Lekkere autoriteit is dat. Je krijgt dan steeds meer mensen die wat hebben maar niet meer naar de dokter gaan. Want die denken, straks liggen alle foto's van me naad op straat. Met al die open API's. Want het was zo zielig voor de softwareboys.

Het gaat over medisch geheim en de enige die dat kan beoordelen is de dokter zelf. Of de beroepsgroep.

Voor de volksgezonheid van belang, zeker met enkel als motief open softwareontwikkelplatformen te eisen, want dan krijg je mensen die denken, ik ga niet naar de dokter, al besmet ik de hele buurt. Waaar ligt dat terugfluitfluitje!!!!!!

Wellicht dat met “openstellen” hier bedoeld wordt het openbaar maken van standaarden om met de systemen te communiceren. Dat hoeft niet te betekenen dat de gegevens op het internet vrijelijk toegankelijk zijn natuurlijk. Maarja het is het wachten op de eerste cloud ZIS die zijn bescherming niet op orde heeft.

Het is een kwestie van geduld, rustig wachten op de dag.
Dat de eerste hacker tegen de cloud api aan lult.

Zoiets maakt het een stuk makkelijker om allerlei uiterst bijzondere persoonsgegevens (zoals medisch geheim gerelateerd) in een gecentraliseerd systeem op te tuigen (EUID en soortgelijk iemand?) De reeds uitgesproken EU wens om van alles en nog wat, al je opleidingen, je gehele CV, al je verzekeringen, al je financiële verplichtingen, je zorgdossier, en noem maar op, in je "eigen" "persoonlijke" EU dossier te proppen, waarin je hele hebben en houden, in ieder geval nationaal maar wellicht EU breed, uit allerlei verschillende (zorg)systemen wordt ingezogen, om dat vervolgens (later?) weer te delen met allerlei systemen van derde partijen op een manier ver buiten je eigen gezichtsveld en invloedsmacht. Uw privé (op papier beschermd door AVG en zo meer, maar wie garandeert en bekrachtigd dat feitelijk?) is niet langer de uwe, maar ten gelde gemaakt voor onbekende anderen. De gevolgen daarvan merkt u later, geheel en al op eigen risico.

Zie bijvoorbeeld https://open.overheid.nl/documenten/88ecea33-0612-41b4-9c0c-2c6fa23ce623/file waarin geschreven staat dat men toewerkt naar EHDS ( European Health Data Space). Nee, niet voorgekauwde standaardisatie van gegevensuitwisseling zou het doel moeten zijn, maar semantisch rijke waarlijke informatie uitwisseling op welke manier dan ook. Juist diversiteit in uitwisseling versterkt ons, toch? Alsmede aanvalsoppervlakte verhogend, want verkleind het aantal te overbruggen drempels om er generaal misbruik van te maken.

Wat dat betreft benieuwd hoe ze https://wetten.overheid.nl/BWBR0023864/2023-07-01 (Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg) gaan handhaven. Zie bijvoorbeeld Artikel 15c Punt 1:

De zorgaanbieder geeft de cliënt informatie over zijn rechten bij elektronische gegevensuitwisseling, de wijze waarop hij zijn rechten kan uitoefenen en over de werking van het elektronisch uitwisselingssysteem dat voor de gegevensuitwisseling wordt gebruikt. Indien nieuwe categorieën van zorgaanbieders aansluiten bij het elektronisch uitwisselingssysteem, of de werking van het elektronisch uitwisselingssysteem anderszins substantieel wordt gewijzigd, informeert de zorgaanbieder de cliënt over deze wijziging alsmede over de mogelijkheid om de gegeven toestemming, bedoeld in artikel 15a, aan te passen of in te trekken.

Zie ook https://wetten.overheid.nl/BWBR0001854/2025-01-01/#BoekTweede_TiteldeelV_Artikel138ab en https://wetten.overheid.nl/BWBR0001854/2025-01-01/#BoekTweede_TiteldeelXVII_Artikel272 waar naar verwezen wordt in de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg.

