andere partijen tbv van de patiënt.
Daarvoor hoeven toch niet ALLE gegevens van ALLE non-chronisch zieken te worden meegestuurd?

[gaskabouter]

Dat heet een back up. Complete click bait dit bericht.

[dlaoR]

Nee, het is een platform om gegevens te communiceren, voor zowel inhoudelijk overleg als een stukje facturatie. Wat dus betekent dat er meer dan één partij bij kan; voor communicatie heb je immers tenminste twee deelnemers nodig.

Dat op zich kan prima, legaal en veilig, dwz binnen gestelde normen en richtlijnen.

De crux is dat er veel meer data naar dat platform gaat dan strikt noodzakelijk. Inclusief data van patiënten over wie helemaal niet gecommuniceerd wordt via dat platform. Die 'sleepnet'-werking is op z'n minst toch wat curieus.

[:murb:]

Huisartsen worden door regionale samenwerkingsverbanden gedwongen mee te doen aan een systeem dat alle patiënten dossiers kopieert. Het is een beetje als dat je hele familie eist dat jij de communicatie doet via Facebook, ook zij claimen je privacy erg belangrijk te vinden. Het zijn huisartsen die aan de bel getrokken hebben hierover, sommigen zijn in andere huisartsenkringen gaan werken om te voorkomen dat ze al hun gegevens moeten delen met een derde. Vervolgens claimen ze dat het in een kluis staat waar alleen de huisarts bij kan, maar vervolgens kunnen ze er wel informatie vanuit delen. Erg tegenstrijdig allemaal als je het mij vraagt.

[Vuurvleugelhart]

Na het verassen, worden jouw data nog steeds niet gewist. Verrassend genoeg mag je dan volgens de AVG deze data nog in lengte van dagen blijven gebruiken. Het kan ooit nog eens ergens van toepassing voor zijn, meer reden heb je hiervoor niet nodig.

[spokje]

Dat is ook ongeveer wat Emproh bedoelt denk ik. We worden dagelijks geconfronteerd met datalekken dat het nieuwe er wel een beetje vanaf is. Erg matig dat het zo gaat tegenwoordig, maar wat verwachten we; de straffen hierop zijn niet zo spannend. En men geeft gewoon niet zoveel om (het lekken van) data want het is niet echt tastbaar. Pas als het gruwelijk mis gaat; en dan is het te laat.

[Reactie gewijzigd door spokje op 23 juli 2024 09:33]

[Emproh]

Beter kon ik het zelf niet uitleggen!

[IngamerX]

Het is zorgwekkend, daarmee eens. Ook is het zo dat als we spelregels afspreken, dat handhaving bewaakt dient te worden.
Wat mij niet duidelijk wordt is of versleutelde data onderbrengen bij een commerciele partij een overtreding is van de gemaakt regels.
Ik kan me namelijk ook wel ergens vinden in de uitspraak van de ACM dat het risico op onrechtmatig gebruik is afgedekt dankzij versleuteling.

[Yisc]

Na het verassen, ...

Na het verassen kan je in een urn of uitgestrooid worden

[Krulliebol]

Alleen levende mensen hebben recht op privacy, zo is de redenering.

[Timber83]

Taaltechnisch heel scherp!

[belal]

Wat een tendentieus bericht. Pas halverwege wordt gemeld dat de partij helemaal niet bij de data kan, want versleuteld met alleen toegang huisarts.

Als dit artikel zo belangrijk is, dan moet je ook melding maken van hun internet provider, de bedrijven die de backups maken, de cloud providers voor hun werk omgeving, de schoonmakers, de stroom leverancier en de buren.

Als de data onversleuteld, of toegankelijk was voor VIP Live, DAN is er een reden om stennis te schoppen.

Dit artikel is van telegraaf/fox news niveau

EDIT:
De huisarts met IT kennis is de eenoog in het land der blinden, hij ziet iets waarvan hij denkt, dit kan niet, maar heeft eigenlijk onvoldoende kennis het echt te beoordelen. In dit geval is de AP correct, het is versleuteld en alleen de huisarts kan er bij.

De beste oplossing is als er een onafhankelijke, door de overheid gefinancierde organisatie komt (net zoals de gerechterlijke macht) die een centraal landelijk patienten dossier aan bied aan alle zorg aanbieders. In dat dossier hebben de verzekeraars en overheid niets te zoeken.
Deze methode zou direct heel nederland ketenzorg geven zonder commerciele bedrijven er tussen.
Helaas was de overheid van mening dat verzekeraars in die dossiers moeten kijken en zij de bevolking terecht NEE.

[Reactie gewijzigd door belal op 23 juli 2024 09:33]

[The Zep Man]

Wat een tendentieus bericht. Pas halverwege wordt gemeld dat de partij helemaal niet bij de data kan, want versleuteld met alleen toegang huisarts.

Hoe is de key lifecycle? Als alleen de huisarts toegang heeft, dan kan hij de gegevens niet delen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 09:33]

[Rolio]

@belal: Heb je het bericht in NRC wel gelezen? Of alleen de samenvatting van Tweakers?

[Reactie gewijzigd door Rolio op 23 juli 2024 09:33]

[MaZeLe]

De Topicus groep is ook eigenaar van Parnassys, Nederlands grootste leerling administratie systeem voor het primair / funderend onderwijs. Zij hebben meer dan 90% van de Marktmina handen. Daar geldt hetzelfde voor als wat de Nederlandse vereniging van huisartsen geldt: "Nu is er voor huisartsenpraktijken te weinig bewegingsvrijheid en transparantie: overstappen is complex, tijdrovend en soms ook duur en er is te weinig helderheid over kosten en wat je daarvoor krijgt". Daarnaast is er voor het PO/FO geen volwaardig alternatief.

[raq]

Dat is het hele business model: "creating sticky customers". Software maken die het primaire proces ondersteund, waardoor het een enorme opgave is om te migreren en het gras is elders zelden groener. Die sticky customers stappen niet gelijk op bij een prijsverhoging oid.
Topicus groep doet dat in heel veel branches.