Bijlage 2. Inhoud van de logging

[<logo organisatie]
Procedure Auditlogging [versienr]
Procedure Auditlogging [versienr]
1. Auditlogging
Om te waarborgen dat alle gebruikers van de infrastructuur en diensten van [RSO] zich aan de
afspraken m.b.t. privacy en veiligheid houden, worden de acties die zij uitvoeren vastgelegd en
gecontroleerd. Dit noemen we logging en auditlogging.
2. Doel van auditlogging
Logging biedt een overzicht van alle verwerkingshandelingen die plaats hebben gevonden met
betrekking tot persoonsgegevens. Door middel van Auditlogging, een regelmatige controle van dit
overzicht, kan worden vastgesteld of deze acties volgens wet- en regelgeving rechtmatig waren.
3. XDS
XDS staat voor Cross-enterprise Document Sharing en is een van de technische integratieprofielen
van IHE. Het IHE-XDS profiel bestaat sinds 2003 en heeft als doel om documenten tussen
zorginstellingen te delen. Een specifiek profiel is ontwikkeld voor het uitwisselen van beelden: XDS-i,
XDS for Imaging. Met behulp van deze twee profielen kunnen CT-onderzoeken, MRI-scans,
labuitslagen, overdrachtsdocumenten en verwijsbrieven tussen zorginstellingen gedeeld worden.
Feitelijk is een XDS-netwerk een generieke oplossing om documenten uit te wisselen. De IHE-XDS en
XDS-i profielen kunnen veel bestandsformaten uitwisselen zoals PDF, Word, JPG, HL7-CDA en DICOM.
Binnen Nederland is het XDS-/XDS-i-profiel voornamelijk bekend van digitale beelduitwisseling,
Samenwerkende instellingen die afspraken maken over de uitwisseling van medische gegevens via
een XDS-netwerk vormen een Affinity Domain. Binnen een Affinity Domain zijn vier systeemrollen:
•
instellingen die gegevens aanmelden, die heten ‘document Sources’;
•
instellingen die gegevens opvragen, die heten ‘document Consumers’;
•
een gegevensopslag, dit heet een ‘document Repository’;
•
een index, dit is een register met daarin de verwijzingen naar de plaats waar gegevens zijn
opgeslagen, dit heet een ‘document Registry’.
Als een zorgverlener informatie beschikbaar wil stellen slaat hij dit op in de Repository en meldt deze
gegevens aan in de Registry. De raadplegende zorgverlener zoekt op de registry naar beschikbare
relevante informatie van een patiënt en krijgt van de registry een verwijzing in welke instelling de
informatie zich bevindt. De informatie haalt hij vervolgens zelf bij deze repository op. Medische
gegevens zijn dus niet centraal opgeslagen maar blijven bij de bron . Om het zoeken op de registry te
faciliteren bevat de registry een aantal gegevens over de beschikbare informatie zoals de patiëntidentificatie, type document en instelling.
In onderstaande afbeelding wordt weergegeven hoe de XDS-infrastructuur van ZorgNetOost is
ingericht.
[ schema van de infrastructuur van de RSO]
4. Wet- en regelgeving
2
Procedure Auditlogging [versienr]
Auditlogging heeft als doel te controleren of de acties die hebben plaats gevonden binnen XDS
volgens wet- en regelgeving rechtmatig waren. Daarvoor is het van belang om vast te stellen aan
welke voorwaarden moet worden voldaan om van rechtmatig te kunnen spreken. In de context van
informatie-uitwisseling middels XDS zijn twee soorten acties relevant:
1. Het beschikbaar stellen van informatie;
2. Het raadplegen van informatie.
Beschikbaar stellen van informatie is alleen toegestaan als de patiënt hier uitdrukkelijk toestemming
voor heeft gegeven. Bij XDS wordt deze toestemming vastgelegd in een BPPC-document. De XDSinfrastructuur is zodanig ontworpen dat informatie niet beschikbaar gesteld kan worden als er geen
toestemming is vastgelegd of als is vastgelegd dat de patiënt uitdrukkelijk bezwaar heeft gemaakt.
Raadplegen van informatie mag volgens de wet alleen als de zorgverlener die de informatie
raadpleegt een behandelrelatie met de patiënt heeft. Dit kan (nog) niet technisch worden ingericht.
Als informatie van een patiënt beschikbaar is gesteld, kan in principe elke zorgverlener die toegang
heeft tot de patiëntinformatie deze inzien, ook als er geen behandelrelatie is.
Met auditlogging kan achteraf worden vastgesteld of er sprake was van een behandelrelatie en
daarom de raadpleging al dan niet rechtmatig oftewel bevoegd was.