Punt van aandacht is dat als je open standaarden afdwingt inzake gegevensuitwisseling je het aanvalsoppervlakte aanzienlijk aantrekkelijker maakt. Immers, een veelvoud aan gedecentraliseerde omgevingen met allerlei eigen API koppelingen en interne bedrijfsprocessen is een stuk moeilijker te penetreren (sowieso aanzienlijk minder aantrekkelijker qua kosten/baten versus risico/kansen voor derden die daar misbruik van willen maken) dan een nationaal of zelfs EU breed gestandaardiseerde wijze van gegevensuitwisseling alwaar er in eerste instantie meer de focus gelegd zal worden op functionaliteit en het voorkomen van bestuursrechtelijke boetes en dwangmaatregelen, dan dat er van begin af aan focus wordt gelegd op security vanaf de eerste beginselen van ontwerp. Zie bijvoorbeeld SOX, toen er opeens wel prioriteit, van hogerhand, werd gegeven aan het voorkomen van bepaalde aansprakelijkheidsrisico's.

Wat dient een zorginstelling te doen? Tegelijkertijd er alles aan doen om, in het kader van AVG en zo meer, er alles aan doen om van alles en nog wat zo dicht als mogelijk dicht te timmeren, maar tegelijkertijd alles en nog wat zo openlijk toegangbaar als mogelijk te maken?

Overigens, zolang je op de handen aan het bed blijft bezuinigen en personeelsleden daarin blijft sanctioneren (en uitkleden; werk maar voor een appel en ei, voor welhaast nop tegenover 24/7 paraatheid, met steeds minder zekerheden en beloning; een vrijwillig applaus is wat je kunt krijgen, hooguit), terwijl je hogere kaderleden blijft plezieren in hun holle papieren werkelijkheid retoriek wensdromen, dan werk je feitelijk mee aan de verdere uitholling van effectieve zorgverlening. Een wettelijke overheidstaak en grondwettelijke verplichting jegens de bevolking. Nog meer rompslomp ("red tape") is niet de oplossing maar de ondergang van wat ooit welhaast vanzelf ging, met weinig opsmuk.

Dat is wat belastinggeld van vele anderen verbrand, leidend tot effectief steeds meer negatief resultaat, onrealistisch wensdenken van bepaalde personages met teveel invloed, verspeend van verantwoordelijkheidsgevoel waar ze persoonlijk daadwerkelijk verregaand op afgerekend zouden dienen te worden, toe kan leiden.

Nee maar .

De wetmatigheid dat mensen hier standaard posten om "tegen" te zijn gaat maar weer eens op.

Wat is de normale reflex van tech nerds ?

Open Source
Open standaard.
Open formaten.
Geen vendor lock-in.
Publieke gedocumenteerde APIs.
Obscurity geeft geen security .

(en secundair : overheid moet open source stimuleren)

En waar gaan de eerste posters tegen ageren :
Al dat soort wensen - omdat de woorden "zorg" en "de minister wil" voorkomen.
Dan is blijkbaar een gesloten systeem, vendor lock-in , en de bijbehorende obscurity opeens erg nuttig voor "privacy".

Lekker bezig boys.

De ACM in dienst van Ursula von der Leyen aka de Europese Commissie.
Overigens, helemaal eens met @Anoniem 28-1-2025, 20.19 uur.
Al die (huis)artsen die zich, onwetend over gedecentraliseerde mogelijkheden van data-uitwisseling, bekloegen en om die reden de uitrol van de EHDS hebben ondersteund zijn allemaal in de duivelse val van de EU getrapt.
Mogen zij het schaamrood op hun kaken krijgen wanneer eenmaal tot hen is doorgedrongen dat ze het medisch beroepsgeheim hebben vernietigd.

Openstellen is iets anders dan onbeperkte toegang verlenen. Gaat er natuurlijk om dat informatie, wanneer die moet worden ontsloten, op een gestandaardiseerde wijze kan worden uitgewisseld volgens de geldende protocollen. Daar zitten de waarvorgen in dat enkel informatie kan worden uitgewisseld waartoe toestemming is verleend.

