MedMij LSP-koppelpunt biedt veilige toegang tot persoonlijke zorgdata

De zorg is bezig met een grote digitale transitie. Hierbij moet het gemakkelijker worden om als burger elektronisch toegang te krijgen tot de eigen zorggegevens. Het ministerie van VWS stimuleert dit door verschillende hulp en subsidieprogramma's. Het MedMij afsprakenstelsel legt hierbij de wijze vast waarop burgers veilig toegang kunnen krijgen tot hun zorgdata.

Voor het eerst in Nederland is er nu een koppelpunt gemaakt dat verschillende PGO’s (Persoonlijke Gezondheidsomgevingen) koppelt aan diverse Zorgverleners. Het MedMij koppelpunt (LSP+ genoemd) verbindt de PGO’s via het LSP (Landelijk Schakelpunt) met achterliggende zorgsystemen. Hierbij is in één keer toegang tot 3000 zorgverleners gecreëerd. In opdracht van VZVZ, die verantwoordelijk is voor het LSP, heeft ITvisors dit koppelpunt gerealiseerd. Het als LSP+ aangeduide systeem voldoet aan zowel de MedMij eisen als de AORTA LSP eisen. De gecontroleerde oplevering is in volle gang.

Dankzij het door het ministerie van VWS geïnitieerde MedMij programma zijn mensen in de gelegenheid, bijvoorbeeld bij hun huisarts, gegevens uit hun zorgdossier elektronisch op te vragen en langs dezelfde weg ook bijvoorbeeld hun medicatiegegevens bij de apotheek. Privacybescherming en de beveiliging tegen ongeoorloofd gebruik van iemands identiteit zijn verankerd in wet- en regelgeving. Het afsprakenstelsel van MedMij bepaalt de spelregels voor veilige en betrouwbare data uitwisseling via de gangbare technologiestandaarden. Aan de publiekskant van het afsprakenstelsel bevindt zich de Persoonlijke Gezondheidsomgeving (PGO). De PGO bestaat uit een app op een smartphone, tablet, desktop of laptop. Een burger kan met behulp van de PGO bij achterliggende zorgsystemen data uit zijn of haar zorgdossier opvragen.

Privacyrichtlijnen
Het MedMij programma heeft diverse partijen ertoe aangezet voor de voorkant PGO’s te gaan ontwikkelen. Er bestaan inmiddels vele varianten die in gebruik en beveiliging weliswaar voldoen aan hetzelfde pakket van MedMij eisen, maar die functioneel toch kunnen verschillen. Het maken van aparte koppelingen tussen elke PGO en de uiteenlopende informatiesystemen van de diverse zorgverleners, is omslachtig. Daarnaast wil je als burger vanuit één portaal toegang krijgen tot je zorgdata die bij een aantal verschillende zorgverleners kunnen zijn opgeslagen.
Om die reden is het MedMij programma gaan samenwerken met VZVZ, Vereniging van Zorgaanbieders voor Zorgcommunicatie. VZVZ is verantwoordelijk voor het Landelijk Schakelpunt (LSP), dat zorgverleners zoals ziekenhuizen, specialisten, huisartsen en apothekers al veel langer op een veilige manier informatie laat delen. Zorg informatie van meer dan 12 miljoen Nederlanders, die daarvoor toestemming hebben gegeven, wordt via het LSP tussen zorgaanbieders uitgewisseld. Jaarlijks verwerkt het systeem ruim 500 miljoen berichten op een veilige wijze die volledig voldoet aan de privacyrichtlijnen die gelden binnen de zorg.

IRIS for Health techologie
Aansluiting van het LSP op het afsprakenstelsel van MedMij is dus een logische stap vanuit overwegingen van veiligheid en betrouwbaarheid en vermindering van complexiteit (ontsluiten van diverse PGO’s via één gestandaardiseerde koppeling). De informatieoverdracht verloopt deels via het openbare internet. Tussen dit ’onveilige’ internet en het hermetisch afgesloten LSP (geen openbaar internet) ligt een bufferzone, ingericht en bewaakt onder regie van VZVZ.
De vereniging heeft voor plaatsing in de bufferzone een MedMij LSP-koppelpunt laten maken door de Utrechtse IT-dienstverlener ITvisors. Als specialist van Intersystems hebben zij op basis van de ’IRIS for Health techologie’ van InterSystems een omgeving ontwikkeld met een autorisatie-server en een resource-server en koppelt deze aan het LSP.

Bij het MedMij LSP+ koppelpunt wordt omwille van de traceerbaarheid, alleen data gelogd over wie wanneer een aanvraag om informatie bij welke zorgverlener heeft ingediend en wanneer die informatie is geleverd. De inhoud van de geleverde zorginformatie zelf wordt echter niet opgeslagen. VZVZ is de derde partij die is gecertificeerd als Dienstverlener Zorgaanbieder (DZVA) en daarmee volledig voldoet aan de eisen van het MedMij afsprakenstelsel. ITvisors heeft geheel volgens deze richtlijnen, onder regie van VZVZ, het MedMij LSP-koppelpunt ontwikkeld. Verder is de oplossing volledig gebaseerd op de door Nictiz gekwalificeerde datasets voor zorggegevens uitwisseling (zoals medicatiegegevens, huisartsengegevens enzovoort).

Hoe werkt het PGO-LSP koppelpunt?
Vanuit een beveiligde verbinding komt een PGO-aanvraag voor informatie op de autorisatieserver. Aan de hand van een ‘white list’ wordt nagegaan of de PGO goedgekeurd is door MedMij. Daarna wordt met behulp van de DigiD-toets van Logius de identiteit van de aanvrager en authenticiteit van de aanvraag vastgesteld. Vervolgens gaat de aanvraag naar de resource server die aan de hand van een zorgadressenlijst de betreffende zorgverlener alloceert. Het PGO-bericht wordt omgezet naar een informatieaanvraag via het LSP. Volgens een beproefd proces via een veilige infrastructuur gaan data geautoriseerd van het IT-systemen van de op het LSP aangesloten zorgverlener naar de PGO van de aanvrager/patiënt.