Randvoorwaarden

Concrete invulling

De principes van DIZRA zijn:

1. regie op gezondheidsgegevens
2. gemeenschappelijke taal
3. data bij de bron
4. gelijk speelveld voor alle leveranciers
5. duurzaam informatiestelsel
6. FAIR-data
7. machineleesbaar
8. federatief samenwerken
9. open internationale standaarden

Deze principes zijn als ontwerpkeuzes uitgewerkt in het artikel Ontwerpkeuzes.

Concrete invulling

In het afsprakenstelsel iWlz-netwerkmodel is ingericht conform de Wegiz en relevante AMvB’s door waar mogelijk gebruik te maken van bestaande (informatie)standaarden en NEN-normen. De gebruikte informatiestandaarden worden toegelicht in de laag Proces.

Concrete invulling

De wet doet over de exacte vorm van informatievoorziening geen uitspraken. Van alle in de wet opgenomen partijen wordt in het afsprakenstelsel toegelicht welke rol of rollen zij uitvoeren in het iWlz-netwerkmodel (zie Rollen en deelnemers). Van alle in de wet opgenomen taken die relevant zijn in het kader van gegevensuitwisseling in het netwerk wordt in het afsprakenstelsel toegelicht op welke wijze deze kunnen worden ingevuld door middel van het iWlz-netwerkmodel. Het Afsprakenstelsel iWlz-netwerkmodel richt zich in eerste instantie op de Wet langdurige zorg. Indien mogelijk wordt alvast rekening gehouden met de Wet maatschappelijke ondersteuning 2015 (Wmo 2015) en de Jeugdwet (Jw) in verband met toekomstige scope uitbreiding.

Relevante uitgangspunten informatiemodel iWlz

UP001, UP007, UP008, UP017, UP024

Concrete invulling

Artikel 7.1 beschrijft niet-limitatief de elementen van persoonsgegevens die voor Wlz-uitvoerders noodzakelijk zijn voor de uitvoering van de wet. Het uitgangspunt van de Algemene Verordening Gegevensbescherming (AVG) is dat er in principe zo min mogelijk persoonsgegevens worden verzameld (dataminimalisatie).

Voor het indicatieregister en bemiddelingsregister heeft het Zorginstituut door een externe onafhankelijke partij laten toetsen of de verwerking voldoet aan de AVG. Bij de introductie van een nieuw register zal het Zorginstituut alles wat in dit nieuwe register zal worden vastgelegd laten toetsen. Deze toets wordt door een externe onafhankelijke partij uitgevoerd.

Relevante uitgangspunten informatiemodel iWlz

UP001, UP007, UP008, UP017, UP024

Concrete invulling

Grondslag, doelbinding en proportionaliteit

Partijen die gegevens uitwisselen in het iWlz-netwerk mogen deze gegevens enkel uitwisselen als onder andere grondslag, doelbinding en proportionaliteit van de uitwisseling zijn aangetoond, conform wat binnen de AVG daarover is vastgesteld.

Beveiligingsmaatregelen

In het iWlz-netwerkmodel haalt een afnemer gegevens op bij een bronhouder. De AVG verplicht zowel bronhouder (aanbieder) als afnemer passende technische en organisatorische maatregelen te nemen die voldoen aan de eisen die horen bij classificatieniveau van de gegevens. De minimale beveiligingsmaatregelen die de deelnemers aan het iWlz-netwerk dienen te nemen zijn opgenomen in het afsprakenstelsel iWlz-netwerkmodel.

Beveiligingsmaatregelen bronhouder

Om te voorkomen dat afnemers ongeoorloofde gegevens kunnen verwerken moet de bronhouder de volgende zaken kunnen controleren:

1. Welk systeem verbinding maakt
2. Dat het systeem als verwerker optreedt voor de afnemer
3. Dat de afnemer beschikt over bepaalde eigenschappen/kwalificaties (bijv. onboarding iWlz-netwerk)

In het iWlz-netwerkmodel wordt dit mogelijk gemaakt door het gebruik van cryptografische bewijzen ('attesten'). Elk van de bovengenoemde controles kan met behulp van een cryptografische handtekening uitgevoerd worden. Een oplossing die voor deze controles gebruik zou maken van een actieve trusted third party voor deze controles zou niet voldoen aan DIZRA (randvoorwaarde R01, ontwerpkeuze O04) en minder goed invulling geven aan de begrippen informatiebeveiliging en dataminimalisatie (gerelateerd aan de AVG).

Indien hier aanleiding voor is kan een bronhouder de aansluiting met een afnemer tijdelijk stopzetten.

