CBP: twee regionale epd's zijn in strijd met de wet

Het CBP heeft geconstateerd dat bij twee regionale epd's de Wet Bescherming Persoonsgegevens wordt overtreden. De toegangsbeveiliging zou gebrekkig zijn en de informatieplicht zou niet worden nageleefd.

Het CBP heeft in februari en maart van dit jaar onderzoek verricht bij de Centrale Huisartsenpost Gorinchem en Spitz-MH in Gouda naar de naleving van de gegevensuitwisseling tussen zorgverleners in de betreffende regio's.

Uit het onderzoek blijkt dat de twee zorginstellingen hebben verzuimd patiënten te informeren over de opname van hun persoonsgegevens in de regionale epd. Volgens het CBP is dat noodzakelijk zodat tegen de opname van gegevens in het systeem bezwaar kan worden gemaakt.

Ook is de toegangsbeveiliging bij de twee epd's onvoldoende. Zo heeft een waarnemend arts van de CHP Gorinchem toegang tot de zogeheten professionele samenvattingen van alle patiënten van alle aangesloten huisartsen. De arts kan hierdoor gegevens van een patiënt inzien die niet bij hem of haar onder behandeling is. Ook is gebleken dat de directeur van de CHP en een externe ict-dienstverlener bevoegd zijn om autorisaties van gebruikers van Call Manager, een softwarepakket voor ip-telefonie, aan te passen.

Bij de epd van Spitz-MH verschijnt op het scherm van een deelnemende zorgverlener die de gegevens van een patiënt wil inzien, de vraag of de zorgverlener in kwestie een behandelrelatie heeft met de patiënt of dat de toegang nodig is vanwege spoedeisende hulp. Bij het bevestigend antwoorden op deze vraag worden de gegevens getoond.

De toegang tot de epd's wordt zowel bij het de CHP als bij Spitz-MH gelogd. Bij de CHP worden de logs echter niet gecontroleerd op ongeoorloofde toegang en de technische mogelijkheden zijn daarvoor ook niet toereikend. Bij het Spitz-MH worden de logs elke week bekeken door een projectleider en gelogde gegevens worden doorgestuurd naar de zorgverlener wiens patiëntgegevens zijn opgevraagd. De opzet van de logs maakt efficiënte controle op onrechtmatige toegang echter onmogelijk.

De KNMG, de overkoepelende beroepsvereniging van artsen, heeft kennis genomen van het resultaat van het onderzoek en laat in een reactie weten dat deze 'kan bijdragen aan het door KNMG wenselijk geachte upgraden van regioale epd's op het gebied van beveiliging van gegevens'. Het KNMG is tegen invoering van het landelijke epd en ziet meer in de 'bottom-up'-benadering van regionale epd's. De Tweede Kamer stemde in februari in met de landelijke invoering van het epd. De Eerste Kamer moet zich nog over de kwestie buigen.

Reacties (33)

Uit het onderzoek blijkt dat de twee zorginstellingen hebben verzuimd patiënten te informeren over de opname van hun persoonsgegevens in de regionale epd. Volgens het CBP is dat noodzakelijk zodat tegen de opname van gegevens in het systeem bezwaar kan worden gemaakt.

Leuk dat men hier over valt. Als je kijkt bij het landelijke EPD heb je 2 mogelijkheden om bezwaar te maken:

Gegevens afschermen bij een (bepaalde) zorgverlener
Als u gegevens in uw dossier bij een bepaalde zorgverlener wilt afschermen, kunt u deze zorgverlener hierom vragen. Hij is verplicht om hieraan mee te werken. De afgeschermde gegevens in uw dossier kunnen dan niet door andere zorgverleners ingezien of opgevraagd worden via het landelijk EPD.

Al uw medische gegevens afschermen
U kunt er ook voor kiezen al uw medische gegevens af te schermen voor alle zorgverleners. Zorgverleners kunnen dan uw medische gegevens niet inzien en betrekken bij uw behandeling.

Zoals ik het lees, heb je dus alleen de mogelijkheid om je gegevens te verbergen. Ik kan dus NERGENS aangeven om totaal niet in het EPD opgenomen te worden.

