eHealth, Recip-e, patiëntendossier: wie heeft toegang tot wat in uw praktijk?
Gedeelde gegevens (gezondheidsnetwerken, Recip-e) gaan alleen open voor een zorgverlener die de toestemming van de patiënt heeft, een therapeutische relatie met hem heeft en dat soort gegevens volgens zijn beroep mag inzien. Daar zit het zwakke punt zelden. Dat zit binnen de praktijk: een sessie op naam van een arts die openstaat aan het onthaal, een eID-kaart die in de lezer blijft zitten of het account van een vervanger die al vertrokken is. De regel is eenvoudig: ieder zijn eigen account, en ieder ziet alleen wat hij nodig heeft voor zijn werk.
Twee deuren naar de gegevens van uw patiënten
In een praktijk komen gezondheidsgegevens via twee heel verschillende deuren binnen. De eerste deur geeft toegang tot de gedeelde gegevens: het dossier dat ziekenhuizen, artsen en apothekers met elkaar delen via de regionale gezondheidsnetwerken, en de elektronische voorschriften die op Recip-e staan. Het eHealth-platform is de federale overheidsinstelling die dat alles met elkaar verbindt en nagaat wie er aanklopt.
De tweede deur is uw software voor het medisch dossier, samen met de computers van de praktijk. Daar controleert niet de overheid, maar u zelf. Wie heeft een account, wie ziet de klinische notities, wie kan het dossier van een patiënt openen vanaf het onthaal: dat hangt allemaal af van de instellingen die u (of uw informaticus) wel of niet hebt gemaakt.
De eerste deur is vrij goed bewaakt. De tweede vaak veel minder. Die verdient uw aandacht.
Wat de deur naar de gedeelde gegevens opent
Om de gedeelde gegevens van een patiënt te raadplegen, moet een zorgverlener tegelijk aan meerdere voorwaarden voldoen. Het eHealth-platform en de gezondheidsnetwerken passen die regels automatisch toe.
- De toestemming van de patiënt voor het elektronisch delen van zijn gegevens. Die toestemming is algemeen: ze geldt voor alle zorgverleners die hem behandelen. De patiënt beheert ze op Mijngezondheid.
- Een therapeutische relatie, dat wil zeggen het elektronische bewijs dat u deze patiënt echt behandelt. Het inlezen van zijn elektronische identiteitskaart (eID) legt die relatie vast voor 15 maanden, en bij elke nieuwe lezing wordt ze verlengd.
- Het juiste beroep. Een toegangsmatrix bepaalt wat elk beroep mag zien. Een arts die de patiënt behandelt, heeft toegang tot het grootste deel van de gedeelde gegevens; andere beroepen zien er maar een deel van, per beroep vastgelegd.
- Geen uitsluiting. De patiënt kan via Mijngezondheid een bepaalde zorgverlener uitsluiten, en die uitsluiting later weer opheffen.
Als de kaart van de patiënt niet beschikbaar is, kan de arts het rijksregisternummer van de patiënt en het nummer van diens kaart manueel invoeren. Het eHealth-platform zegt het duidelijk: dat mag nooit buiten medeweten van de patiënt gebeuren. Dat is een eerste punt om na te gaan aan het onthaal: niemand mag ‘relaties aanmaken’ om tijd te winnen.
De sleutels en hun valkuilen
| Sleutel | Waarvoor ze dient | De valkuil in de praktijk |
|---|---|---|
| eID-kaart van de patiënt | Legt de therapeutische relatie vast (15 maanden) | Het nummer manueel invoeren zonder de patiënt |
| eID-kaart + pincode van de zorgverlener | Bewijst wie er aangemeld is | Kaart blijft in de lezer, de code is bekend aan het onthaal |
| eHealth-certificaat | Identificeert de praktijk of de zorgverlener bij eHealth, 3 jaar geldig | Gedeeld wachtwoord, op een papiertje genoteerd, certificaat verlopen |
| Bewijs van voorschrift (Recip-e-streepjescode) | Laat de apotheker het voorschrift terugvinden | Behandeld als een gewoon papiertje, terwijl het over een behandeling gaat |
Het eHealth-certificaat verdient nog een woordje uitleg. Het is een bestand dat in uw software geïnstalleerd is, beveiligd met een wachtwoord, waarmee de praktijk met de eHealth-diensten communiceert. Het is 36 maanden geldig en de houder is verantwoordelijk voor het gebruik ervan. Voor een organisatie eist eHealth ook dat de interne werking garandeert dat alleen bevoegde personen toegang hebben tot het systeem.
