Medicatieoverzicht huisarts en privacy

[RemcoDelft]

Ik kwam er gisteren achter dat mijn huisarts via praktijkinfo.nl een "Patiëntenomgeving" aanbiedt, o.a. om herhalingsrecepten aan te vragen. Om hier toegang te krijgen moet je je aanmelden, maar er vindt geen enkele controle plaats of degene die zich aanmeldt wel de patient zelf is!
Ik schrik er best wel van hoe makkelijk er met medische privacygegevens wordt omgesprongen. Er wordt gevraagd naar een emailadres (=overal aan te maken), naam, adres en geboortedatum. Dit zijn gegevens die publiekelijk bekend zijn, heel veel mensen weten het, en ieder ander kan het wel vinden op internet.
Op deze manier zou bijvoorbeeld een werkgever eenvoudig medicatiegegevens van een werkgever kunnen inzien.

Sinds 2 jaar ben ik me aanzienlijk meer bewust van privacy als het om medische zaken gaat. Ik zou op z'n minst verwachten dat een account persoonlijk bevestigd moet worden (wat natuurlijk meer werk is voor de arts). Of de huisarts zou een login via DigiD moeten implementeren, dat is de officiele door de overheid ingestelde methode voor dergelijke zaken.
Overdrijf ik? Hoe denken jullie hier over?

Edit: uit de privacyverklaring:

Onze praktijk respecteert de privacy van alle patiënten en gebruikers van haar website en draagt er zorg voor dat de persoonlijke informatie die u ons verschaft vertrouwelijk wordt behandeld.

[ Voor 9% gewijzigd door RemcoDelft op 28-05-2015 08:56 ]

[MrSleeves]

Snap je punt wel. Het zou beter zijn als je bij de huisarts zelf aanmeld ofzo. NAW + geboortedatum is een beetje mager.
DigiD is ook niet heilig en waarschijnlijk te duur om te implementeren (door praktijkinfo.nl).

[Aikon]

Voor mij beeldvorming: de huisarts meldt zich daar aan, en stelt dit platform open voor zijn of haar patiënten. Vervolgens kan de patiënt zich aanmelden via een openbare aanmeldpagina (die zie ik zo snel niet) of via een specifieke link die men heeft gekregen van de huisarts?

Is het niet zo dat de huisarts alle patiënten al standaard erin zet en je je dus niet met willekeurige persoonsgegevens kan aanmelden?

[RemcoDelft]

Aikon schreef op donderdag 28 mei 2015 @ 09:20:
Voor mij beeldvorming: de huisarts meldt zich daar aan, en stelt dit platform open voor zijn of haar patiënten. Vervolgens kan de patiënt zich aanmelden via een openbare aanmeldpagina (die zie ik zo snel niet) of via een specifieke link die men heeft gekregen van de huisarts?

Als ik mijn huisarts Google kom ik hierop uit. Een speciale persoonlijke aanmeldlink zou het inderdaad ook oplossen.

Is het niet zo dat de huisarts alle patiënten al standaard erin zet en je je dus niet met willekeurige persoonsgegevens kan aanmelden?

Ik snap niet helemaal wat je bedoelt... Als ik me aanmeld als Pietje Puk met een willekeurig adres dan zal daar geen privacyprobleem optreden, omdat Pietje Puk op dat adres niet bestaat.

[Aikon]

RemcoDelft schreef op donderdag 28 mei 2015 @ 09:22:
Ik snap niet helemaal wat je bedoelt... Als ik me aanmeld als Pietje Puk met een willekeurig adres dan zal daar geen privacyprobleem optreden, omdat Pietje Puk op dat adres niet bestaat.

Ik bedoelde dat je je dan dus alleen met het selecte groepje patiënten van die huisarts kan aanmelden, maar idd, van alle andere personen zijn bij die huisarts toch al geen gegevens bekend dus dat maakt niet uit.


Toch zo'n aanmeldpagina gevonden:
https://huisartsoverassel...egister&articleid=186914#

Lijkt me dat inderdaad iedereen zich kan aanmelden en dat dit absoluut niet afdoende is. Ik zou hier melding van maken bij PrivacyFirst of Bits of Freedom oid.

[RemcoDelft]

Aikon schreef op donderdag 28 mei 2015 @ 09:26:
Ik bedoelde dat je je dan dus alleen met het selecte groepje patiënten van die huisarts kan aanmelden, maar idd, van alle andere personen zijn bij die huisarts toch al geen gegevens bekend dus dat maakt niet uit.

Klopt. En het is nou niet bepaald geheim wie je huisarts is... Bij elke medische afspraak wordt het gevraagd, en je werkgever zal dat ook best kunnen weten. Of familieleden die nieuwsgierig zijn naar wat je slikt.

Lijkt me dat inderdaad iedereen zich kan aanmelden en dat dit absoluut niet afdoende is. Ik zou hier melding van maken bij PrivacyFirst of Bits of Freedom oid.