Wanneer je eenvoudig stelt dat "ze" zicht wel niet aan die waarborgen zullen houden, dan dan je er op voorhand vanuit dat de API's die hiervoor ontwikkeld gaan worden niet correct zullen worden geimplementeerd. Het idee is denk ik dat je juist afspraken maakt met alle partijen om deze uitwisseling op dezelfde wijze te laten verlopen zodat je voorkomt dat ieder een eigen (gesloten) implementatie heeft met alle gebreken die daarbij kunnen komen kijken.

Het BRP is zo’n systeem: zodra een bedrijf goedkeuring krijgt (en het aanvragen daarvan is niet lastig), kan eenieder binnen dat bedrijf de gegevens opvragen. Hier vinden verder geen registraties plaats, behalve dat bedrijf A gegevens van een persoon opvraagt. Bescherming bij de voordeur wel, maar de toegang nadien is te cringe voor woorden.

Dit gaat niet over ongebreideld gegevens delen. Het gaat erom dat de Chipsofts van deze wereld hun systemen dicht timmeren waardoor een MRI-scanner van een ander bedrijf niet kan koppelen met het zorg-informatiesysteem van het ziekenhuis, omdat de fabrikant dat niet ondersteunt of alleen via een dure uitbreiding.
Hierdoor lopen de zorgkosten alleen maar op. Door open API's af te dwingen kan de uitwisseling tussen verschillende merken en systemen goedkoper en beter verlopen.

Ben het grotendeels met je eens, maar niet met dit:

De enige persoon die over je medisch geheim mag oordelen ben jezelf! JIJ bent de eigenaar van jou eigen medische gegevens, en niemand anders!

Dat jij zorgprofessionals zoals een huisarts, dermatoloog, oncoloog enz. inschakelt voor je gezondheid, en daarbj (een deel van) je medische gegevens deelt is heel normaal.

Dat die zorgprofessional dan vervolgens die gegevens deelt met wie dan ook die niets met jou zorgtraject te maken heeft is NIET normaal, en al helemaal als die zorgprofessional VERPLICHT wordt om je gegevens te delen zonder dit met jou te overleggen.

Goed idee.
Want wat een chaos van systemen is het nu in Nederland. Er zijn 1001 mini-oplossinkjes voor uitwisseling van en toegang tot (gezondheids)gegevens. En zodra iemand oppert om dit te standardiseren, dan komt een leger reageerders met "Nee! Big Brother!". Het is vermoeiend, want zorgen dat belangrijke informatie uitgewisseld kan worden wanneer iemand toestemming geeft (of bij een andere wettelijke grondslag) is niet hetzelfde als 'alles wordt op straat gegooid' of 'de regering/big-tech/XYZ ziet alles'.

En wie denkt dat al die 1001 systeempjes van nu veilig zijn? Droom verder, we lopen nu veel meer risico dan met een doordacht en gestandardiseerd systeem wat beter te beheersen is qua toegangsbeheer en andere (beveiligings)maatregelen.

Daarnaast denk ik dat er dan ook tijd vrij komt voor zorgverleners om aan zorg te besteden i.p.v. gebruik van de spaghetti aan systemen bij verschillende zorgverleners.

Ik dacht precies hetzelfde. Geheime API's zijn niet veiliger en daarnaast hindert het uitwisselbaarheid wanneer een patient van zorgaanbieder wisselt. Reken op hakken in het zand fase bij het vaststellen van een API die interoperabiliteit moet garanderen.

Dat is dus geen Autoriteit Consument en Markt(ACM) , maar een Lobby Big Tech&Pharma en Markt (LBTPHM).

Op deze manier wordt er geprobeerd om het individuele zorgverleners straks onmogelijk te maken om ICT aan te schaffen die het medisch beroepsgeheim echt respecteert. Want die ICT mag van ACM straks niet meer verkocht worden, alles moet "koppelbaar" zijn. Op die schaal kunnen kleine spelers die respect hebben voor privacy, niet meer meedoen.

En als de eerste stap eenmaal gezet is - een ministerie dat zich gaat bemoeien met het ontwerp van ICT-systemen, dan zet dat de deur open voor verdere regels die medische privacy technisch zg. "onmogelijk" gaan maken, listig verstopt in de diepere lagen van de ICT.