5. Gedragscode EGiZ
Ook voor auditlogging XDS geldt dat we de Gedragscode EGiZ volgen en de bepalingen uitwerken
voor de handelingen die binnen de XDS infrastructuur van [RSO] hebben plaats gevonden.
De Gedragscode EGiZ zegt over logging het volgende:
Artikel 10 – Logging
10.1
10.2
10.3
10.4
De Verantwoordelijke zorgt ervoor dat in een Elektronisch Uitwisselingssysteem en de
daarop aangesloten Zorginformatiesystemen Logging plaatsvindt.
De Logging biedt een overzicht van de verwerkingshandelingen (acties) die plaats hebben
gevonden met betrekking tot Persoonsgegevens. Hiertoe bevat de Logging ten minste de
volgende gegevens:
 de acties die hebben plaatsgevonden, waaronder ten minste het vastleggen,
bijwerken, bewaren en raadplegen van Persoonsgegevens;
 datum en tijdstip van de actie;
 de identiteit van de Betrokkene;
 de identiteit van de Zorgverlener of medewerker die de actie heeft uitgevoerd;
 de identiteit van de Zorgaanbieder onder wiens verantwoordelijkheid de actie heeft
plaatsgevonden.
De Verantwoordelijke houdt voorzieningen in stand waarmee de Brondossierhouder of
de Betrokkene de Logging kan inzien.
De Verantwoordelijke stelt een beleid vast met betrekking tot:
 de toegang tot de gegevens in de Logging;
 het uitvoeren van een periodieke controle van de Logging op onbevoegde
raadplegingen;
 het uitvoeren van specifieke controles op raadplegingen die hebben plaatsgevonden
in noodsituaties, en
 de te volgen procedure bij vermeend of geconstateerd misbruik.
3
Procedure Auditlogging [versienr]
6. Uitwerking voor XDS infrastructuur [RSO]
6.1 Terminologie
In onderstaande tabel worden de definities uit de Gedragscode EGiZ vertaald naar de situatie die
geldt voor de [RSO] XDS-infrastructuur.
Term
Verantwoordelijke
Elektronisch
Uitwisselingssysteem
Persoonsgegeven
Definitie Gedragscode EGiZ
de Zorgaanbieder die, de gezamenlijke Zorgaanbieders die, of het Samenwerkingsverband dat,
alleen of tezamen met anderen, het doel en de
middelen voor de verwerking van
Persoonsgegevens door middel van een
Elektronisch Uitwisselings-systeem vaststelt
een systeem waarmee Zorginformatiesystemen
van Zorgaanbieders aan elkaar worden gekoppeld
of waarmee Persoonsgegevens kunnen worden
gedeeld of uitgewisseld
elk gegeven betreffende een geïdentificeerde of
identificeerbare natuurlijke persoon
Betrokkene
degene op wie een persoonsgegeven betrekking
heeft, in deze Gedragscode de
patiënt/cliënt
Zorgverlener
de individuele beroepsbeoefenaar, zijnde een
natuurlijke persoon die in een register als bedoeld
in artikel 3 van de Wet op de beroepen in de
individuele gezondheidszorg staat ingeschreven of
die een beroep uitoefent waarvan de opleiding
krachtens artikel 34, eerste lid, van die wet is
geregeld of aangewezen
Zorgaanbieder
een zorgaanbieder als bedoeld in artikel 1 sub c
van de Wet gebruik burgerservicenummer in de
zorg, zijnde een zorgaanbieder als bedoeld in
artikel 1 Kwaliteitswet zorginstellingen dan wel een
beroepsbeoefenaar die zijn beroep uitoefent
anders dan in het kader van een instelling als
bedoeld in artikel 1 van de Kwaliteitswet
zorginstellingen
Situatie XDS [RSO]
[RSO]
het [RSO] XDS
Informatie die
binnen het [RSO] XDS
wordt vastgelegd
Patiënt/cliënt waar-van
persoons-gegevens
worden vastgelegd
binnen het [RSO] XDS
Beroepsbeoefenaren
werkzaam bij de
Zorgaanbieders die zijn
aangesloten op de XDS
infrastructuur en de
medewerkers die
toegang hebben tot het
[RSO]XDS1
De organisaties2 die zijn
aangesloten op de XDS
infrastructuur en alle
rechtspersonen die
binnen deze instellingen werkzaam zijn en
toegang tot het [RSO]
XDS hebben
1
In het kader van deze afspraken kunnen ook medewerkers die geen Zorgverlener zijn toegang tot de XDS
infrastructuur hebben. Dan betreft het medewerkers met administratieve, financiële, onderzoek en
applicatiebeheer functies waarbij voor het uitvoeren van de bijbehorende taken toegang tot patiëntgegevens
noodzakelijk is.
