Nee, Medicom, Pharmacom en Hapicom zijn individuele informatiesystemen die bedoeld zijn voor interne dossiervoering, waarbij er secundair functionaliteit is ingebouwd om specifieke gegevens te delen met andere zorgaanbieders. In de behandeling van de Wet Aanvullende Bepalingen Verwerking Persoonsgegevens in de Zorg (Wabvpz) wordt nadrukkelijk een onderscheid gemaakt tussen een systeem voor het bijhouden van dossiers en een systeem voor elektronische uitwisseling.

Art. 1 sub j Wabvpz – definitie elektronisch uitwisselingssysteem: een systeem waarmee zorgaanbieders op elektronische wijze, dossiers, gedeelten van dossiers of gegevens uit dossiers voor andere zorgaanbieders raadpleegbaar kunnen maken, waaronder niet begrepen een systeem binnen een zorgaanbieder, voor het bijhouden van een elektronisch dossier.

Het gebruik van deze letterlijke (niet technische) bewoording geeft aan dat het de bedoeling van de wetgever is om een enge interpretatie te hanteren voor het begrip elektronisch uitwisselingssysteem. Alleen een systeem waarbij er een losstaand systeem in de markt is gezet voor de feitelijke uitwisseling valt derhalve onder deze definitie.

Een ander praktijkvoorbeeld is een elektronisch voorschrijfsysteem (EVS). Een EVS wordt gebruikt door artsen en apothekers voor het voorschrijven van medicijnen. Artsen noteren in dit systeem binnen de zorgaanbieder welke medicijnen een patiënt dient in te nemen. Via een andere interface halen apothekers een lijst met medicijnen op, welke zij klaar maken voor de patiënt. Een dergelijke systeem wordt daarmee binnen een zorgaanbieder gebruikt ten behoeve van dossiervoering en valt als dusdanig dus niet onder de definitie van een elektronisch uitwisselingssysteem.

De AVG bevat het algemene juridische kader voor het verwerken van persoonsgegevens, ook voor andere sectoren dan de gezondheidszorg. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) bevat specifieke regels voor het uitwisselen van medische persoonsgegevens via een elektronisch uitwisselingssysteem. Daarop zijn ook de regels uit de AVG van toepassing.

Hoewel de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) voor een groot deel pas vanaf juli 2020 geldt, moet er ook nu al voldaan worden aan de eis van uitdrukkelijke toestemming voor het beschikbaar stellen van medische gegevens via een dergelijk systeem. Het bekendste voorbeeld is het Landelijk Schakel Punt.

Een cluster is in een gedeelde server waar softwarematig gescheiden informatiesystemen op draaien (private Cloud). Door aangesloten te zijn op dezelfde server kunnen zorgverleners veilig informatie met waarnemers of andere zorgverleners delen binnen één zorgaanbieder of binnen de regio, zonder dat daarvoor gebruik gemaakt hoeft te worden van openbare netwerken. Het aangesloten zijn op een cluster zegt in principe niets over de wijze waarmee of met wie gegevens uitgewisseld worden. Dit kan de individuele zorgverlener/zorgaanbieder zelf instellen binnen diens eigen informatiesysteem (autorisatie instellingen).

Uw informatiesysteem moet periodiek onderhouden worden. Denk bijvoorbeeld aan het vervangen van verouderde medicatiebestanden of gegevens van verzekeraars. Om dit goed te regelen is het van belang dat u samen met uw overige clusterdeelnemers een clusterbeheerder heeft aangesteld. Heeft u die niet, dan kunt u er ook voor kiezen om deze dienst bij ons te beleggen.

De dienst cluster beheer van PharmaPartners bestaat uit de volgende onderdelen:

• Maandelijks bijwerken van de TAXE-bestanden;
• Het op verzoek van de verwerkingsverantwoordelijke samenvoegen van dubbele patiëntendossiers binnen een waarneemverband of één zorgorganisatie, of het opschonen van foutief aangemaakte dossiers;
• Het onderhouden van clustertabellen: zorgverzekeraarstabel, derdentabel, artsentabel, adresboek en postcodetabel of straatnaamtabel;
• Het jaarlijks inspoelen van tarieven van zorgverzekeraars;
• Het monitoren, terugkoppelen en handhaven van werkwijze met betrekking tot patiënten beheer.

Meer informatie vindt u in onze productsheet over Professioneel Clusterbeheer. Neem bij vragen contact met ons op via farmacie@pharmapartners.nl of huisartsenzorg@pharmapartners.nl. Wij helpen u graag verder!

Ja, aangesloten zijn op een cluster zegt in beginsel niets over de wijze van gegevensverwerking. Wenst u, bijvoorbeeld voor het doeleinde van waarneming, gegevens te delen met een andere zorgaanbieder op het cluster, dan is het wel van belang om voorafgaand heldere afspraken te maken over de rolverdeling, de te leveren zorg, verantwoordelijkheden, de duur van de samenwerking, het omgaan met persoonsgegevens en het informeren van de patiënt. Dit geldt in beginsel voor elke zorgaanbieder die wenst samen te werken met een andere zorgaanbieder (ook als er geen gebruik gemaakt wordt van PharmaPartners-systemen).

