Identificatie & Authenticatie

Identificatie en authenticatie van de patiënt

Bij het uitwisselen van medische gegevens van patiënten moet de identiteit van de patiënt—ongeacht of deze wordt verzorgd, behandeld, als auteur optreedt of anderszins betrokken is bij gegevensverwerking—op een betrouwbare manier worden vastgesteld. Daarnaast moet het BSN van de patiënt geverifieerd zijn voordat het wordt gebruikt in de gegevensregistratie.

Voor deze verificatie biedt het CIBG de ondersteunende voorziening Sectorale Berichtenvoorziening in de Zorg (SBV‑Z). Deze diensten zijn toegankelijk voor zorgverleners die zich kunnen authenticeren met een UZI‑pas. De SBV‑Z‑diensten ondersteunen zowel bij het vaststellen van de identiteit als bij het correct koppelen van persoonsgegevens aan het juiste BSN.

Het vaststellen van de identiteit van een patiënt dient altijd plaats te vinden op basis van een WID‑controle (Wettelijk Identiteitsdocument). Dit houdt in dat tijdens een fysieke, face‑to‑face controle wordt nagegaan of de patiënt een geldig identiteitsdocument bij zich heeft én of dit document bij de betreffende persoon hoort, bijvoorbeeld op basis van foto, geslacht en leeftijd. Daarnaast moet de zorgverlener verifiëren dat het WID daadwerkelijk geldig is, door de echtheidskenmerken te controleren en/of de geldigheid te toetsen via een register (zoals SBV‑Z of de BRP) om te bevestigen dat het document niet verlopen of als gestolen geregistreerd is.

Indien een patiënt wordt herkend en eerder al een WID‑controle heeft ondergaan, spreekt men van vergewissen.

Een derde mogelijkheid is het stellen van controlevragen die alleen de patiënt kan beantwoorden, bijvoorbeeld tijdens telefonische triage. Dit betreft onder andere voor‑ en achternaam, geboortedatum, postcode en huisnummer. Deze methode leidt echter niet tot daadwerkelijke identificatie en mag daarom uitsluitend tijdelijk worden gebruikt. Daarbij moet in de communicatie expliciet worden vermeld dat identificatie ontbreekt, conform het Besluit gebruik burgerservicenummer in de zorg onder de Wabvpz. Artikel 29 van dit besluit beschrijft tevens de voorwaarden voor het verlenen van zorg per telefoon of elektronisch bericht en bepaalt dat gegevens van een pasgeborene mogen worden uitgewisseld op basis van het BSN van de moeder.

Na het vaststellen van de identiteit volgt de stap om het BSN van de patiënt te verifiëren voordat dit gebruikt mag worden in de gegevensregistratie. Dit kan door het BSN op te vragen of te valideren via een daartoe aangewezen register, zoals SBV‑Z of de BRP, op basis van kenmerken zoals achternaam, woonplaats en adres. Indien deze gegevens niet tot één persoon leiden—bijvoorbeeld bij tweelingen—moet het verkregen BSN worden vergeleken met het BSN dat op het WID staat.

Voor ontvangers van medische gegevens geldt dat, tenzij anders is aangegeven, mag worden aangenomen dat de aanleverende zorgaanbieder het BSN correct heeft geverifieerd. Indien dit niet het geval was, had dit nadrukkelijk vermeld moeten worden. Op basis van een geverifieerd BSN kunnen aanvullende gegevens worden opgevraagd, mits de patiënt hiervoor toestemming heeft gegeven en de dossierhouder bevoegd is de gegevens beschikbaar te stellen.

Het BSN (en de daarmee verkregen aanvullende gegevens) mag pas worden opgenomen in de eigen administratie wanneer de zorgaanbieder zelf de identiteit van de patiënt heeft vastgesteld én het BSN daarmee overeenkomt. Een alternatief is het BSN te verkrijgen via een identificatie‑ of authenticatiemiddel dat binnen het BSN‑domein is toegestaan, zoals het uitlezen of overnemen van gegevens uit een rijbewijs, paspoort of een DigiD‑authenticatie.