ACM pleit hier dus voor monopolisering van de markt voor ICT in de zorg, en wel monopolisering door datagraaiers. Dat is het omgekeerde van het opkomen voor het consumentenbelang.

Zo zie je maar weer wat een wassen neus die "autoriteiten" zijn die worden opgetuigd. Alsof het woord "autoriteit" in de naam genoeg zou zijn om gezag en vertrouwen af te dwingen. Terwijl de burger/patiënt/consument door die "autoriteiten" aan de haaien wordt verkocht.

M.J.

[Dat weet domrechts ook wel en die is hier goed vertegenwoordigd. Open source, open standaard, vendorlock etc. Of te wel een vrije omgeving, dat ziet men als linkse hobby en daar moet tegen gestemd worden.

Nee de ACM stelt dat de zorg last heeft van een vendor lock-in. Overgaan naar een andere leverancier is hierdoor onbetaalbaar maar de huidige ook voor aanpassingen. Dus open standaarden verplichten en als er overheidsgeld in wordt gestopt open source ook, om voort te kunnen bouwen wat al beschikbaar is.

Het nieuwe normaal.
Een initiatief als dit is blijkbaar een ongelovelijke utopie.

Er is een prima alternatief voor het slechte plan van ACM


Het reële probleem van vendor lock-ins kan worden tegengegaan door eerst weer terug te gaan naar de basis, namelijk respect voor en consequente handhaving van het medisch beroepsgeheim. Voor elke patiënt. Dus dat patiënten hun gegevens alleen hoeven te delen op basis van vrijwilligheid, met hun eigen behandelend artsen. Begin dus met daarop echt te handhaven. Je zult zien dat een heleboel firma's die nu aan vendor-lock-in doen, dan al snel afvallen, omdat hun verdienmodel gebaseerd is op het aantasten van de medische privacy.

Als die privacy dan in de praktijk goed gereregeld is en ook echt gerealiseerd, kun je vervolgens kijken hoe je, met behoud van het medisch beroepsgeheim, efficiënte informatie-overdracht en een gelijk speelveld voor ICT-aanbieders kunt stimuleren (d.w.z. niet afdwingen ten koste van de privacy van patiënten, maar aantrekkelijk maken).

Dit kan bijvoorbeeld door als overheid één of meer faciliteiten aan te bieden voor het efficiënt delen van medische informatie, met behoud van privacy. Het gaat dan dus om aanbieden, niet afdwingen. Als zo'n faciliteit werkelijk privacy-vriendelijk is en vertrouwen wekt bij patiënten, kunnen patiënten zelf, uit vrije wil, instemmen met het transporteren of toegankelijk maken van specifieke medische gegevens voor specifieke behandelende zorgverleners via zo'n faciliteit. Die toestemming kan de patiënt dan ook te allen tijde weer intrekken.

Je bouwt op die manier een mechanisme in waardoor er voor zowel artsen als ICT-bouwers en -aanbieders een incentive ontstaat om het echt privacy-vriendelijk te maken. Immers, alleen zo kunnen ze het vertrouwen van patiënten op de wat langere duur winnen en behouden. Omdat die patiënten de macht houden om "nee" te blijven zeggen.

Er ontstaat op die manier een VRIJE MARKT MET BEHOUD VAN MEDISCHE PRIVACY. Dat is waar ACM voor zou moeten staan.

Die weg valt prima te begaan, Sterker nog, die weg had al vijftien jaar geleden ingeslagen kunnen worden. De reden dat men dat niet deed, was omdat men zich meester wilde maken van de medische data van patiënten, zonder hun instemming.

Deze deels al succesvolle poging tot roof heeft tijd en geld gekost, ja. Maar dat is geen reden om ons als patiënten daardoor nu te laten chanteren. Er is geen voldongen feit.

Dus de ACM zou in haar denken het patiëntbelang alsnog centraal moeten stellen en dan met een heel andere oproep moeten komen. Het is dan geen schande om te erkennen dat er voortschrijdend inzicht heeft plaatsgevonden. Van mijn kant zou ik zo'n heroverweging in ieder geval heel respectabel vinden en verwelkomen.

M.J.

Wat een onzin weer.