Men spreekt telkens over een "veilig" systeem , maar aangeven hoe dit beveiligt wordt kan/wil men blijkbaar niet. Daarnaast is je beveiliging zo sterk als de zwakste schakel. Zolang elk ziekenhuis/huisartsenpost/apotheker hun eigen "beleid" bepalen over security, kun je nooit de veiligheid van jouw gegevens garanderen .

Dit systeem vraagt er gewoon om om misbruikt te worden. Hoe lang gaat het duren voordat bijvoorbeeld verzekeringsmaatschappijen bij deze gegevens kunnen/mogen? Wetten, machthebbers en belangen veranderen nog wel eens, en dan is het best intressant om over dit soort gegevens te beschikken.

Het sofinummer was ook slechts alleen bedoelt ter registratie voor de uitvoering van wettelijke voorschriften inzake de sociale zekerheid. Inmiddels heet het BSN en wordt het ook voor andere doeleinden gebruikt...

Zoals ik het lees, heb je dus alleen de mogelijkheid om je gegevens te verbergen. Ik kan dus NERGENS aangeven om totaal niet in het EPD opgenomen te worden.

Nee natuurlijk niet. Je huisarts houd nu waarschijnlijk ook al een (al dan niet elektronisch) dossier van je bij. Daar kan je je nu ook niet voor uitschrijven geloof ik.

Het EPD word ook niet centraal opgeslagen, alle gegevens bevinden zich net als nu gewoon verspreid bij de verschillende instellingen en ziekenhuizen.

Zolang elk ziekenhuis/huisartsenpost/apotheker hun eigen "beleid" bepalen over security, kun je nooit de veiligheid van jouw gegevens garanderen .

Het lijkt me dat dat nu aan de hand is, het EPD geeft teminste nog inzicht in wie wat waar opvraagd. Daar is nu weinig controle over.

Het lijkt me dat dat nu aan de hand is, het EPD geeft teminste nog inzicht in wie wat waar opvraagt. Daar is nu weinig controle over.

Zo lees ik het ook. Daarnaast schrok ik van het feit dat een beheerder aangaf autorisatiegegevens in te kunnen kijken, terwijl de eigenaar van het systeem dat ontkende. Voor zover ik weet (kan de bron even niet vinden) is dat in het Landelijk Schakelpunt (LSP; zie infoepd.nl) anders geregeld; daar worden gegevens versleuteld ingelezen. Systeembeheer is in dat geval dus puur gericht op de techniek en de functionaliteit; de content (en de verantwoordelijkheid erover) komt van elders. Wel zo zuiver.

Interessant daarnaast is te zien dat deze twee regionale initiatieven als onrechtmatig tegen de WBP worden bestempeld door het CBP. Dit onderzoek is volgens mij het eerste dat aantoont dat ook de zorg zijn patienten serieus moet nemen in de privacy.

De zorgsector zelf worstelt (zie site KNMG.nl voor achtergrond) met de achteruitgang van haar sociale status icm de veranderende perceptie dat patienten centraal staan, niet de zorgverlener. Dat ligt nogal gevoelig. De dokter was vroeger een van de notabelen in elk dorp, samen met onderwijzer en dominee/pastoor. Tegenwoordig is hij op zijn best een gewaardeerde zorgdienstverlener. De patient stelt hem (m/v) steeds hogere eisen.

[Reactie gewijzigd door Batje4 op 28 mei 2009 19:33]

Er worden wel centrale kopieën van het EPD opgeslagen, o.a. om het systeem ook te later werken als er een communicatie probleem is, om centrale backups te maken en waarschijnlijk om politie en andere binnen- en buitenlandse instanties makkelijker toegang te geven. Het maken van al deze kopieën en wat er daarna mee gebeurd komt waarschijnlijk niet in de log bestanden.

Er worden wel centrale kopieën van het EPD opgeslagen, o.a. om het systeem ook te later werken als er een communicatie probleem is, om centrale backups te maken en waarschijnlijk om politie en andere binnen- en buitenlandse instanties makkelijker toegang te geven. Het maken van al deze kopieën en wat er daarna mee gebeurd komt waarschijnlijk niet in de log bestanden.

Interessante informatie. Heb je ook bronnen die je opmerking onderbouwen? Want ik vrees dat je toevoeging anders door modders gezien wordt als minder relevant.