De volgende functionaliteiten van SBV‑Z kunnen worden ingezet:

• Controle identiteitsdocument:
  Met deze functie kan de zorgaanbieder nagaan of het aangeboden identiteitsdocument nog in omloop mag zijn.

• BSN opvragen:
  Op basis van een aantal persoonsgegevens kan de zorgaanbieder het BSN van een persoon opvragen.

• BSN verifiëren:
  Hiermee kan worden gecontroleerd of de opgegeven persoonsgegevens daadwerkelijk horen bij het betreffende BSN.

• Persoonsgegevens opvragen:
  Op basis van een BSN kunnen de bijbehorende persoonsgegevens worden opgehaald. Deze dienst kan bijvoorbeeld worden gebruikt als aanvullende controle bij twijfel na een BSN‑opvraging of verificatie.

• Initiële vulling:
  Hiermee kunnen zorgaanbieders de complete patiëntenadministratie aanvullen met BSN’s.

Identificatie en authenticatie van zorgaanbieders en zorgverleners

Bij het uitwisselen van medische gegevens moet de identiteit van de zorgaanbieder worden geverifieerd. Dit gebeurt door het vaststellen van een onweerlegbare zorgaanbiederidentiteit. Binnen AORTA is ervoor gekozen deze validatie uit te voeren tegen een publiek UZI‑servercertificaat, waarin het door het UZI‑register uitgegeven URA is opgenomen.

Daarnaast moet de identiteit van de (verantwoordelijke) zorgverlener die gegevens verstuurt of opvraagt worden vastgesteld. Binnen AORTA is hiervoor gekozen voor het vertrouwensniveau eIDAS Hoog, waarbij gebruik wordt gemaakt van een unieke, door derden verifieerbare identiteit op basis van het UZI‑nummer. Deze identiteit wordt geauthenticeerd via de private sleutel op de UZI‑pas, waarmee de verbinding wordt opgebouwd of de interactie wordt ondertekend.

Het gebruik van de UZI‑pas kan worden verminderd door gebruik te maken van AORTA‑tokens. Met deze tokens wordt bestaande functionaliteit — zoals eerder toegepast bij het postdateren — breder inzetbaar gemaakt. Deze functionaliteit maakt het mogelijk om het moment van ondertekening los te koppelen van het moment waarop de transactie wordt uitgevoerd.

Hiervoor is een nieuw begrip geïntroduceerd: de conditionele query. Een conditionele query is een verzoek dat door het XIS kan worden uitgevoerd onder vooraf vastgelegde voorwaarden, en onder verantwoordelijkheid van de betrokken zorgverlener.

Het verschil met een reguliere query is dat met behulp van deze tokens:

• De opdracht van de zorgverlener om een conditionele query uit te voeren kan in de tijd worden gescheiden van het moment waarop het systeem de query daadwerkelijk uitvoert. Dit in tegenstelling tot een reguliere query, waarbij opdracht en uitvoering altijd direct na elkaar plaatsvinden.

• Systemen kunnen — onder strikte voorwaarden en op basis van vooraf gedefinieerde condities (triggers) — medische gegevens opvragen binnen de kaders van de behandelovereenkomst. Voorbeelden van dergelijke condities zijn onder meer: een geplande afspraak, het openen van een dossier, het ontvangen van een medicatieafspraak, het ontvangen van een notificatie naar aanleiding van een abonnement, enzovoort.

• Federatieve authenticatie kan worden toegestaan wanneer aan specifieke voorwaarden wordt voldaan. Hierdoor hoeft niet iedere medewerker zelf over een UZI‑pas te beschikken; werken onder mandaat wordt mogelijk, waarbij uitsluitend de mandaatverleners een UZI‑pas nodig hebben.

Voor het kunnen toepassen van de conditionele query zijn vooraf bepaalde zekerheden nodig. Deze zijn vastgelegd in:

• het mandaattoken

• het inschrijftoken

• het transactietoken

Vereenvoudigd gebruik UZI-pas

Zie