Dat zijn belangenorganisaties toch, geen overheidsinstanties?

[ Voor 18% gewijzigd door RemcoDelft op 28-05-2015 09:29 ]

[Daniel36]

Ik zou eerst kontakt opnemen met de huisarts.

[MrSleeves]

Aikon schreef op donderdag 28 mei 2015 @ 09:26:
[...]

Ik bedoelde dat je je dan dus alleen met het selecte groepje patiënten van die huisarts kan aanmelden, maar idd, van alle andere personen zijn bij die huisarts toch al geen gegevens bekend dus dat maakt niet uit.

Toch zo'n aanmeldpagina gevonden:
https://huisartsoverassel...egister&articleid=186914#

Lijkt me dat inderdaad iedereen zich kan aanmelden en dat dit absoluut niet afdoende is. Ik zou hier melding van maken bij PrivacyFirst of Bits of Freedom oid.

Je zou het bij die huisarts eigenlijk moeten proberen met één van de medewerkers.

[RemcoDelft]

Daniel36 schreef op donderdag 28 mei 2015 @ 09:33:
Ik zou eerst kontakt opnemen met de huisarts.

Dat zou het voor mijzelf wellicht kunnen oplossen, maar het probleem is groter doordat "praktijkinfo.nl" zich op deze manier verkoopt aan heel veel huisartsen.
Volgens whois zijn ze geregistreerd in Luxembourg!

[Rukapul]

Alleen de registrar is uit Luxemburg.

In de eerste stap is een formele melding naar huisarts en praktijkinfo.nl best. Bij onafdoende antwoord in een paar weken stuur je het naar het CBP en eventueel de lokale krant.

Heb je het wel uitgeprobeerd? Er kan na aanmelding nog een handmatige activatiestap zitten bv doordat de huisarts opbelt of een brief stuurt.

[ Voor 24% gewijzigd door Rukapul op 28-05-2015 09:47 ]

[Anoniem: 63975]

MrSleeves schreef op donderdag 28 mei 2015 @ 09:33:
[...]

Je zou het bij die huisarts eigenlijk moeten proberen met één van de medewerkers.

Goed idee te adviseren tot identiteitsfraude.

[MrSleeves]

Anoniem: 63975 schreef op donderdag 28 mei 2015 @ 09:48:
[...]

Goed idee te adviseren tot identiteitsfraude.

Dat is een ethische hack. Zeker als de huisarts in kwestie de terechte bezorgheid van de TS te zijde schuift. Wat is erger? Iedereen die in theorie bij ieders privacy gevoelige informatie kan, of de identiteitsfraude om dat aan te tonen.

[Aikon]

RemcoDelft schreef op donderdag 28 mei 2015 @ 09:29:
[...]

Dat zijn belangenorganisaties toch, geen overheidsinstanties?

Klopt ja, is dat een bezwaar? Als ze het serieus genoeg achten, wat me wel lijkt, pakken zij het verder op stel ik me zo voor.

Maar inderdaad, eerst even bij praktijkinfo informeren is wel beter natuurlijk.

[RemcoDelft]

MrSleeves schreef op donderdag 28 mei 2015 @ 09:54:
Dat is een ethische hack. Zeker als de huisarts in kwestie de terechte bezorgheid van de TS te zijde schuift. Wat is erger? Iedereen die in theorie bij ieders privacy gevoelige informatie kan, of de identiteitsfraude om dat aan te tonen.

Het verschil is dat IK geen identiteitsfraude ga plegen. Voor mijn consequenties is het erger als ik strafbaar ben. Ik heb al wel bedacht een vriendin toestemming te vragen om dit met haar gegevens uit te proberen.

Voor nu gaat deze mail de deur uit naar praktijkinfo:

Mijn huisarts biedt via uw website praktijkinfo.nl de mogelijkheid om herhalingsrecepten aan te vragen. Heel handig, maar naar mijn mening is de beveiliging absoluut niet afdoende.
Iedereen die mijn naam, geboortedatum en adres weet kan zich op mijn naam aanmelden, en op deze manier inzage krijgen in mijn medicatie.
De gevraagde gegevens voor aanmelding zijn bij heel veel mensen bekend, zo kan bijvoorbeeld een werkgever inzage krijgen in medische gegevens van een personeelslid. Naar mijn mening zou een persoonlijk bezoek aan de huisarts onderdeel van het aanmeldproces moeten zijn, of als het helemaal digitaal moet zou de aanmelding via DigiD moeten verlopen.

Ik hoor graag uw reactie hierover, voordat ik melding maak bij andere instanties (momenteel in overweging: privacywaakhond CBP, PrivacyFirst en Bits of Freedom.

[anandus]

MrSleeves schreef op donderdag 28 mei 2015 @ 09:54:
[...]