Volgens mij stond het in de aanbestedings specificatie. Centrale backups is overgens geen overbodige luxe want niet iedere huisarts heeft een IT afdeling.

Dat de kamer er mee instemt komt door twee redenen: 1 men denk niet na maar kijkt alleen waarmee men kan scoren c.q. net kan doen alsof men wèl, na heeft gedacht en 2 het is vermoedelijk wel weer een ruilhandeltje geweest tussen PvdA en CDA [min. Klink] zodat deze laatste in de geschiedenisboekjes kan komen. Roepen dat de snelheid op alle wegen om laag moet is er net zo één, daar kun je niet tegen zijn want dan ben je tegen veiligheid. roepen dat je tegen het EPD bent betekent [zo lijkt het] dat je tegen goede zorg aan patiënten bent. Was laatst bij de fysio therapeut, de man heeft 20 minuten behandeld en was ook 20 minuten bezig met de administratie en dat op een kennelijk heel brak netwerk waar hij flink op zat te mopperen. dat is onze huidige zorg: administratie en digitaliseren, behandelen is secundair [het kwam in dit geval ook daadwerkelijk op de tweede plaats]

Was laatst bij de fysio therapeut, de man heeft 20 minuten behandeld en was ook 20 minuten bezig met de administratie en dat op een kennelijk heel brak netwerk waar hij flink op zat te mopperen. dat is onze huidige zorg: administratie en digitaliseren, behandelen is secundair [het kwam in dit geval ook daadwerkelijk op de tweede plaats]

Het gevaar is dus ook dat als iemand met een symptoom bij de dokter komt, dat de dokter het eerst zal beoordelen op het verleden van de patient in plaats van naar de huidige situatie te kijken. Iemand die in het verleden regelmatig pijn had in zijn borst wat niet kritiek was, kan dat ook krijgen terwijl het wel kritiek is.

Een ander probleem met het EPD in het algemeen is dat de gegevens te kostbaar zijn: ze zijn niet te vervangen met geld. Ook zijn de verantwoording en de consequenties voor het verlies van informatie niet goed afgedekt. Let maar op: als het fout gaat, wijst iedereen naar een ander, volgt er een onderzoek van minimaal 6 maanden en daarna is iedereen het vergeten (en loopt het met een sisser af).

De optimale situatie voor het EPD zou zijn dat de (optioneel, uit eigen keus en wil!) ingeschrevene alleen zelf toegang heeft tot de gegevens en anderen kan autoriseren om deze gegevens in te zien en te gebruiken (standaard: nee). Hiervoor zou een op cryptografie gebaseerde oplossing gebruikt kunnen worden.

Het risico dat je bewusteloos op straat ligt terwijl je misschien een belangrijke allergie hebt die je fataal kan worden wanneer ze medische hulp op je toepassen weegt niet op tegen het veel grotere risico dat de informatie over jou in het EPD misbruikt zal worden. De fout dat ze je behandelen en dat een allergie/ander probleem over het hoofd gezien is kan soms nog gecorrigeerd worden, terwijl gegevens die op straat liggen nooit meer van straat zullen verdwijnen.

Denk maar eens in: plots is het moeilijker om aan een baan te komen omdat potentiële werkgevers medische gegevens gaan vergelijken tussen sollicitanten of de premies van bepaalde verzekeringen gaan omhoog onder één of ander slap, bureaucratisch excuus. Of je krijgt uiteindelijk geen hypotheek meer, ondanks dat je financieel de boel wel kan waarborgen.

[Reactie gewijzigd door The Zep Man op 28 mei 2009 20:07]

Ik zie de voordelen van een EPD wel degelijk in, gezien vanuit gezondheidswetenschappelijk perspectief. Het wordt voor artsen makkelijker gegevens op te halen, te bekijken en te vergelijken met je huidige situatie. Dit kán wel degelijk veel gezondheidswinst opleveren. Ook iets simpels als het voorschrijven en doorsturen van recepten heeft hier baat bij. Bij digitalisering is de kans op misverstanden, door bijvoorbeeld onduidelijk handschrift, al een stuk kleiner. Medischie misser door miscommunicatie tussen artsen vormt een enorme kostenpost (wellicht de grootste van de overbodige kosten) in de zorg en levert vervelende consequenties op voor de patient uiteraard.