2
Organisaties kunnen ziekenhuizen zijn maar ook huisartsenpraktijken of apotheken.
4
Procedure Auditlogging [versienr]
6.2 Inhoud van de logging
Volgens artikel 10.1 van de Gedragscode EGiZ moet [RSO] er voor zorgen dat in de XDS infrastructuur
en de daarop aangesloten Zorgsystemen logging plaats vindt. Dit betekent dat [RSO] aan
zorgaanbieders die willen aansluiten, als voorwaarde stelt dat hun eigen systeem acties moet kunnen
loggen. Zorgaanbieders zijn zelf verantwoordelijk voor deze lokale logging.
Voor de regionale logging op de XDS infrastructuur wordt de module [loggingmodule] van
leverancier [moduleleverancier] gebruikt. Hierin worden alle relevante acties vastgelegd.
In artikel 10.2 wordt beschreven welke acties gelogd moeten worden. In de tabel hieronder
beschrijven we met welk gegevenselement dit in de module [loggingmodule] wordt aangegeven.
In Bijlage 1 wordt dit m.b.v. screenshots geïllustreerd.
Naast de acties die volgens de Gedragscode EGiZ moeten worden vastgelegd, leggen we binnen het
[RSO] XDS ook de identiteit van de patiënt vast, om te kunnen controleren of met betrekking tot een
specifieke patiënt onrechtmatige acties zijn uitgevoerd
Te loggen acties
Het vastleggen van Persoonsgegevens
Het bijwerken van Persoonsgegevens
Het bewaren van Persoonsgegevens
Het raadplegen van Persoonsgegevens
Datum en tijdstip van de acties
De identiteit van de zorgverlener of medewerker
die actie heeft uitgevoerd
De identiteit van de zorgaanbieder onder wiens
verantwoordelijkheid de actie heeft plaats
gevonden
De identiteit van de betrokken patiënt
Gegevenselement
Event-ID:
Event ID: update document set
Event ID: retrieve document set
Date/time
User ID3
User ID
Patient ID
6.3 Toegang tot de logging
De gedragscode EGiZ stelt in artikel 10.3 dat de verantwoordelijke (i.c. [RSO]) voorzieningen in stand
moet houden waarmee de Brondossierhouder (de zorgverlener die informatie vastlegt) en de
Betrokkene (patiënt/cliënt) de logging in kunnen zien.
Op termijn willen we het mogelijk maken dat zorgverleners en patiënten online inzage krijgen. Zolang
dat niet mogelijk is bieden we de gelegenheid om via de eigen zorgaanbieder de logging te
raadplegen. De procedure die hiervoor wordt gehanteerd staat beschreven in Bijlage 2. [RSO] en de
op [RSO] XDS aangesloten zorgaanbieders zullen partijen van deze mogelijkheid op de hoogte stellen.
3
De User ID bestaat uit een combinatie van een kenmerk van het individu en een kenmerk van de organisatie
waarbinnen het individu werkzaam is
5
Procedure Auditlogging [versienr]
6.4 Toegang tot de gegevens in de logging
Met betrekking tot [RSO] XDS is de controle op acties centraal geregeld. Dat wil zeggen dat [RSO]
zowel de logging als de auditlogging organiseert.
6.5 Bewaartermijn van logginggegevens
De logginggegevens zullen 15 jaar bewaard worden.
6.6 Controle op de logging
Controle op de logging vindt volgens eens per kwartaal plaats en bij verdenking van misbruik.
Verdenking van misbruik kan ontstaan door een melding van een zorgverlener, een medewerker of
een patiënt en/of als er ongebruikelijke raadplegingen worden geconstateerd. Bijvoorbeeld
ongebruikelijk veel raadplegingen door dezelfde persoon of van dezelfde patiëntgegevens of
raadplegingen op ongebruikelijke tijdstippen.
Bij melding van vermeend misbruik vindt controle binnen 24 uur na de melding plaats.
Wat betreft ongebruikelijke raadplegingen: de module [loggingmodule] beschikt nog niet over de
techniek waarmee de security-officer vanuit het systeem automatisch een signaal krijgt dat er sprake
is van ongebruikelijke raadplegingen. Daarom zal de security-officer van [RSO] één keer per maand
een controle op deze raadplegingen doen.
Daarnaast zal eens per kwartaal een periodieke controle plaatsvinden op een steekproef van 100
raadplegingen. De procedure hiervoor staat beschreven in Bijlage 3.
6.7 Controle op raadplegingen in noodsituaties
De Gedragscode EGiZ geeft aan dat de procedure bij raadpleging in noodsituaties beschreven moet
worden.