Recip-e: wie ziet de voorschriften?
Voorschriften voor geneesmiddelen staan op de Recip-e-server. De apotheker vindt ze terug door de streepjescode op het bewijs van voorschrift te scannen, of met de eID-kaart van de patiënt. Sinds 11 december 2023 kan een arts ook de voorschriften van andere voorschrijvers raadplegen, altijd op basis van een therapeutische relatie (RIZIV).
De patiënt houdt de touwtjes in handen: in de app Mijngezondheid van het RIZIV kan hij een voorschrift onzichtbaar maken voor de apotheker. Hij haalt het dan op door zelf de streepjescode te tonen.
Het echte lek: binnen in de praktijk
Voorbeeld, verzonnen ter illustratie. Een fictieve groepspraktijk: drie artsen, een secretaresse, een vervanger tijdens de zomer. ’s Ochtends opent de eerste arts die binnenkomt zijn sessie op de pc van het onthaal, steekt zijn eID-kaart in de lezer en laat ze daar zitten, zodat de secretaresse ‘de dossiers kan klaarzetten’. Het account van de vervanger, die in september vertrokken is, is nog altijd actief. Het wachtwoord van het eHealth-certificaat hangt op een briefje onder het scherm.
Niets daarvan schendt de controles van eHealth: alle verbindingen gebeuren op naam van een arts, met zijn therapeutische relaties. Maar in de praktijk kan iedereen die achter de balie passeert het volledige dossier van om het even welke patiënt lezen, en het logboek zal zeggen dat het de arts was.
De Gegevensbeschermingsautoriteit (GBA) herinnerde aan het principe in een beslissing uit 2023 (alleen in het Frans), over een ziekenhuis waar al het medisch personeel een zeer gevoelig dossier kon lezen: alleen personen wier functie of beroepsactiviteiten die toegang rechtvaardigen, mogen toegang hebben tot de gegevens. Dat principe geldt voor een praktijk met drie mensen net zo goed als voor een ziekenhuis.
Het terrein is niet beter voorbereid dan het voorbeeld. In een enquête gepubliceerd in juni 2024 (in het Frans) bij 903 Belgische artsen en apothekers zei 19 % de voorbije tien jaar slachtoffer te zijn geweest van cybercriminaliteit, en acht op de tien hadden de vijf jaar daarvoor geen enkele opleiding in cyberbeveiliging gevolgd.
Wie moet wat zien: een toegangsrooster voor uw praktijk
De juiste vraag is niet ‘wie heeft een wachtwoord?’, maar ‘wat heeft elke persoon nodig om zijn werk te doen?’. Hier is een rooster om mee te beginnen, aan te passen aan uw praktijk.
| Rol | Moet zien | Mag niet zien |
|---|---|---|
| Titularis-arts | De dossiers van zijn patiënten, de nuttige gedeelde gegevens | Geen beperking nodig, maar zijn kaart en code houdt hij voor zichzelf |
| Vervangende arts of medewerker | De dossiers van de patiënten die hij behandelt, met zijn eigen account | Het account van een andere arts; een toegang die blijft bestaan na zijn vertrek |
| Secretaresse, onthaal | Agenda, contactgegevens, facturatiegegevens | Klinische notities, resultaten, gedeelde gegevens |
| IT-dienstverlener | De toestellen, op vraag, met een geregistreerde toegang | Een permanente, onbewaakte toegang tot de dossiers |
| Gewezen medewerker | Niets | Alles: zijn account moet op de dag van zijn vertrek gesloten worden |
Als uw software het administratieve niet van het medische kan scheiden, vraag het dan aan de leverancier. Dat is een terechte vraag, en het antwoord zegt u veel over het pakket.