Dat is een ethische hack.

offtopic:
... Of je kan het zoals gezegd eerst melden bij huisarts en praktijkinfo.nl?
Als je eerst een 'ethische hack' pleegt voordat je het überhaupt meldt, dan vraag ik me af of het dan nog wel zo ethisch is

[Anoniem: 674354]

Bij mijn huisarts staat precies hetzelfde. Echter krijg ik dan netjes een mail dat ik mij persoonlijk moet identificeren bij de assistenten. Misschien is dat hier ook het geval, en is het een storm in een glas water?

[aZuL2001]

RemcoDelft schreef op donderdag 28 mei 2015 @ 09:59:
[...]
Voor nu gaat deze mail de deur uit naar praktijkinfo:
[...]

Sjonge jonge jonge.

En met zo'n toonzetting verwacht je serieus genomen te worden?

[RemcoDelft]

Anoniem: 674354 schreef op donderdag 28 mei 2015 @ 10:02:
Bij mijn huisarts staat precies hetzelfde. Echter krijg ik dan netjes een mail dat ik mij persoonlijk moet identificeren bij de assistenten. Misschien is dat hier ook het geval, en is het een storm in een glas water?

Dat hoeft dus niet, gisteren geprobeerd.

[Anoniem: 674354]

RemcoDelft schreef op donderdag 28 mei 2015 @ 10:05:
[...]

Dat hoeft dus niet, gisteren geprobeerd.

Dat is dan wel heel fout. Anders gezien, hoe zijn dan de patient gegevens gekoppeld? Achternaam + geboorte datum oid? Lijkt me inderdaad qua beveiliging nogal slecht.

[begintmeta]

RemcoDelft schreef op donderdag 28 mei 2015 @ 10:05:
[...]

Dat hoeft dus niet, gisteren geprobeerd.

Welke gegevens kon je exact inzien? Als dat ook maar iets is, voldoet de beveiliging niet aan de standaarden die je mag verwachten.

[ Voor 19% gewijzigd door begintmeta op 28-05-2015 10:11 ]

[RemcoDelft]

begintmeta schreef op donderdag 28 mei 2015 @ 10:10:
[...]

Welke gegevens kon je exact inzien? Als dat ook maar iets is, voldoet de beveiliging niet aan de standaarden die je mag verwachten.

Medicatie.

[begintmeta]

Dat is dan dus inderdaad teveel zou ik zeggen, je zou verwachten dat authenticatie van de aanmelding persoonlijk zou moeten. De KNMG heeft een tijd terug een richtlijn opgesteld voor online arts-patientcontact, dat is misschien ook wel interessant in het kader van dit topic.

[ Voor 12% gewijzigd door begintmeta op 28-05-2015 10:24 ]

[RemcoDelft]

Nou dat was snel:

De beveiliging van onze praktijkinfo websites is voldoende. Wij gaan hier niet me u over in discussie.

Nu wordt het oordeel dus aan een andere instantie. Viel te verwachten dat ze hun eigen businessmodel goedkeuren en niet "me mij" in discussie gaan.

[ Voor 6% gewijzigd door RemcoDelft op 28-05-2015 10:53 ]

[aZuL2001]

Reactie komt overeen met de wijze van vraagstelling.

[Anoniem: 674354]

Met gelijk dreigen in je mail kan je inderdaad dit soort reacties verwachten. Mensen worden niet opeens aardig als je je zo gaat gedragen

[begintmeta]

De vraagstelling had inderdaad wel wat handiger gekund, zeker de laatste zin. Maar de reactie ook... Misschien kan je nog eens respons geven waarin je wat formeler en subtieler bent en eventueel ook verwijzen naar de diverse richtlijnen (even zoeken bij KNMG, LHV, NHG, CPME etc). KNMG en LHV&NHG zijn misschien (naast het al genoemde CBP etc) ook interessante organisaties om hierover naar een mening te vragen.

Wil je uiteindelijk echt een reactie forceren kan je iemand je gegevens laten vinden (mits nog niet bekend) en daarmee informatie laten opvragen, zonder daar toestemming voor te geven. Je zou dan een (tucht)rechtszaak (tegen de huisarts) kunnen starten (ik zou dan overigens wel altijd eerst contact hierover opnemen met de huisarts), dat zal ongetwijfeld een reactie forceren, uiteindelijk ook van Bohn Stafleu van Loghum.

[ Voor 10% gewijzigd door begintmeta op 28-05-2015 11:27 ]

[Ardana]

Da's dan dom van die mensen.

Je wordt gewaarschuwd, en ipv dat je de waarschuwing serieus neemt, ga je er met gestrekt been in.

Je kan van een bezorgde patient niet verwachten dat hij dezelfde gedragsnormen cq communicatievaardigheden aan de dag legt als een bedrijf dat zou moeten kunnen doen.

M.i. laat het bedrijf zich hier kennen en ik zou idd een melding doen bij het CPB en de huisarts zelf.

Dat systeem dient binnen een paar dagen te wijzigen, en niet nog weken zo lek als een mandje te zijn.