Beveiligingsmaatregelen afnemer

De afnemer moet zich ervan vergewissen dat de ingelogde gebruiker de gegevens mag verwerken. Om te voorkomen dat de ingelogde gebruiker ongeoorloofde gegevens kan verwerken moet de afnemer de volgende zaken kunnen controleren:

1. Welke persoon is ingelogd
2. Dat er sprake is van grondslag en doelbinding op basis waarvan de ingelogde gebruiker de opgevraagde gegevens mag verwerken

Verwerkingsverantwoordelijkheid

Partijen dragen ieder eigen verantwoordelijkheid voor de beveiliging van data die onder hun (verwerkings)verantwoordelijkheid vallen.

Partijen zullen passende technische en organisatorische beveiligingsmaatregelen ten uitvoer leggen om data te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te bescherming data met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van data te voorkomen.

Wanneer begint de verwerkingsverantwoordelijkheid van een partij?

Een partij wordt aangemerkt als verwerkingsverantwoordelijke vanaf het moment dat zij persoonsgegevens verwerkt.

Voor de bronhouder ontstaat deze verantwoordelijkheid zodra persoonsgegevens binnen haar invloedsfeer komen, bijvoorbeeld bij de verzameling of ontvangst daarvan, en in elk geval vanaf het moment dat het gegeven in haar register is opgenomen.

Voor de afnemer begint de verwerkingsverantwoordelijkheid zodra een gegeven in zijn invloedsfeer komt. Het ontvangen van persoonsgegevens markeert het punt waarop de afnemer verantwoordelijkheid neemt voor de verdere verwerking en bescherming van deze gegevens binnen zijn eigen systeem.

Wanneer stopt de verwerkingsverantwoordelijkheid van een partij?

De verwerkingsverantwoordelijkheid stopt niet zolang persoonsgegevens in het systeem of register van de partij aanwezig zijn. Wanneer een gegeven door een afnemer wordt opgehaald, wordt de afnemer verwerkingsverantwoordelijke voor het opgehaalde gegeven. De bronhouder blijft verantwoordelijk voor de gegevens in het eigen register.

Data Protection Impact Assessment (DPIA)

Moeten partijen een DPIA opstellen?

De Autoriteit Persoonsgegevens (AP) heeft richtsnoeren gepubliceerd waarin is beschreven in welke gevallen een DPIA verplicht is. Partijen in het iWlz-netwerkmodel dienen deze criteria te hanteren bij hun beoordeling of een DPIA nodig is. Daarnaast geldt de norm NEN 7512:2022 voor het uitwisselen van medische gegevens, die aanvullende eisen stelt aan de beveiliging en het waarborgen van vertrouwelijkheid bij gegevensuitwisseling.

Het belang van de Data Protection Impact Assessment (DPIA) in het kader van de AVG kan niet genoeg worden benadrukt. De DPIA is een cruciaal instrument dat organisaties helpt om op een gestructureerde wijze de privacyrisico's van gegevensverwerking in kaart te brengen en te beoordelen. Hierbij spelen twee belangrijke aspecten een rol:

1. Informatiedeling bij geconstateerde risico's: De DPIA fungeert als een waardevol instrument om potentiële risico’s te identificeren die verband houden met gegevensverwerking. Indien en voor zover uit een DPIA volgt dat sprake is van mogelijke risico’s die ook betrekking hebben op andere betrokken verwerkingsverantwoordelijke, zal de partij die de DPIA uitvoert de andere partijen hierover informeren. Dit bevordert een proactieve samenwerking tussen verwerkingsverantwoordelijken om gezamenlijk maatregelen te nemen ter bescherming van de privacy van betrokkenen.
2. Herijking en herziening bij wijzigingen in de verwerking: De DPIA is geen eenmalige exercitie, maar eerder een dynamisch proces. Bij elke (significante) wijziging in de verwerking van persoonsgegevens is het noodzakelijk de DPIA opnieuw te beoordelen en mogelijk aan te passen. Dit waarborgt dat eventuele nieuwe risico's die ontstaan als gevolg van veranderingen in de verwerking, adequaat worden geïdentificeerd en aangepakt. Zo blijft de DPIA een actueel instrument dat organisaties helpt om voortdurend te voldoen aan de privacywetgeving en de belangen van betrokkenen te waarborgen.

Met andere woorden: de DPIA vormt een essentiële pijler, die niet alleen helpt bij het proactief identificeren en beheren van privacyrisico's, maar tevens bijdraagt aan een continue verbetering van gegevensbeschermingsmaatregelen bij elke verandering in de gegevensverwerking. Elke partij is zelf verantwoordelijk voor de beoordeling van de vraag of een DPIA vereist is en zo ja, om de DPIA naar behoren uit te horen. Voor zover nodig en redelijk assisteren de andere partijen hem daar bij.

Relevante uitgangspunten informatiemodel iWlz

UP003

Concrete invulling

De uitzonderingen op het verbod op de verwerking van gezondheidsgegevens die zijn opgenomen in de UAVG zijn van toepassing op het iWlz-netwerkmodel. Deelnemers aan het iWlz netwerk mogen deze gegevens verwerken, mits wordt voldaan aan de voorwaarden uit de UAVG.