Vergis je namelijk niet, er zijn inderdaad al in de loop der jaren regionale EPD's opgezet, maar slechts een klein deel, ja een heel klein deel, van alle gegevens is en wordt gedigitaliseerd, vaak betekend deze digitalisering dan ook nog eens een scan van een handgeschreven document. Ik durf stelling te beweren dat zeker 75% van alle medische gegevens die op het moment worden opgeslagen nog gewoon op papier het archief in gaan. Misverstanden kunnen ook hier voorkomen, door typfouten, met name in de cijfers, maar het is softwarematig wel goed mogelijk om parameters te stellen van wat acceptabele cijfers zijn, waarna het systeem een waarschuwing geeft.

De grote MAAR is inderdaad zoals jij zegt, zoals de implementatie van het huidige EPD verloopt is gewoon triest te noemen. Er wordt in mijn ogen lang niet genoeg gekeken naar de veiligheid van het systeem. De enorme hoeveelheid privacy gevoelige informatie is inderdaad niet in geld uit te drukken en kan dus ook echt enorme consequenties hebben. Beveiliging en geauthoriseerde toegang voor alleen diegene die ook daadwerkelijk baat en recht hebben op het inzien van je gegevens moet 100% kunnen worden gegarandeerd, en zolang zijn ze nog lang niet. En dat weten ze in de Tweede Kamer ook, zolang namelijk de enige uitzondering op opname in het EPD is voor de belangrijkste ministers en de koninklijke familie, geloof ik niet in de veiligheid van het systeem voor jan met de pet.

Een meer gefaseerde aanpak zou beter zijn inderdaad, maar vergeet ook niet dat er wel degelijk een vorm van druk is om het snel te laten verlopen, de schriftelijke dossiers beginnen gewoon echt een probleem te worden...en staan een efficientere zorg in veel opzichten echt in de weg.

Tevens brengt een gefasseerde invoering waarschijnlijk ook meer kosten met zich mee dan een landelijke invoeringing. Systemen die op het moment gebruikt worden kunnen dan niet meer met elkaar (digitaal) communiceren of juist de papieren versies liggen in de weg en wordt er informatie over het hoofd gezien.

Maar zolang er niet eens een EPD software programma op de markt komt daadwerkelijk voor deze markt (landelijk en over alle sytemen heen) bruikbaar is, zie ik het EPD als een soort broodje aap. Het willen invoeren ervan is een leuk plan...maar het gaat toch in mijn ogen nog een hele tijd duren voordat al onze gegevens daadwerkelijk digitaal en landelijk beschikbaar zijn.

[Reactie gewijzigd door StraightOn.NL op 28 mei 2009 14:49]

Voor die mensen die weten dat ze iets ergs onder de leden hebben is het dus nu ook al zaak om dat op een of andere manier aan te geven en mee te dragen. Bijvoorbeeld een Latex allergie (ja, dat bestaat echt) is wel handig voor de ziekenbroeder om te weten als 'ie zo'n patient van straat wil plukken. Het EPD gaat dus in veel gevallen niet helpen. De ziekenbroeder gaat stabiliseren, taxied je naar het ziekenhuis en daar laten ze dan maar alle beschikbare diagnoses op je los (vooropgesteld dat je zelf niet in staat bent om al die tijd te praten).

De risico's van de EPD (eens de controle over je eigen data kwijt, voor altijd de controle over je data kwijt) zijn dus te hoog in vergelijking tot het incidentele geval dat deze informatie cruciaal is.

Het risico dat je bewusteloos op straat ligt terwijl je misschien een belangrijke allergie hebt die je fataal kan worden wanneer ze medische hulp op je toepassen weegt niet op tegen het veel grotere risico dat de informatie over jou in het EPD misbruikt zal worden. De fout dat ze je behandelen en dat een allergie/ander probleem over het hoofd gezien is kan nog gecorrigeerd worden, terwijl gegevens die op straat liggen nooit meer van straat zullen verdwijnen.

Je stelt wel erg makkelijk dat de fout in medicatie ongedaan gemaakt kan worden, helaas is dit dus lang niet in alle gevallen zo en kan de persoon in kwestie overlijden aan het krijgen van verkeerde medicatie.