Binnen [RSO] is aangegeven dat de informatie die na toestemming van de patiënt beschikbaar wordt
gesteld, in principe toegankelijk is voor alle zorgaanbieders die toegang hebben tot [RSO] XDS en
waarmee de patiënt een behandelrelatie heeft. In het geval van een noodsituatie kunnen
zorgverleners die normaliter geen toegang hebben tot [RSO]XDS deze toegang krijgen middels een
speciale knop (de zgn. “Breaking the Glass-situatie”) In de module [loggingmodule]wordt dit als een
speciale actie gelogd. De zorgverlener die aldus toegang heeft verkregen tot de binnen [RSO] XDS
beschikbare patiëntinformatie moet achteraf kunnen verantwoorden waarom hij zich hiertoe
bevoegd achtte. Dat betekent dat feitelijk geen aparte procedure gemaakt hoeft te worden voor
raadplegingen in noodsituaties. Een zorgverlener die een patiënt in een noodsituatie behandelt heeft
immers een behandelrelatie met die patiënt en is derhalve bevoegd tot raadpleging van de
beschikbare informatie.
6.8 Vermeend en geconstateerd misbruik
Bij (verdenking van) overtreding van de regels voor beschikbaar stellen of raadplegen van
patiëntgegevens wordt de aangewezen contactpersoon van de zorgaanbieder waarbij de
zorgverlener is aangesloten, hiervan op de hoogte gesteld. Het eigen beleid van de desbetreffende
zorgaanbieder t.a.v. sancties en het informeren van betrokkenen wordt dan van kracht. De
6
Procedure Auditlogging [versienr]
contactpersoon van de betreffende zorgaanbieder informeert de security-officer van [RSO] over de
eventuele vervolgacties.
6.9 Overige bepalingen
Naast de in dit protocol genoemde partijen hebben ook de leverancier en de beheerder van de [RSO]
XDS-infrastructuur inzage in bepaalde in [RSO] XDS vastgelegde informatie. De afspraken en regels
die hiervoor gelden zijn vastgelegd in de bewerkersovereenkomst die [RSO] met de leverancier heeft
afgesproken.
7
Procedure Auditlogging [versienr]
BIJLAGE 1. LIJST MET CONTACTPERSONEN
Naam
Organisatie
Functie
8
Procedure Auditlogging [versienr]
BIJLAGE 2. INHOUD VAN DE LOGGING
Hier komen screenshots van de module [loggingmodule]waarin de specifieke gegevenskenmerken
worden aangegeven.
9
Procedure Auditlogging [versienr]
BIJLAGE 3. PROCEDURE TOEGANG TOT DE LOGGING
Conform artikel 10.3 van de Gedragscode EGiZ biedt [RSO] brondossierhouders en betrokkenen
(zorgverleners en patiënten) de gelegenheid om inzage in de logging te krijgen. Daartoe wordt de
volgende procedure gehanteerd.
1. De zorgverlener of patiënt neemt contact op met de zorgaanbieder die informatie uitwisselt
middels XDS.
2. De zorgaanbieder vergewist zich er van dat de identiteit van de betreffende zorgverlener of
patiënt juist is door het opvragen van een geldig identiteitsbewijs.
3. De security-officer van de zorgaanbieder neemt contact op met de security-officer van [RSO] en
vraagt de gewenste logginggegevens op.
4. De security-officer van [RSO] stelt de gewenste logging gegevens op een veilige manier
beschikbaar. In 2014 betekent dit dat deze persoonlijk op papier overgedragen worden.
10
Procedure Auditlogging [versienr]
BIJLAGE 4. PROCEDURE PERIODIEKE CONTROLE
Eens per kwartaal maakt de security-officer van [RSO] per aangesloten zorgaanbieder een random
selectie van alle acties die binnen [RSO] XDS gelogd worden. De omvang van deze selectie is
afhankelijk van de intensiteit waarmee de betreffende zorgaanbieder gebruik maakt van [RSO] XDS.
Voor de ziekenhuizen bestaat de selectie uit 100 acties.
Deze selectie wordt op een veilige manier beschikbaar gesteld aan de contactpersoon van de
betreffende zorgaanbieder.
Deze contactpersoon is, op grond van de eigen informatie in staat om vast te stellen of er sprake is
geweest van onbevoegde raadplegingen.
De contactpersoon informeert de security-officer van [RSO] over de uitkomsten van de periodieke
controle.
De uitkomsten van de periodieke controle worden in de Klankbordgroep Privacy en Veiligheid
besproken en ter informatie in de Programmaraad van ZorgNetOost geagendeerd.
11
Procedure Auditlogging [versienr]
FORMULIER 1. PERIODIEKE CONTROLE
Periodieke controle logging
[Logo RSO]
Datum
Systeem
Zorgaanbieder
12