Relevante uitgangspunten informatiemodel iWlz

UP003

Concrete invulling

Concreet betekent dit: In het iWlz-netwerkmodel wordt bij gegevensuitwisseling tussen bronhouders en afnemers en tussen bronhouders en cliënten het BSN gebruik als identificatiemiddel van cliënten.

Relevante uitgangspunten informatiemodel iWlz

UP006

Concrete invulling

BSN-gebruik

Op grond van artikel 46 UAVG mag het BSN alleen worden verwerkt indien dat volgt uit een wettelijke plicht. Elke deelnemer zal dus afzonderlijk moeten beoordelen of zij onder de Wabvpz vallen of onder een andere wet die uitwisseling op basis van het BSN toelaat.

De Wabvpz stelt niet dat een cliënt het eigen BSN niet mag gebruiken. Er moet op een veilige en passende wijze kunnen worden vastgesteld dat het daadwerkelijk die cliënt is die gegevens opvraagt.

Wabvpz elektronisch uitwisselingssysteem

In het iWlz-netwerkmodel is sprake van de volgende registers: Indicatieregister en Bemiddelingsregister.

• Het Indicatieregister en Bemiddelingsregister van respectievelijk indicatiesteller CIZ, zorgkantoren voldoen niet aan de definitie van een Wabvpz elektronisch uitwisselingssysteem omdat de bijbehorende bronhouder geen zorgaanbieder is.
• Het Zorgleveringsregister voldoet naar verwachting niet aan de definitie van een elektronisch uitwisselingssysteem omdat er geen sprake is van het vooraf beschikbaar stellen van gegevens voor onbekend later gebruik. Deze uitspraak wordt nog juridisch getoetst.

Doordat geen van de huidige registers in het iWlz-netwerkmodel voldoet aan de definitie van een Wabvpz elektronisch uitwisselingssysteem mogen gegevens beschikbaar worden gesteld zonder dat de cliënt daarvoor uitdrukkelijk toestemming heeft gegeven. Onverminderd dient sprake te zijn van een grondslag.

Relevante uitgangspunten informatiemodel iWlz

UP006

Concrete invulling

De dossierplicht uit de WGBO is voor deelnemers aan het iWlz-netwerkmodel die een behandelovereenkomst met de cliënt hebben of waarop de WGBO van overeenkomstige toepassing is, de wettelijke verplichting en daarmee de grondslag voor de verwerking van persoonsgegevens. De grondslag kan ook de uitvoering van de behandelovereenkomst zijn of, afhankelijk van de verwerkingen, (uitdrukkelijke) toestemming. Het is aan de individuele deelnemers om de juiste grondslag te bepalen.

De geheimhoudingsplicht uit de WGBO verplicht bronhouders met een behandelovereenkomst met de cliënt gegevens alleen te delen indien daarvoor een geldige doorbrekingsgrond is (zie ook randvoorwaarde R05). De WGBO verplicht bronhouders met een behandelovereenkomst om gegevens minimaal conform de wettelijke termijn te bewaren (bewaartermijn). Daarnaast heeft de cliënt conform de WGBO het recht om haar dossiergegevens (voortijdig) te laten vernietigen.

Relevante uitgangspunten informatiemodel iWlz

UP035

Concrete invulling

1. iWlz-netwerkmodel wordt/is een integraal onderdeel van de iStandaarden door:
2. Structuur en inhoud van data voldoen aan het informatiemodel iWlz en andere relevante onderdelen uit de iStandaarden.
3. Structuur en inhoud van verzoeken om data en services voldoen aan de iStandaarden.
4. Koppelvlakken van services voldoen aan de iStandaarden

Relevante uitgangspunten informatiemodel iWlz

overzicht

Concrete invulling

Onafhankelijk van het Afsprakenstelsel iWlz-netwerkmodel zijn deelnemers aan het iWlz-netwerkmodel verplicht te voldoen aan de voor hen geldende NEN- en/of ISO-normen. Dit draagt bij aan de veiligheid van het iWLz-netwerkmodel.

Concrete invulling

De bewaartermijnen die een partij hanteert, vallen onder de eigen wettelijke verantwoordelijkheid van die partij. Een afnemer kan daarom niet van een bronhouder verlangen dat deze de bewaartermijn van de afnemer toepast. Dit voorkomt dat er sprake is van gezamenlijke verwerkingsverantwoordelijkheid, bijvoorbeeld doordat beide partijen zeggenschap zouden hebben over de opslag van dezelfde gegevens binnen de bronomgeving.

Kortom: iedere partij bewaart en archiveert gegevens conform de voor haar geldende wettelijke verplichtingen, zoals vastgelegd in de Archiefwet, de AVG en aanverwante regelgeving.