[...]


Je stelt wel erg makkelijk dat de fout in medicatie ongedaan gemaakt kan worden,

Ik stel dat de mogelijkheid er kan zijn. Bij het verlies (bijvoorbeeld diefstal) van informatie is dit niet zo. Ik zal de tekst even verbeteren naar "kan soms" om dit te verduidelijken.

[Reactie gewijzigd door The Zep Man op 28 mei 2009 13:13]

@ The Zep Man


Ik ben het volledig met je eens! Mensen denk zo veel te simpel over de opname van al hun gegevens in enorme databanken die door de overheid (die bekend staat om kwaliteits IT-projecten ) beveiligd worden.

Ik heb een half jaar geleden mijn bezwaar opgestuurd en ben daar erg tevreden over. Helaas kan ik mezelf er inderdaad niet volledig uithalen..

Het landelijk EPD is een betrekkelijk jong project, geïnitieerd vanuit het ministerie van VWS.

Regionale EPD's bestaan al veel langer, de meeste zijn ontstaan in de jaren 90, op initiatief van zorginstellingen zelf.

Zo worden er bijvoorbeeld medicatiegegevens vanuit de openbare apotheek aan het ziekenhuis verstrekt. Hierdoor weet het ziekenhuis, bij opname van een patiënt, welke medicatie dient te worden verstrekt.

De andere kant op, kunnen er bijvoorbeeld laboratoriumuitslagen vanuit het ziekenhuis, naar de apotheek worden gestuurd. Zo kan de apotheek bij gebruikers van risicovolle medicijnen, in de gaten houden of het gebruik ervan nog wel verantwoord is.

In veel patiëntenfolders staat wel dat het ziekenhuis medische gegevens op deze manier gebruikt, en dat men bezwaar kan maken bij de klachtenfunctionaris indien men dit niet wil. Maar of zo veel patiënten die folder lezen, is maar de vraag.

Ik wist niet dat er een verschil was tussen een regionaal en nationaal EPD? Ik dacht dat de bedoeling van het EPD het unificeren en combineren van alle data patient level data was?

Toch zie ik steeds meer in dat ik wel bezwaar had moeten maken tegen het EPD, Ik snap het doen van unificering en onderlinge data uitwisseling maar het lijkt steeds meer op weer een gefaald regering plan(Zoals DigiD en Digitaal loket)

[Reactie gewijzigd door TeGek op 28 mei 2009 11:54]

Je kan alsnog bezwaar aanteken, hier.

Bezwaar tegen uitwisseling, je gegevens worden helaas wel opgeslagen in het EPD. Daar kun je niks tegen doen.

Hoezo helaas? Lijkt me toch handig als jouw huisarts gewoon een electronisch dossier van je kan bijhouden?

Of wil je dat de arme man alles met pen en papier gaat doen?

Ja dat is zeker handig
Maar daar is het epd niet voor nodig, die huisarts kan dat ook gewoon op z'n eigen pc doen.

Dat is ook wat hij doet. Het enige wat het landelijke EPD zou inhouden is dat iedereen dat doet in software die aan een bepaald protocol voldoet en dat er een centrale database is met welke gegevens waar staan, zodat ze, als ze nodig zijn, daar opgehaald kunnen worden. Er wordt GEEN centrale database met iedereens medische gegevens aangelegd.

Als ik me niet vergis zit het zo (correct me if i'm wrong):

Het nationaal EPD is een soort index van patientgegevens.
Daarop aangesloten zijn EPD's van allerlei zorginstellingen.
De gegevens van die verschillende zorginstellingen EPD's zijn geïndexeerd in het nationaal EPD.
Om aangesloten te worden op het nationaal EPD moet het EPD van de zorginstelling aan bepaalde eisen op het gebied van informatiebeveiliging voldoen. Blijkbaar zijn deze 2 zorginstellingen wel aangesloten op het nationaal EPD, maar zijn ze toch niet veilig genoeg.