Het verdienmodel van ziekenhuis-informatie systeemverkopers is gewoon die software (en consultancy om het te laten werken) verkopen.
Dat spul is _stervensduur_ . Categorie "ERP systeem" (zoals SAP e.a.) .

En wat doe je met klanten die je eenmaal hebt : maximaal uitmelken. Nieuwe versie, nieuwe feature - blanco cheque .Want ze moeten wel.

En waarom wil je (als vendor) lock-in : omdat de klant dan helemaal niet zegt "donder maar op, ik ga wel naar de concurrent" . Want dat is een waanzinnig dure / complexe / riskante migratie.

Kunnen de. mensen wiens "overstap" ervaring beperkt is "ik ben eens van Windows naar Mac" en "Ik ben eens van kpn naar ziggo gegaan" eens ophouden met Dunning-Krugeren over 'lock-in' .

[..[

Echt te dom voor woorden, deze combinatie van opening gevolgd door dit.

Je hebt niet eens _door_ dat het "efficient delen van informatie" als noodzakelijke randvoorwaarde heeft dat het dataformaat/API open/platform is en waar je eerst tegenaan ageert.
Precies waar de ACM de zorgen over heeft.

Echt , geen ENKEL BENUL waar je over praat.

De OWASP heeft een NHI rapport bekend gemaakt. Zeg maar, heel simpel gezegd, waar je als API en standaardisatie instituut minimaal aan dient te denken. Maar ga gerust verder met het verplicht doorduwen van allerlei "vermeende" industrie standaarden waar menig hacker, op termijn, dankbaar misbreuk van zal gaan maken. Wanneer het besef doordringt dat je op een zijspoor werd gezet zal op termijn blijken uit inbreuken. De uiteindelijke praktijk is realistischer dan het veronderstelde op management perspectief.

https://owasp.org/www-project-non-human-identities-top-10/

Je zal maar iets meer verstand hebben van waarlijke bedreigende en risicovolle situaties om van bovenstaande werkelijk kaas te maken. Maar laat het aan "regulators" over om dit te "downplayen", en dan kun jij je daarachter verstoppen, toch?

Tot het een actueel issue wordt, dan mag je gelijk en onmiddellijk aan de bal, om deze "onvoorziene issues" gelijk te beslechten, want opeens faal jij dan. Liefst binnen 5 minuten, want jij bent schuldig aan deze inbreuk, niet je leidinggevende die dit al maanden eerder hadden kunnen beslechten.

Waarom werk je nog voor dit soort 'leiders'? Je CV gaat er echt niet beter op worden daardoor. En dat gaat mega impact hebben op wat je kunt verdienen in de toekomst. En derhalve wat jij en jouwen van kunnen genieten, qua inkomsten, in de toekomst.

@Anoniem op 29-01-2025 om 20:17 uur.

Je roept "onzin" en dat ik "geen ENKEL BENUL" heb van waar ik over praat. Ik denk dat jij nog niet snapt wat ik bedoel. Ik heb op zichzelf niets tegen een bepaalde vorm van standaardisering en uitwisselbaarheid van informatie. Maar de weg daarnaartoe is heel belangrijk voor wat er met de medische privacy van patiënten gebeurt, dat wil zeggen: hoe het voor de patiënten uitpakt.

De weg ernaartoe kan de macht van datagraaiers versterken en artsen daarin meesleuren. Of de weg ernaartoe kan de macht van patiënten over hun eigen medische gegevens versterken en artsen daarin meenemen, zodat "de techniek" gedwongen wordt om dat te volgen bij het aandragen en implementeren van technische oplossingen. Dat laatste zou fijn zijn voor artsen, want die hoeven dan geen pijnlijke keuze te maken tussen enerzijds trouw zijn aan hun medische ethiek of anderzijds gehoorzaam zijn aan een technisch systeem, maar daarmee hun ziel als arts verkopen. Als patiënten de regie terugkrijgen, kunnen artsen alsnog weer met een schoon geweten gebruik maken van technische voorzieningen.

