Antwoord
De verplichting om te loggen is onderdeel van de wettelijke verplichting om persoonsgegevens te beveiligen. Daarnaast heeft het Nederlands Normalisatie Instituut (NEN) een norm vastgesteld over logging (NEN 7513). Verwerkingsverantwoordelijken voor een Elektronisch Uitwisselingssysteem (EUS) en/of zorginformatiesysteem, zijn verplicht om ervoor te zorgen dat genoemde systemen voldoen aan de eisen van NEN 7513.
Logging is verplicht, omdat de dossierhouder moet kunnen zien wie gegevens uit zijn of haar dossier(s) heeft geraadpleegd. Dit houdt in dat de dossierhouder onweerlegbaar moet kunnen vaststellen welke gebeurtenissen hebben plaatsgevonden in het dossier.
De Gedragscode van de KNMG vereist geschikte logging met toepasselijke controleprocedures. De hoeveelheid aan loggingcontroles is niet vastgelegd in de wet, maar het periodiek controleren van loggegevens wordt aanbevolen om de veiligheid van (patiënt)gegevens te waarborgen. De vraag over wat periodieke controle precies inhoudt, kan blijven bestaan. Hieronder worden enkele uitgangspunten gegeven met betrekking tot periodieke controle:- Volgens NEN 7510 is het verplicht om logbestanden van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, te creëren, te bewaren en regelmatig te beoordelen.
- Het rapport "Toegang tot digitale patiëntendossiers binnen zorginstellingen" benadrukt dat controle van logging systematisch en consistent moet plaatsvinden. Een steekproefsgewijze controle en/of controle op basis van klachten is niet toereikend.
- Het doen van slechts één of enkele proactieve steekproeven per jaar wordt als onvoldoende beschouwd om te voldoen aan het vereiste van een passend beveiligingsniveau met betrekking tot logging.
- De Autoriteit Persoonsgegevens (AP) is van mening dat een wekelijkse controle van dossiers die zijn geraadpleegd via de noodknopprocedure, zonder twijfel voldoet aan de eisen voor een systematische en consistente controle van loggegevens.
Patiënten kunnen bij zorgverleners vragen om een overzicht van de loggegevens. Ook kunnen zij hun gegevens eenvoudig digitaal raadplegen via Volgjezorg.
Om tijdelijk te beschikken over voldoende zorgpersoneel wordt in de zorg steeds vaker gebruik gemaakt van zzp’ers. Voor deze zzp’ers wordt – voor de verschillende systemen – een algemeen invalaccount aangemaakt. Hierdoor is moeilijk te achterhalen welke handelingen de betreffende zzp’er heeft gedaan. Is dit toegestaan?
Antwoord
Door verschillende medewerkers op een algemeen invalaccount te laten werken, is niet meer te controleren welke medewerker wanneer welke aantekeningen heeft gemaakt in een medisch dossier of andere handelingen heeft uitgevoerd. Dit is dan ook niet toegestaan.
Logging
Logging is een geautomatiseerde registratie van gegevens, die bedoeld is om bij te houden welke gebeurtenissen/handelingen binnen een systeem hebben plaatsgevonden. Door middel van logging in de zorg kan achteraf worden gecontroleerd of er een (goede) reden was voor een medewerker om bijvoorbeeld een bepaald patiëntendossier in te zien.