Kennisbank
NEN 7513 schrijft voor hoe je vastlegt wie wanneer welk patiëntdossier heeft geopend. De norm geldt ook voor het EPD van een solopraktijk, patiënten hebben recht op dat logoverzicht en de boetes van de Autoriteit Persoonsgegevens gingen niet over ontbrekende logging maar over logging die niemand bekeek.
Een patiënt belt met een vraag die je zelden krijgt en waar je meteen nat van in je handen staat: wie heeft er in mijn dossier gekeken? Ze vermoedt dat een bekende van haar bij de praktijk werkt. Je hebt een EPD, dus ergens moet dat te zien zijn. De vraag is of je het ook binnen een redelijke termijn op tafel krijgt, en of het overzicht dat eruit komt te begrijpen is. Daar gaat NEN 7513 over.
NEN 7513 heet voluit Medische informatica, Logging, Vastleggen van acties op elektronische patiëntdossiers. De norm is de uitwerking van één beheersmaatregel uit NEN 7510: die norm zegt dat je moet loggen, NEN 7513 beschrijft hoe. De actuele uitgave is NEN 7513:2018. Samen met NEN 7512 vormen ze een klein stelsel dat vaak door elkaar wordt gehaald.
Wat NEN 7510 in bredere zin van je praktijk vraagt, staat in Wat betekent NEN 7510 voor je praktijk? Dit artikel gaat over het onderdeel dat het vaakst pas bij een klacht in beeld komt.
Ja, en dat is preciezer geregeld dan veel praktijkhouders denken. Het Besluit elektronische gegevensverwerking door zorgaanbieders bepaalt in artikel 5, eerste lid, dat de zorgaanbieder als verantwoordelijke voor een zorginformatiesysteem ervoor zorgt dat de logging van dat systeem voldoet aan NEN 7513. Een zorginformatiesysteem is in dat besluit expliciet het eigen systeem van de zorgaanbieder, niet zijnde een elektronisch uitwisselingssysteem. De plicht hangt dus niet aan het LSP of aan een koppeling met andere zorgverleners: je eigen EPD is genoeg, ook in een solopraktijk.
Daarnaast is er de bredere lijn uit de AVG. Artikel 32 vraagt passende technische en organisatorische maatregelen, en artikel 5, tweede lid, plus artikel 24 leggen de verantwoordingsplicht bij jou: je moet kunnen aantonen dat alleen bevoegden bij de gegevens konden. Zonder bruikbare logging is dat niet aan te tonen, hoe netjes je verder ook werkt. Het toezicht is verdeeld: de Autoriteit Persoonsgegevens kijkt naar de privacykant en kan beboeten, de IGJ kijkt vanuit kwaliteit en veiligheid van zorg of het geheel op orde is.
De norm vraagt om geautomatiseerde vastlegging van drie soorten gebeurtenissen. Ten eerste de acties op het dossier zelf: raadplegen, toevoegen, wijzigen, verwijderen, exporteren en afdrukken. Ten tweede de toegang tot de logging, zodat zichtbaar is wie in het logbestand heeft gekeken. Ten derde de gebeurtenissen die de betrouwbaarheid van de logging raken, zoals het aan- of uitzetten van logging, wijzigingen in autorisaties en pogingen om logregels te veranderen of te wissen.
Per logregel gaat het om vijf onderdelen, en het is die vijfde die in de praktijk het verschil maakt.
Het Besluit liet de bewaartermijn bewust open en droeg vertegenwoordigende organisaties van zorgaanbieders en patiënten op die in overleg met de Autoriteit Persoonsgegevens vast te stellen en in de Staatscourant bekend te maken. Dat is gebeurd in 2019: de ondergrens is vijf jaar, gerekend vanaf het moment dat de logregel is geschreven. NEN 7513 zelf koppelt de termijn aan het dossier waarop de logging betrekking heeft, met de bewaartermijn van dat dossier als bovengrens. Omdat een medisch dossier onder de WGBO twintig jaar bewaard wordt, kiezen veel zorgaanbieders ervoor de logging even lang beschikbaar te houden.
Praktisch betekent dat twee dingen. Je legt de gekozen termijn vast in je logbeleid, want de norm verwacht een expliciete keuze en geen stilzwijgende standaardinstelling. En je controleert wat er met de logging gebeurt bij een systeemwissel: bij een overstap verhuizen dossiers meestal wel en logbestanden vaak niet, terwijl de bewaarplicht gewoon doorloopt. Zie ook Overstappen van EPD zonder dataverlies.