-- Vergelijking tussen de ontwikkeling van geld-economieën en die van data-economieën --
Vergelijk het eens met de manier waarop de "vrije-markt-economieën" van inmiddels welvarende landen tot stand zijn gekomen. Verreweg de meeste, inmiddels welvarende landen hebben niet meteen de adviezen van de IMF over het liberaliseren van hun markten en het openen van hun grenzen gevolgd. Bijna al die landen (bijvoorbeeld Frankrijk, Engeland, maar ook Japan, Taiwan, Zuid-Korea en ook China) hebben eerst aan veel staatsinterventie en protectionisme gedaan om hun eigen industrie te beschermen, zodat ze die konden opbouwen. Pas op het moment dat hun eigen industrie sterk genoeg was om op bepaalde gebieden te domineren en op andere gebieden in ieder geval stand te houden in de internationale concurrentie, openden ze voorzichtig en geleidelijk hun eigen grenzen.

Landen die deze eigen regie op cruciale momenten niet pakten, of die daarvoor de kans niet kregen, stonden er daarna economisch vaak veel slechter voor (bijv. Argentinië, bepaalde Afrikaanse landen). Uiteraard is dit een simpele weergave, er is vaak sprake van een complexe combinatie van factoren. Elk land is uniek, en ook de situatie en de ontwikkeling van elk land.

Als het gaat om medische privacy en medische data-uitwisseling, kun je individuele personen vergelijken met landen. Om tot een goede "medische data-economie" te komen, moet je als persoon eerst je eigen data-economie kunnen beschermen, door er voldoende regie over te houden. Vervolgens kun je dan op zo'n manier je "grenzen" openen dat je je eigen data-economie niet laat koloniseren door externe organisaties en hun technische systemen, maar je eigen medische data-soevereiniteit of althans data-regie behoudt.

-- Dekolonisatie van de privésfeer is nodig waar het gaat om medische privacy --
Omdat de data-economie van individuele mensen inmiddels al vergaand is gekoloniseerd, is er in verreweg de meeste gevallen hulp van de overheid nodig om mensen weer medisch-data-soeverein te maken. Die benodigde hulp is dan in de vorm van privacy-bescherming en bescherming van het medische beroepsgeheim. Dat is het omgekeerde van wat de overheid op dit moment doet, en ook het omgekeerde van wat de ACM op dit moment adviseert. De overheid en ACM richten zich op dit moment alleen op "data-beschikbaarheid" en niet op "patiënten-zelfregie". Op die manier werken ze toe naar een kolonisatie van de privésfeer van elke medische patiënt.

-- Niet plat-technisch denken, maar denken aan een veelzijdige ontwikkeling in de tijd --
Jij kijkt heel plat - je denkt "technisch systeem A" of "technisch systeem B", wat is het beste voor het efficiënt delen van informatie. Over medische privacy zeg je niet eens iets. Die vind je kennelijk volstrekt onbelangrijk. Maar dat zeg je ook weer niet hardop. Op die manier doe jij in essentie hetzelfde als ACM.

Ik denk aan wat er nodig is om in de eerste plaats de medische zelfbeschikking en dus de medische privacy van mensen te beschermen, en om vervolgens tot een efficiëntere data-uitwisseling te komen waarbij die medische privacy nog steeds beschermd blijft. Dat is een proces, geen eenmalige keuze. Het is een proces van
-- individuele bewustwording (psychologisch) van heel veel mensen,
-- collectieve bewustwording (sociaal) van nationale en lokale gemeenschappen,
-- politieke meningsvorming en besluitvorming,
-- juridische implementatie daarvan (wet- en regelgeving); en ja, daarbij ook nog
-- technische implementatie die gestuurd wordt door de eerder genoemde sociaal-psychologisch-politieke bewustwording en de daaruit voortgekomen juridische implementatie.

Kortom, ik pleit ervoor dat mensen weer het heft in eigen handen nemen, en daarbij de medische ethiek voorop stellen, en techniek op die manier weer onderschikt en dienend maken aan ethiek.

Ik heb niets tegen een mes als technisch voorwerp. Maar ik wil dat het mes niet gebruikt wordt om een moord te plegen, maar wel om aardappeltjes te schillen en worteltjes te snijden voor een lekker soepje.

Snap je nu een beetje beter wat ik bedoel?

M.J.