Identificatie & Authenticatie
Identificatie en authenticatie van de patiënt
Bij het uitwisselen van medische gegevens van patiënten geldt dat de identiteit van de patiënt die als natuurlijk persoon, verzorgd of behandeld wordt, of als auteur of betrokkene gegevens verwerkt, zeker gesteld dient te zijn. Ook dient het BSN van de patiënt geverifieerd te zijn, voordat het gebruikt wordt in de gegevensregistratie. Hiervoor biedt het CIBG een ondersteunende faciliteit: Sectorale Berichtenvoorziening in de Zorg (SBV-Z). Deze diensten zijn beschikbaar voor zorgverleners die zich kunnen authenticeren met een UZI-pas. De SBV-Z diensten ondersteunen bij het vaststellen van de identiteit en het koppelen van persoonsgegevens aan het juiste BSN.
Het vaststellen van de identiteit dient altijd plaats te vinden op basis van de WID (Wettelijk Identiteitsdocument)-controle: het controleren of de patiënt een WID bij zich heeft, dat hoort bij die persoon (bijvoorbeeld op basis van foto, geslacht, leeftijd) tijdens een face-to-face controle. Daarnaast dient de zorgverlener te verifiëren dat het een geldig WID is (echtheidskenmerken en/of check op geldigheid via register (niet verlopen/gestolen) zoals SBV-Z of de BRP. Indien een patiënt herkend wordt die al eerder langs is geweest waarbij er een WID-controle is gedaan spreekt men van vergewissen. Een derde mogelijkheid betreft het stellen van een aantal vragen die alleen die patiënt kan beantwoorden, bijvoorbeeld bij telefonische triage. Het gaat om voor- en achternaam, geboortedatum, postcode en huisnummer. Dit levert echter geen identificatie op en mag daarom alleen tijdelijk gebruikt worden waarbij in de communicatie het ontbreken van identificatie vermeld dient te worden (conform onder het onder de WABVPZ hangende 'Besluit gebruik burgerservicenummer in de zorg'. Artikel 29 gaat over verlenen van zorg per telefoon of elektronisch bericht. In ditzelfde artikel wordt geregeld dat gegevens over een pasgeborene mogen worden uitgewisseld o.b.v. het BSN van de moeder).
Na het vaststellen van de identiteit volgt de stap om het BSN van de patiënt te verifiëren, alvorens het gebruikt mag worden in de gegevensregistratie. Dat kan door het BSN te verkrijgen of valideren uit een daartoe aangewezen register (bv. SBV-Z of BRP) op basis van attributen zoals achternaam, woonplaats en adres. Als dat niet eenduidig is (bv bij tweelingen) dient het verkregen BSN vergeleken te worden met het BSN op het WID.
Voor ontvangers van gegevens geldt dat - tenzij anders aangegeven - ervan uitgegaan mag worden dat de zorgaanbieder die gegevens aanlevert een geverifieerd BSN meegeeft (het had anders immers vermeld moeten worden). Op basis daarvan kunnen aanvullende gegevens opgevraagd worden (als de patiënt met dat BSN daar de benodigde toestemming voor gegeven heeft waarmee de dossierhouder(s) de gegevens beschikbaar mag stellen). Het BSN (en de via dit BSN verkregen gegevens) mag pas in de eigen administratie worden overgenomen indien de zorgaanbieder de identiteit zelf heeft vastgesteld en het BSN overeenkomt. Een andere mogelijkheid is het BSN te verkrijgen uit een identificatie- of authenticatiemiddel voor het BSN-domein, zoals het overnemen/uitlezen van het rijbewijs of paspoort of DigiD login.
De betreffende functionaliteiten van SBV-Z die gebruikt kunnen worden zijn:
- 'Controle identiteitsdocument': de zorgaanbieder kan met deze functie opvragen of het getoonde identiteitsdocument in omloop mag zijn.
- BSN opvragen: een zorgaanbieder kan op basis van een aantal persoonsgegevens het BSN van een persoon opvragen.
- BSN verifiëren: een zorgaanbieder kan de vraag stellen of de persoonsgegevens en het BSN inderdaad bij elkaar horen.
- Opvragen persoonsgegevens: een zorgaanbieder kan op basis van een BSN de bijbehorende persoonsgegevens opvragen. Deze dienst kan bijvoorbeeld gebruikt worden om in geval van twijfel bij een BSN- opvraging of verificatie een extra controle uit te voeren.
- Initiële vulling: hiermee kunnen zorgaanbieders hun hele patiëntenadministratie voorzien van BSN's.
Identificatie en authenticatie van zorgaanbieders en zorgverleners
Bij het uitwisselen van medische gegevens dient de identiteit van de zorgaanbieder geverifieerd te zijn. Dat kan door het vaststellen van een onweerlegbare zorgaanbieder identiteit. Binnen AORTA is gekozen voor validatie tegen publiek UZI-server certificaat met daarin het URA uitgegeven door UZI-register.
Daarnaast dient de identiteit van de (verantwoordelijke) zorgverlener die gegevens verstuurt of opvraagt, geverifieerd te zijn. Binnen AORTA is gekozen voor realisatie van het vertrouwensniveau EIDAS hoog, waarbij een unieke identiteit wordt gebruikt die door anderen te verifiëren is op basis van het UZI nummer. Deze identiteit wordt geauthentiseerd door het gebruik van de private sleutel op een UZI-pas waarmee de verbinding wordt opgezet of de interactie wordt ondertekend.
Het gebruik van de UZI-pas kan beperkt worden door gebruik te maken van AORTA tokens. Met de AORTA tokens wordt het mogelijk om al bestaande functionaliteit (zoals gebruikt bij het postdateren), namelijk de ontkoppeling tussen het moment van ondertekenen en het uitvoeren van een transactie, breder in te zetten. Hiervoor is een nieuw begrip geïntroduceerd: "de conditionele query". Een conditionele query is een query die onder bepaalde condities door het XIS kan worden uitgevoerd onder verantwoordelijkheid van de zorgverlener.
Het verschil met de 'gewone' query is dat met behulp van de tokens:
- de zorgverlenersopdracht voor de inzet van de conditionele query in de tijd gescheiden kan zijn van de daadwerkelijke uitvoer van de query door het systeem terwijl bij de 'gewone' query de opdracht en uitvoer altijd gelijk na elkaar plaatsvinden.
- systemen onder strikte voorwaarden op basis van condities (triggers) medische gegevens (binnen de behandelovereenkomst) kunnen opvragen. Deze condities zullen op voorhand gedefinieerd moeten worden. Enkele voorbeelden van condities die kunnen leiden tot een query zijn: agenda afspraak, openen dossier, ontvangen van een medicatieafspraak, een ontvangen signaal n.a.v. een genomen abonnement etc.
- federatieve authenticatie kan worden toegestaan indien aan bepaalde voorwaarden wordt voldaan, waardoor niet iedere medewerker meer een UZI-pas nodig heeft (door onder mandaat te weren, waarbij alleen mandaatverleners een UZI-pas nodig hebben).
Voor het kunnen inzetten van de conditionele query zijn een aantal vooraf gemaakte zekerheden nodig. Deze zijn verwerkt in:
- Het mandaattoken
- Het inschrijftoken
- Het transactietoken
De volgende paragrafen beschrijven het vereenvoudigd gebruik UZI-pas (VGU) in detail.