Patiëntengegevens blijven lokaal opgeslagen en kunnen met een XML-standaard (HL7v3) verstuurd worden over een versleutelde verbinding. De backbone die de onderlinge verbinding tussen lokale patiëntengegevenssystemen (huisarts informatie systeem, HIS of ziekenhuis informatie systeem, ZIS; generieke naam: XIS) verzorgt heet ook wel AORTA. De overheid beheert AORTA en stelt XIS-leveranciers en gebruikers verantwoordelijk voor het aan veiligheidseisen laten voldoen van het ICT-systeem respectievelijk het verantwoord gebruik van de verbinding.

[Reactie gewijzigd door Anoniem: 200078 op 28 mei 2009 12:28]

Voordat je XIS gecertificeerd wordt moet je al aan de strenge veiligheids voorwaarden voldoen.

En er zijn maar weinig bedrijven die XIS certificaat op zak hebben voor het echte EPD. 2 om precies te zijn.

Hoe ben je tot de conclusie gekomen dat DigiD gefaalt is?

Het initiële plan van DigiD was niet alleen belastingaangifte en een beetje een digitaal loket aan te bieden, Het plan was ook je verzekering mee te regelen, om politie dossiers in te zien die betrekking hebben op jou, (Oude aangiftes, etc)

Het zou dus eigenlijk een systeem worden dat door de staat zou gebruikt worden voor alle zaken. Paspoort verlopen? digitaal aanvragen, beroofd op straat? Inloggen op digid en aangifte doen. Helaas zijn nooit de systemen 100% uitgerold en heeft de regering hier naderhand van afgezien.

DigiD wordt nog wel gebruikt (vooral door de IBG en de Belastingdienst), maar een heel groot succes is het ook niet. Ik kan bijvoorbeeld nog steeds niet online een nieuwe ID-kaart bestellen...? En naast de IBG en Belastingdienst wordt er heel weinig gebruik van gemaakt.

Nou, onze gemeente (Assen) gebruikt ook DigiD, zodat we verschillende zaken online kunnen afhandelen. En volgens mij zijn er veel meer gemeenten die ook DigiD gebruiken.

Ik weet niet of ID-Kaarten bestellen ook mogelijk is. Het lijkt me niet, omdat je pasfoto's moet inleveren en een handtekening moet zetten op een formulier. En daarnaast natuurlijk nog betalen

Pasfoto kan toch ook digitaal? Vaak worden die foto toch gemaakt met een digitale camera, daarna uitgeprint, ingeleverd en weer gedigitaliseerd. Het enige is dat deze foto's nog gechecked moeten worden, al moet dat nu natuurlijk ook nog. DigiD is dan je handtekening en online betalen is al helemaal geen probleem (iDeal, paypal, creditcard, overboeking, ...)

Het nationale EPD moet nog ingevoerd worden. Hiervoor kun je ook bezwaar aantekenen.

Het regionaal EPD is een samenwerkingsverband van zorginstellingen in die regio die het belangrijk vinden informatie uit te wisselen onderling (denk aan ziekenhuis, huisarts en huisartsenpost uit een regio).

Ik snap ook niet dat de 2e kamer (of eigenlijk alleen de coalitie partijen) er zo snel mee hebben ingestemd dat de landelijke EPD ingevoerd mag worden zonder zich eerst goed te verdiepen in de veiligheid risico's.

Zoiets groots als een EPD moet eerst met goed toezicht regionaal op kleine schaal worden ingevoerd om de vele kinderziektes en vooral veiligheidslekken eruit te werken.
Dan pas kun je gaan denken aan een landelijk project.

En wel goed punt dat dit soort dingen wel naar buiten komen zodat mensen het weten, en dat het niet in de doofpot wordt gestopt.

[Reactie gewijzigd door redstorm op 28 mei 2009 12:16]

Ik maak me eigenlijk meer zorgen over wat er gebeurt als het EPD niet werkt. Bij technische problemen dus.
De beveiliging er van is maar een klein onderdeel en zal altijd herzien moeten worden.

Dan doen ze het met de informatie die ze wél hebben, zoals ze dat altijd gedaan hebben en altijd zullen moeten blijven doen. Bij lang niet alle medische handelingen is het van kritiek belang om het hele dossier beschikbaar te hebben. Bepaalde testen kan je desnoods herhalen.

Blijven de vragen:
Hoe/waar kun je bezwaar tegen de regionale dossiers maken?
Hoe/waar kun je gegevens laten vernietigen uit de regionale dossiers?