Ondanks het voorgaande biedt het cluster uiteraard wel de mogelijkheid om regionaal of binnen één zorgaanbieder samen te werken en gegevens te delen. Het is dan ook mogelijk dat er ‘bovenmatig’ gebruik wordt gemaakt van deze (waarneem)functionaliteiten. Wij begrijpen dat het voor u als zorgaanbieder niet altijd even duidelijk is waar deze grens ligt. Om die reden hebben wij een AVG gedragscode (medio mei beschikbaar) opgesteld waarin duidelijk wordt toegelicht onder welke voorwaarden u gegevens mag delen met anderen buiten uw praktijk. Wenst u bijvoorbeeld samen te werken voor het doel van waarneming, dan kunt u tevens gebruik maken van de door ons opgestelde waarneemovereenkomst (media mei beschikbaar).

Nee, in principe niet. De verplichting zit hem in het maken van heldere afspraken over de samenwerking. Werkt u samen op een cluster, dan is er een aantal zaken die u gezamenlijk moet oppakken (hoofdzakelijk niet AVG-gerelateerd). Denk bijvoorbeeld aan het functionele beheer van uw cluster (clusterbeheerder), of aan het beslissen over toe- en uittreders op uw cluster. In welke vorm u deze afspraken maakt, is van ondergeschikt belang. U kunt kiezen voor een samenwerkingsovereenkomst of het oprichten van een cluster entiteit (stichting, vereniging of een coöperatie).

Een samenwerkingsovereenkomst betekent dat u telkens met al uw clustergenoten moet samenkomen om met meerderheid van stemmen een beslissing te nemen, terwijl een clusterentiteit een bestuur heeft die die beslissing voor u kan nemen. De vraag of u een entiteit moet oprichten, dient dus vooral praktisch benaderd te worden en valt samen met de vraag hoe u cluster gerelateerde beslissingen wilt nemen.

Om u hierin te ondersteunen hebben wij een handleiding opgesteld, die u kunt gebruiken om te bepalen welk formaliseringsmodel het beste past bij uw cluster. Klik hier voor de handreiking juridische aspecten samenwerkingsverbanden bij downloads.

Dat hangt af van de mate van verantwoordelijkheid die de entiteit draagt. Levert u bijvoorbeeld de dienst cluster beheer, dan kan er schade ontstaan door een fout van de clusterbeheerder. Denk bijvoorbeeld aan schade als gevolg van het inspoelen van de verkeerde (TAXE) bestanden, of het onterecht ontdubbelen van een patiëntendossier. In de meeste gevallen zal de schade niet onomkeerbaar zijn (of slechts beperkt), desondanks is het verstandig om hierop voorbereid te zijn.

In de door ons opgestelde deelnemersovereenkomst sluiten wij primair de aansprakelijkheid van de entiteit uit, aangezien deze ook over zeer beperkte financiële middelen beschikt. Er kunnen echter situaties ontstaan waardoor die aansprakelijkheidsbeperking onredelijk wordt geacht door een rechter (bijvoorbeeld wegens bewuste schuld of roekeloosheid). Om ook in dergelijke situaties bescherming te genieten, kan het verstandig zijn om een aansprakelijkheidsverzekering af te sluiten. Controleer wel altijd goed de polis om na te gaan in welke scenario’s uw verzekeraar wel of niet uitkeert.

Ja, PharmaPartners is zich ervan bewust dat de persoonsgegevens die wij voor u verwerken zeer gevoelig van aard zijn en ziet de bescherming van die gegevens dan ook als één van haar belangrijkste taken. Daarom hanteren wij vergaande beveiligingsstandaarden om de vertrouwelijkheid, integriteit en kwaliteit van persoonsgegevens te kunnen borgen. Zo is PharmaPartners onder meer NEN 7510, ISO 9001, ISO 27001 en ISAE 3402 SOC 1 gecertificeerd en we zijn op dit moment heel druk bezig met het behalen van onze ISAE3402 SOC 2 certificering.

Dankzij onze certificeringen kunt u als zorgverlener en verwerkingsverantwoordelijke erop vertrouwen dat u voldoet aan de beveiligingseisen zoals die zijn neergelegd in de AVG.

Voor MijnGezondheid.net ondergaan wij tevens jaarlijks een strenge Digi-D audit waarin wij worden getoetst op basis van de ICT-Beveiligingsrichtlijnen voor Webapplicaties van het Nationaal Cyber Security Centrum (NCSC). Deze richtlijnen vormen een leidraad voor het veilig ontwikkelen, beheren en aanbieden van webapplicaties en bijbehorende infrastructuur.