Maandagochtend: zeven concrete stappen
- Eén persoon, één account. Elke arts, elke vervanger en de secretaresse hebben hun eigen login in de software. Geen gedeelde ‘praktijk’-sessie meer.
- De eID-kaart van de arts blijft nooit in de lezer als hij zijn werkplek verlaat, en niemand anders kent zijn pincode.
- Schermen automatisch vergrendelen na enkele minuten inactiviteit, zeker aan het onthaal, dat zichtbaar is vanuit de wachtzaal.
- Maak een lijst van de actieve accounts in de software en sluit die van vertrokken personen. Doe dat opnieuw bij elk vertrek.
- Bewaar het wachtwoord van het eHealth-certificaat in een wachtwoordbeheerder, en noteer de vervaldatum (3 jaar) in de agenda.
- Controleer de rechten van de secretaresse: ze mag de agenda en de contactgegevens zien, niet de klinische notities.
- Vraag aan uw IT-dienstverlener hoe hij verbinding maakt met uw toestellen, wie bij hem die toegang heeft en of die verbindingen geregistreerd worden.
Als een patiënt vraagt wie zijn dossier heeft geopend
Voor de gedeelde gegevens houdt hij zelf de controle: hij kan een zorgverlener uitsluiten via Mijngezondheid. Voor uw software moet u zelf kunnen antwoorden. Als iedereen onder de naam van dezelfde arts werkt, lukt dat niet.
En als u ontdekt dat een onbevoegde persoon dossiers heeft geraadpleegd, gaat het om een gegevenslek: dat moet u zonder onredelijke vertraging melden aan de GBA, indien mogelijk binnen 72 uur, tenzij het geen risico inhoudt voor de patiënten.
Laat uw toegangsrechten nakijken→
Veelgestelde vragen
Mag mijn secretaresse de gedeelde gegevens van een patiënt op eHealth raadplegen?
Nee, niet op eigen naam. De gedeelde gegevens gaan alleen open voor zorgverleners die een therapeutische relatie met de patiënt hebben, volgens een rooster per beroep. Als de secretaresse ze toch ziet, werkt ze in de sessie van een arts: precies wat u moet vermijden.
Hoe lang blijft een therapeutische relatie geldig die met de eID-kaart is aangemaakt?
15 maanden, verlengd bij elke nieuwe lezing van de kaart. Als de kaart niet beschikbaar is, kan de arts het rijksregisternummer en het kaartnummer manueel invoeren, maar nooit buiten medeweten van de patiënt.
Kan een patiënt verhinderen dat een zorgverlener zijn gegevens ziet?
Ja. Hij kan een bepaalde zorgverlener uitsluiten via Mijngezondheid, en die uitsluiting later weer opheffen. In de app Mijngezondheid kan hij een voorschrift ook onzichtbaar maken voor de apotheker.
Wat gebeurt er met het eHealth-certificaat als een arts de praktijk verlaat?
Het certificaat is gekoppeld aan de houder, die verantwoordelijk blijft voor het gebruik ervan. Gaat het om het persoonlijke certificaat van de arts die vertrekt, dan mag de praktijk het niet meer gebruiken. Gaat het om het certificaat van de praktijk, verander dan het wachtwoord en ga na wie het kent. Sluit in beide gevallen ook zijn account in de software.
Een gewezen medewerker heeft na zijn vertrek dossiers geraadpleegd: wat nu?
Sluit onmiddellijk zijn toegang af, bewaar de verbindingslogs en breng in kaart welke dossiers geraadpleegd zijn. Het gaat om een gegevenslek: dat moet u zonder onredelijke vertraging melden aan de Gegevensbeschermingsautoriteit, indien mogelijk binnen 72 uur, tenzij er geen risico is voor de patiënten.