Sinds 1 juli 2020 geeft de Wabvpz de patiënt recht op kosteloze elektronische inzage in en een afschrift van het dossier (artikel 15d). Artikel 15e voegt daaraan toe dat de patiënt desgevraagd een overzicht krijgt van wie bepaalde informatie beschikbaar heeft gesteld, op welke datum, en wie informatie heeft ingezien of opgevraagd. Het logbestand is daarmee geen intern beheersinstrument meer, maar iets wat een patiënt kan opvragen.
Twee dingen om vooraf te regelen. Je moet de logging kunnen filteren op één patiënt en er een leesbaar overzicht van kunnen maken, dus geen ruwe technische export met sessie-id's. En je moet het overzicht kunnen duiden. Een logregel toont dat iemand toegang had, niet of die toegang mocht. Op de vraag waarom een collega vorige week in het dossier zat, is dat ze de waarneming deed een goed antwoord. Dat weten we niet is dat niet, en dat is precies het antwoord waar een klacht bij de Autoriteit Persoonsgegevens uit ontstaat.
De twee bekendste zaken op dit terrein gingen niet over ontbrekende logging. In beide gevallen was de logging er wel en keek er niemand naar.
Het HagaZiekenhuis kreeg in juli 2019 een boete van 460.000 euro, de eerste substantiële AVG-boete in Nederland. Aanleiding was het dossier van een bekende Nederlander: 197 medewerkers hadden het geopend, van wie ongeveer honderd zonder behandelrelatie. Het ziekenhuis schoot op twee punten tekort. De eigen regels schreven tweefactorauthenticatie voor toegang tot het EPD voor en dat werd niet nageleefd, en de logbestanden werden niet regelmatig gecontroleerd. Naast de boete volgde een last onder dwangsom van 100.000 euro per twee weken, tot maximaal 300.000 euro, als de beveiliging niet op tijd op orde zou zijn.
In 2021 volgde het OLVG met 440.000 euro. Het beleid van dat ziekenhuis schreef maandelijkse logcontrole voor, maar in bijna anderhalf jaar waren er twee proactieve controles uitgevoerd en acht naar aanleiding van een melding. Ook hier speelde authenticatie: binnen het eigen netwerk kon een dossier met alleen gebruikersnaam en wachtwoord open. De lijn van de Autoriteit Persoonsgegevens is in beide besluiten dezelfde. Controle op basis van klachten of een enkele steekproef is onvoldoende; er wordt structurele, proactieve controle verwacht die je kunt aantonen.
Dat zijn ziekenhuizen met duizenden medewerkers, en de omvang van die boetes zegt weinig over een praktijk met vier mensen. De norm die eruit spreekt wel: logging die niemand leest, telt niet als maatregel. In een kleine praktijk is de kans op onbevoegde inzage bovendien niet kleiner, alleen anders van aard. Een medewerker die het dossier van een buurvrouw opent, van een collega, of van de ex-partner die toevallig patiënt is: dat komt in kleine organisaties even goed voor, en daar kent iedereen elkaar.
Voor een praktijk zonder security-afdeling is er een werkbare minimumvariant. Die kost een uur per kwartaal en een pagina beleid.
Blijkt uit een controle dat er onbevoegd is gekeken, dan is dat een datalek en start de meldroutine. Wat dat concreet betekent, staat in Datalek in je praktijk: de eerste 72 uur.
Vraag drie en vier zijn het meest onderscheidend. Logging die de beheerder kan aanpassen is als bewijsmiddel weinig waard, en een leverancier die de bewaartermijn niet paraat heeft, heeft er waarschijnlijk geen beleid op. Deze vragen horen thuis in hetzelfde gesprek als de afspraken uit De verwerkersovereenkomst: wat erin moet en waar je op let.
Open je EPD en zoek de logfunctie op. Kun je die in vijf minuten vinden en er een overzicht per patiënt uit halen, dan is de techniek in orde en resteert het beleidsstuk. Kun je dat niet, dan is dat je eerste vraag aan je leverancier en meteen het antwoord op de vraag hoe je praktijk ervoor staat. Het verschil tussen een praktijk die dit op orde heeft en een die het niet heeft, is meestal niet het systeem, maar of iemand er ooit naar gekeken heeft.