[Anoniem: 674354]

Ardana schreef op donderdag 28 mei 2015 @ 11:24:

Je kan van een bezorgde patient niet verwachten dat hij dezelfde gedragsnormen cq communicatievaardigheden aan de dag legt als een bedrijf dat zou moeten kunnen doen.

Dus even bedenken dat er ook gewoon mensen aan de andere kant van de mail zitten die daar niks aan kunnen doen hoeft niet?
Ik heb zelf binnen wat helpdesken gewerkt (HP, Kpn enz) en als wij een mail met zo'n dreigzin kregen ging het standaard op de laagste prioriteit. Mensen die gewoon netjes mailen? Die worden gewoon goed behandeld, maar als jij het bedrijf gelijk gaat bedreigen met van alles, waarom zouden wij je dan opeens aardig moeten behandelen? Vooral omdat de mensen die hierop reageren niet het beleid bepalen en/of de aanpassingen kunnen starten.

[hexta]

aZuL2001 schreef op donderdag 28 mei 2015 @ 11:15:
Reactie komt overeen met de wijze van vraagstelling.

Als je de beveiliging van gegevens van jouw klanten en het rond gooit kan je zo'n vraagstelling verwachten, en dien je het direct op te pakken, in plaats van je als een boze berispte puber terug gedragen.

[bszz]

aZuL2001 schreef op donderdag 28 mei 2015 @ 11:15:
Reactie komt overeen met de wijze van vraagstelling.

Kan zijn maar echt geruststellend is het nog niet. Je mag verwachten dat zo'n organisatie de toon en de inhoud van de boodschap kan scheiden.

[RemcoDelft]

aZuL2001 schreef op donderdag 28 mei 2015 @ 11:15:
Reactie komt overeen met de wijze van vraagstelling.

De vraagstelling is beargumenteerd, de reactie niet.

Anoniem: 674354 schreef op donderdag 28 mei 2015 @ 11:20:
Met gelijk dreigen in je mail kan je inderdaad dit soort reacties verwachten. Mensen worden niet opeens aardig als je je zo gaat gedragen

Het is geen dreigement, het is meer een waarschuwing. Blijkbaar geven ze daar niet om.
't Was misschien niet zo subtiel, maar dat lijkt me van ondergeschikt belang t.o.v. hoe ze met persoonsgegevens omgaan.

Ardana schreef op donderdag 28 mei 2015 @ 11:24:M.i. laat het bedrijf zich hier kennen en ik zou idd een melding doen bij het CPB CBP en de huisarts zelf.

Ik heb voor nu PrivacyFirst een mailtje gestuurd, kijken wat zij zeggen.
Een "melding" bij het CBP is niet voor consumenten, een "Tip" wel. Ze geven zelf al aan geen reactie te geven op een "tip".

[ Voor 10% gewijzigd door RemcoDelft op 28-05-2015 11:30 ]

[anboni]

Mijn huisarts maakt ook gebruik van die praktijkinfo portal. Ik heb me daar ook aangemeld en een keer een herhaalrecept aangevraagd. Dat is meteen ook het enige dat ik via die portal kan bekijken, dus als ik het niet vertrouw, regel ik die herhaalrecepten gewoon telefonisch en komt er niks van in die portal. Dit klinkt een beetje als een (gezochte) storm in een glas water...

[RemcoDelft]

anboni schreef op donderdag 28 mei 2015 @ 11:29:
Mijn huisarts maakt ook gebruik van die praktijkinfo portal. Ik heb me daar ook aangemeld en een keer een herhaalrecept aangevraagd. Dat is meteen ook het enige dat ik via die portal kan bekijken, dus als ik het niet vertrouw, regel ik die herhaalrecepten gewoon telefonisch en komt er niks van in die portal. Dit klinkt een beetje als een (gezochte) storm in een glas water...

En als jij je niet aanmeldt kan je werkgever dat doen. Juist met medische gegevens moet je voorkomen dat dit mogelijk is.

[anboni]

RemcoDelft schreef op donderdag 28 mei 2015 @ 11:32:
[...]

En als jij je niet aanmeldt kan je werkgever dat doen. Juist met medische gegevens moet je voorkomen dat dit mogelijk is.

Als mijn werkgever zich in mijn plaats aanmeldt, staat er niets in die portal wat mijn werkgever niet toch al weet. De enige medicatie die erin staat, is wat ik zelf als herhaalrecept heb aangevraagd.

[begintmeta]

anboni schreef op donderdag 28 mei 2015 @ 11:34:
...
Als mijn werkgever zich in mijn plaats aanmeldt, staat er niets in die portal wat mijn werkgever niet toch al weet. De enige medicatie die erin staat, is wat ik zelf als herhaalrecept heb aangevraagd.

Waarom weet je werkgever eigenlijk al welke medicatie je eerder als herhaalrecept had gevraagd?

[aZuL2001]

Ook bij zo'n organisatie werken gewoon mensen.
Je bereikt, heel in het algemeen, meer als je gewoon vriendelijk doet.