Ja. Elke zorgverlener is wettelijk verplicht (art. 6 lid 1 sub c AVG) om bij overdracht, of het uitwisselen van patiëntgegevens, na te gaan aan de hand van een Burgerservicenummer (vastgelegd in Art 4 van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg) of de aangeleverde informatie daadwerkelijk bij de desbetreffende patiënt hoort, om onder andere persoonsverwisseling te voorkomen. Dit geldt ook voor een toedienlijst. Ook de Wet langdurige zorg, mits van toepassing, biedt een grondslag om het BSN op de toedienlijst te vermelden.

Voor de implementatie van de AVG maken wij o.a. gebruik van de door Nictiz opgestelde BEIS richtlijnen. BEIS heeft als hoofddoel te bevorderen/waarborgen dat de eerstelijns informatiesystemen (gaan) voldoen aan de wet- en regelgeving en NEN-normen, en te zorgen dat gebruikers controle kunnen houden op de beveiliging. Het tweede doel dat de zorgkoepels met BEIS voor ogen hebben is, hun leden te faciliteren bij het vertalen van wet-, regelgeving en NEN-normen naar implementeerbare en op de zorgpraktijk afgestemde eisen voor de eerstelijnssystemen. Het biedt de basis voor leveranciers van systemen om deze op het juiste beveiligingsniveau te brengen. Het voldoen aan deze set van eisen moet ook de patiënten, overheid, toezichthouders en verzekeraars de zekerheid kunnen geven dat de noodzakelijke kwaliteit van de informatiebeveiliging in de eerste lijn is gegarandeerd.​

Ja, in 2013 heeft de AP (toen CBP) een aantal huisartsendienstenstructuren bezocht en getoetst op het naleven van de WBP (voorganger AVG). Naar aanleiding van die bezoeken heeft de AP geadviseerd dat zorginstellingen, zoals een huisartsenpost, afdoende technische en administratieve stappen moeten ondernemen om het gebruik van het eigen elektronisch dossier van een instelling veilig te stellen.

Uit het onderzoek bleek dat de drie huisartsenposten niet aan alle eisen voldeden die golden voor een adequate beveiliging van patiëntgegevens. Dat geldt bijvoorbeeld voor de eis van unieke gebruikersidentificatie (bijvoorbeeld een pas op naam) en voor de eis dat sprake moet zijn van zogeheten twee-factor authenticatie (bijvoorbeeld een chipcard in combinatie met een pincode) voor toegang tot het systeem (UZI-pas).

Ja, als u een van onze producten afneemt dan verwerken wij persoonsgegevens voor u. Het is in dat geval wettelijk verplicht om afspraken met ons te maken over het beschermen van die gegevens. Wij hebben ons aangesloten bij de NedXis standaard verwerkersovereenkomst, die gebaseerd is op de BOZ-verwerkersovereenkomst. Zowel de verwerkingsverantwoordelijke als de verwerker hebben de verplichting om een verwerkersovereenkomst af te sluiten.

De verwerkersovereenkomst Farmacie en verwerkersovereenkomst Huisartsenzorg kunt u vinden onder de downloads.

Alleen als daar geen herleidbare persoonsgegevens op te zien zijn. E-mail is in de meeste gevallen een onbeveiligd communicatiemiddel en daarom niet geschikt voor het versturen van medische persoonsgegevens. Mocht het voor uw verzoek aan ons service center noodzakelijk blijken om specifieke persoonsgegevens in te zien, dan zullen wij hierover contact met u opnemen om deze mondeling op te vragen. Wij verzoeken u expliciet geen persoonsgegevens mee te sturen via de mail.

PharmaPartners maakt gebruik van PinkRoccade Healthcare voor het hosten van haar Pharmacom-, Medicom- en Hapicom-systemen, het patiënten portaal MijnGezondheid.net en de MedGemak applicatie (Pink Private Cloud). PinkRoccade Healthcare heeft in beginsel geen toegang tot uw gegevens. Slechts voor zeer uitzonderlijke onderhoudsdoeleinden kan zij die toegang krijgen. Om die reden hebben wij een sub-verwerkersovereenkomst met PinkRoccade Healthcare afgesloten.

Daarnaast maken wij gebruik van diensten van Enovation voor uw koppeling met het Landelijk Schakelpunt (LSP-Connect), waar wij eveneens een sub-verwerkersovereenkomst mee afgesloten hebben. Zowel Enovation als PinkRoccade voldoen aan de huidige beveiligingsnormen en beschikken over NEN7510 en ISO 27001 certificaten. Daarnaast zijn ze allebei gevestigd in Nederland en verwerken uw persoonsgegevens niet buiten de Europese Unie. Voor maatwerk opdrachten kan PharmaPartners andere sub-verwerker inschakelen. Indien dat het geval is, zullen wij u daarover informeren.