Als ik zo'n mailtje zou ontvangen zou ik me ook afvragen wat voor boerenl*l dat verstuurd had en met welk verkeerde been die opgestaan was. En waarschijnlijk ook zo min mogelijk moeite doen om te antwoorden.

My 2 ct's.

[anboni]

begintmeta schreef op donderdag 28 mei 2015 @ 11:35:
[...]

Waarom weet je werkgever eigenlijk al welke medicatie je eerder als herhaalrecept had gevraagd?

Dat is het punt nou juist: dat weet mijn werkgever niet, en dat staat dus ook niet in die portal als ik dat niet via die portal heb aangevraagd.

[RemcoDelft]

aZuL2001 schreef op donderdag 28 mei 2015 @ 11:36:
My 2 ct's.

Je hebt je 2 cents nu al 3 keer in het topic gegooid. Je mening is duidelijk.

anboni schreef op donderdag 28 mei 2015 @ 11:37:
Dat is het punt nou juist: dat weet mijn werkgever niet, en dat staat dus ook niet in die portal als ik dat niet via die portal heb aangevraagd.

Ik kon kiezen uit meerdere soorten medicatie om te herhalen. Nooit eerder deze portal gebruikt, gewoon medicatie die de afgelopen tijd verstrekt is.

[ Voor 50% gewijzigd door RemcoDelft op 28-05-2015 11:38 ]

[hexta]

aZuL2001 schreef op donderdag 28 mei 2015 @ 10:03:
[...]

Sjonge jonge jonge.

En met zo'n toonzetting verwacht je serieus genomen te worden?

aZuL2001 schreef op donderdag 28 mei 2015 @ 11:15:
Reactie komt overeen met de wijze van vraagstelling.

aZuL2001 schreef op donderdag 28 mei 2015 @ 11:36:
Ook bij zo'n organisatie werken gewoon mensen.
Je bereikt, heel in het algemeen, meer als je gewoon vriendelijk doet.

Als ik zo'n mailtje zou ontvangen zou ik me ook afvragen wat voor boerenl*l dat verstuurd had en met welk verkeerde been die opgestaan was. En waarschijnlijk ook zo min mogelijk moeite doen om te antwoorden.

My 2 ct's.

Je gaat voor de euro?

[Aikon]

Ondanks de toon van RemcoDelft moet praktijkinfo toch iets doen met deze informatie.

Hier nog wat extra informatie:

Onderzoekje CBP, wat zich concentreert in het gebruik van SSL. Alsof je dan klaar bent, maar goed.
https://cbpweb.nl/sites/d...nline-herhaalrecepten.pdf

Richtlijn Overdracht van medicatiegegevens in de keten (2008)
http://knmg.artsennet.nl/...vens-in-de-keten-2008.htm

Hierin staat: "De patiënt heeft recht op inzage in en recht op een kopie van zijn volledige dossier en gegevens en heeft als enige het recht om anderen toestemming te geven tot inzage in, opvragen, gebruik en bijwerken van zijn dossier."

Heb het snel doorgelezen hoor, maar zoals ik het dan lees moet je toestemming hebben gegeven aan praktijkinfo voor gebruik van je gegevens.

[anboni]

RemcoDelft schreef op donderdag 28 mei 2015 @ 11:37:

Ik kon kiezen uit meerdere soorten medicatie om te herhalen. Nooit eerder deze portal gebruikt, gewoon medicatie die de afgelopen tijd verstrekt is.

Dat klinkt dan alsof het een keuze is die de huisarts moet maken. Blijkbaar heeft mijn huisarts daar dan een andere keuze in gemaakt dan de jouwe, dus misschien dat je je vragen eerst eens aan je huisarts moet richten.

[Aikon]

Mocht dat zo zijn, is dat op zich niet relevant. Als praktijkinfo een huisarts een keuze/mogelijkheid aanbiedt die wettelijk niet mag, zal praktijkinfo iets moeten veranderen in eerste instantie.

[Yukkie]

Mijn huisarts heeft ook een site bij praktijkinfo.nl. Als ik op zijn site een herhaal recept wil opvragen, moet ik mij eerst registreren. Daarbij moet ik (oa) mijn BSN opgeven, verzekeraar + nummer bij verzekeraar. Geen gegevens die zo maar iedereen weet. Vervolgens staat er dit:

Patiëntregistratie
Om u toegang te kunnen geven tot de beveiligde patientenomgeving en de online diensten op deze website, moeten wij uw identiteit eenmalig kunnen controleren.

Vul daartoe het onderstaande registratie formulier in. Dit hoeft u slechts eenmalig te doen. Na uw aanmelding worden uw gegevens door de praktijk gecontroleerd. Daarna ontvangt u per email goedkeuring danwel afkeuring van uw aanmelding. Hieronder wordt ook naar uw burgerservicenummer (BSN) gevraagd. Het BSN is een uniek persoonsnummer en heeft het sofi-nummer per 26 november 2007 vervangen. Net als uw sofinummer vroeger, vindt u uw BSN op uw paspoort, identiteitskaart en/of rijbewijs. Wij behandelen uw gegevens uiteraard strikt vertrouwelijk.

Mijn huisarts (of de assistente natuurlijk) moet mijn account aanvraag dus accorderen. Vervolgens kan ik met een eigen gekozen wachtwoord en mijn e-mail adres inloggen voor herhaalrecepten. Mijn conclusie is dat de beveiliging van praktijkinfo.nl op zich prima in elkaar zit (heb overigens niet gelet op https etc. )

Dus:
Òf ik snap je punt niet, of op de site van jouw huisarts is de authenticatie anders geïmplementeerd en moet je dus gaan klagen bij je huisartspraktijk.

Edit: Oh, er wordt zo te zien wel gebruik gemaakt van https met certificaat.

[begintmeta]

Yukkie schreef op donderdag 28 mei 2015 @ 12:34:
...
Òf ik snap je punt niet, of op de site van jouw huisarts is de authenticatie anders geïmplementeerd en moet je dus gaan klagen bij je huisartspraktijk....

Primair moet je natuurlijk inderdaad bij de huisarts zijn, maar het zou ook erg kwalijk zijn als een dienstverlener voor huisartsen (die nu eenmaal helaas niet altijd even op de hoogte zijn van IT-veiligheid en eventueel vertrouwen op hun dienstverlener) keuzes biedt die niet door de beugel kunnen, zeker als de dienstverlener daarop wordt gewezen ontstaat dan ook een medeverantwoordelijkheid voor de problematische authenticatie.

Overigens is ook bij jouw praktijk de authenticatie in mijn ogen te diffuus, het is in wezen ook maar een klein obstakel een keer persoonlijk toegang te moeten vragen/toestaan, daarnaast moet de patient natuurlijk goed worden geinformeerd over voordelen&nadelen.

[ Voor 28% gewijzigd door begintmeta op 28-05-2015 12:53 ]

[Dido]

Yukkie schreef op donderdag 28 mei 2015 @ 12:34:
Mijn huisarts heeft ook een site bij praktijkinfo.nl.

Exact hetzelfde al sbij de mijne... kan ik nu je huisarts raden?

Maar het lijkt er inderdaad op dat huisartsen een erg vrije hand hebben in de authenticatiemogelijkheden via praktijkinfo.

Dat is kwalijk omdat huisartsen niet de aangewezen personen zijn om zich met dat soort dingen bezig te houden (daar hebben we gespecialiseerde IT-ers voor!).

Als praktijkinfo.nl het dus inderdaad makkelijk maakt voor huisartsen om (onbedoeld) patientgegevens op straat te gooien omdat ze te naief met het registratie/authenticatieproces omgaan dan lijkt me dat wel degelijk de verantwoordelijkheid voor de IT-toko in het verhaal, praktijkinfo.nl dus.

[Aikon]

Yukkie schreef op donderdag 28 mei 2015 @ 12:34:
Mijn huisarts (of de assistente natuurlijk) moet mijn account aanvraag dus accorderen.

Maar dat heeft geen enkele waarde lijkt me. Ik stel me voor dat de gegevens worden gecontroleerd. Maar dat is niet het punt ('iedereen' kan juiste gegevens invullen), er moet gecontroleerd worden of de aanvrager wel is wie die is. Dat doe je óf in persoon (of bellen desnoods, das ook al iets), óf adhv bijv. DigiD waarbij je als huisarts er vanuit mag gaan dat dat wel betrouwbaar de identiteit aantoont.

[ Voor 3% gewijzigd door Aikon op 28-05-2015 13:00 ]

[Ardana]

Ik zie nu dat mijn huisarts van dezelfde service gebruik maakt. Ik heb me nooit aangemeld, kan dus ook niet inloggen om te zien wat ze van me weten.

Mijn apotheek heeft een soortgelijke service, daar heb ik een (papieren) machtiging moeten invullen én krijg ik iedere keer een code via sms voordat ik in kan loggen.

Ik ga me nog even beraden...

[Sv3n]

Voor het LSP (ook wel landelijk EPD genoemd) moet je DigiD met SMS hebben om als patient inzicht te krijgen in je gegevens. Volgens mij is username + wachtwoord nooit afdoende voor inzicht in medische gegevens, ook al wordt het account geverifieerd door de assistente.

Naast het CBP zou je ook melding kunnen doen bij de inspectie voor de gezondheidszorg want de huisarts schendt hiermee mogelijk zijn/haar medisch beroepsgeheim. De inspectie is actief op aan het letten op privacy schendingen. Zie bijv http://www.igz.nl/Images/...ketens_tcm294-314701.pdf:

De identiteit van de patiënt is in voldoende mate vastgesteld, tenzij er andere waarborgen zijn
waardoor aan relatief anonieme patiënten advies gegeven kan worden;

Bij online gegevensuitwisseling en -opslag dienen maatregelen getroffen te worden die de privacy van
de patiënt en de veiligheid en de betrouwbaarheid van de gegevensuitwisseling waarborgen. Zowel de
arts als de patiënt dienen zich te realiseren dat online communicatie vooralsnog niet volledig veilig is.
De arts dient de patiënt hierop te wijzen.61De Richtlijn adviseert de norm NEN 7510 aan te
houden.

Ik ken NEN 7510 niet helemaal uit mij hoofd , maar die is behoorlijk streng en ik denk niet dat hieraan is voldaan in dit geval.

[Yukkie]

Aikon schreef op donderdag 28 mei 2015 @ 13:00:
[...]

Maar dat heeft geen enkele waarde lijkt me. Ik stel me voor dat de gegevens worden gecontroleerd. Maar dat is niet het punt ('iedereen' kan juiste gegevens invullen), er moet gecontroleerd worden of de aanvrager wel is wie die is. Dat doe je óf in persoon (of bellen desnoods, das ook al iets), óf adhv bijv. DigiD waarbij je als huisarts er vanuit mag gaan dat dat wel betrouwbaar de identiteit aantoont.

Ah, op die fiets. Dan snap ik nu een beetje waar de schoen wringt. Dat punt haalde ik ook niet echt uit de mail die de TS naar praktijkinfo had gestuurd. Overigens moet iemand wel heel erg gericht op zoek zijn naar jouw medicatie IMHO, wil hij/zij de moeite doen om een account met jouw gegevens bij de juiste huisarts aan te maken. Plus dat de kans dan groot is dat jij zelf al een account hebt, waardoor er hopelijk ergens afgevangen wordt dat er nog een account wordt aangemaakt voor de zelfde patient.

[incaz]

Anoniem: 674354 schreef op donderdag 28 mei 2015 @ 11:27:
[...]
Ik heb zelf binnen wat helpdesken gewerkt (HP, Kpn enz) en als wij een mail met zo'n dreigzin kregen ging het standaard op de laagste prioriteit.

Dat is op zich tamelijk onprofessioneel, en vooral als dat gedaan wordt terwijl er al een probleem is. Het is heel vreemd dat een bedrijf verwacht dat een klant zelfs bij een aantoonbaar probleem eerst precies de goede toon moet hebben om te bereiken waar hij allang al recht op heeft.

(Ik vind schelden niet nodig en de toon van dit mailtje in de laatste zin ook niet handig, maar dat lijkt me absoluut geen enkele reden om de inhoud te negeren.)

[incaz]

begintmeta schreef op donderdag 28 mei 2015 @ 11:23:
KNMG en LHV&NHG zijn misschien (naast het al genoemde CBP etc) ook interessante organisaties om hierover naar een mening te vragen.

Zeker!
De LHV schrijft bv dit:

Betrouwbaarheid: de LHV en NHG hebben belangrijke invloed op de inhoud van Praktijkinfo.

https://www.lhv.nl/service/praktijkinfonl
Dus zeker goed om die ook te betrekken dan. Twitter / facebook staan erbij. En als ze niet meewerken, kun je Dimitri Tokmetzis even taggen in je twitter, die wil het vast wel weten. (Correspondent privacy en digitale veiligheid.)

[painkill]

In mijn geval gaat het om een apotheek waar ik de gegevens in wou zien en herhaalrecepten wou bestellen.
Maar ik moest mij eerst komen legitimeren bij de apotheek voordat ik iets met het account kon doen.
Inloggen gaat trouwens met digid. Dus al met al zou het eigenlijk overal zo moeten gaan. Zelfs als je alle gegevens van iemand weet moet je je dan nog steeds komen legitimeren.

[Anoniem: 674354]

incaz schreef op donderdag 28 mei 2015 @ 19:34:
[...]


Dat is op zich tamelijk onprofessioneel, en vooral als dat gedaan wordt terwijl er al een probleem is. Het is heel vreemd dat een bedrijf verwacht dat een klant zelfs bij een aantoonbaar probleem eerst precies de goede toon moet hebben om te bereiken waar hij allang al recht op heeft.

(Ik vind schelden niet nodig en de toon van dit mailtje in de laatste zin ook niet handig, maar dat lijkt me absoluut geen enkele reden om de inhoud te negeren.)

Je gaat op het einde al de fout in, we negeerden nooit. laagste prioriteit is alsnog binnen 40 minuten behandeld Als dat niet snel genoeg is voor de klant, dan gaat sneller niet het humeur verbeteren.

1e les van customer contact. Je krijgt als klant stukken meer bereikt als je gewoon netjes blijft, en je niet verlaagt tot dat soort opmerkingen. Of moet ik dreigende klanten beter helpen dan normaal gedragende klanten? Dan motiveer je het gedrag alleen maar.
Bij een van mijn vorige werkgevers was het vrij simpel. Op het moment dat de klant begon met dreigen "ik ga naar kassa, opta, radar" en dat soort zaken, werd dat netjes genoteerd, maar het was niet dat we opeens harder gingen lopen, of meer moeite gingen doen.

[Osiris]

Interessant.. Mijn huisarts heeft (uiteraard ) óók zo'n praktijkinfo-ding, maar daar wordt DigiD vereist om überhaupt iets te kunnen fixen..

Zelfs DigiD met SMS-functie, dus de 2-staps-beveiliging ervan

Ooowww, ze gebruiken voor die "Mijn <huisarts>" een aparte site: Pazio / www.mijnpazio.nl

[ Voor 36% gewijzigd door Osiris op 29-05-2015 08:39 ]

[Ardana]

Anoniem: 674354 schreef op vrijdag 29 mei 2015 @ 08:27:
Of moet ik dreigende klanten beter helpen dan normaal gedragende klanten? Dan motiveer je het gedrag alleen maar.

Je schrijft zelf dat je dreigende klanten later helpt dan niet-dreigende klanten. Dat dat alsnog snel is, doet daar niet aan af, en is alleen een rechtvaardiging van je eigen gedrag, dat imo even kinderachtig is als dat van een dreigende klant: in beide gevallen stampvoetende kleuters, cq mis/gebruik maken van je macht met enkel als doel de ander even lekker op z'n plaats te zetten.

Een klant die binnen de wet dreigt (bijv met een klacht of kassa oid), ga je niet anders behandelen dan een andere klant, niet als hij afhankelijk is van jouw service. Een klant die buiten de wet dreigt (bijv met geweld) krijgt 1 waarschuwing en daarna is hij niet meer welkom.

In dit geval heeft TS ietwat vroeg aangegeven wat de vervolgstappen kunnen worden. Is dat dreigen? Enkel als je weet dat je fout zit, en geen zin hebt er iets aan te doen.

Als je weet dat je goed zit, kun je de klant laten weten welke stappen er gezet moeten worden cq gezet zijn om zijn belangen te waarborgen. Kortaf reageren lost iig niets op.

[Anoniem: 674354]

Ardana schreef op vrijdag 29 mei 2015 @ 16:38:
[...]

Je schrijft zelf dat je dreigende klanten later helpt dan niet-dreigende klanten. Dat dat alsnog snel is, doet daar niet aan af, en is alleen een rechtvaardiging van je eigen gedrag, dat imo even kinderachtig is als dat van een dreigende klant: in beide gevallen stampvoetende kleuters, cq mis/gebruik maken van je macht met enkel als doel de ander even lekker op z'n plaats te zetten.

Een klant die binnen de wet dreigt (bijv met een klacht of kassa oid), ga je niet anders behandelen dan een andere klant, niet als hij afhankelijk is van jouw service. Een klant die buiten de wet dreigt (bijv met geweld) krijgt 1 waarschuwing en daarna is hij niet meer welkom.

In dit geval heeft TS ietwat vroeg aangegeven wat de vervolgstappen kunnen worden. Is dat dreigen? Enkel als je weet dat je fout zit, en geen zin hebt er iets aan te doen.

Als je weet dat je goed zit, kun je de klant laten weten welke stappen er gezet moeten worden cq gezet zijn om zijn belangen te waarborgen. Kortaf reageren lost iig niets op.

Dus een klant binnen 40 minuten helpen, wat ruim binnen de norm is, is stampvoetende kleuter spelen?

Weer wat geleerd Hier wordt het door sommige mensen blijkbaar heel normaal gezien om te gaan dreigen. Zo werkt het niet. De mensen die je aan de lijn hebt/mailed, hebben de mogelijkheden niet om het beleid te wijzigen. En als ze al iets doorgeven wordt er niks mee gedaan.
Dus je bereikt er precies 0 mee.

[ Voor 10% gewijzigd door Anoniem: 674354 op 29-05-2015 16:41 ]

[bszz]

Anoniem: 674354 schreef op vrijdag 29 mei 2015 @ 16:39:
[...]


Dus een klant binnen 40 minuten helpen, wat ruim binnen de norm is, is stampvoetende kleuter spelen?

Weer wat geleerd Hier wordt het door sommige mensen blijkbaar heel normaal gezien om te gaan dreigen. Zo werkt het niet. De mensen die je aan de lijn hebt/mailed, hebben de mogelijkheden niet om het beleid te wijzigen. En als ze al iets doorgeven wordt er niks mee gedaan.
Dus je bereikt er precies 0 mee.

Mensen die contact opnemen met een servicedesk doen dat omdat ze een probleem hebben. Dat dat vaak met frustratie en emotie gepaard gaat is een heel normale reactie. Dat kan zich onder meer uiten in formuleringen zoals van TS maar ook op echt onredelijke manieren. Als professioneel helpdeskmedewerker wordt je geacht daar doorheen te kijken. Sterker nog: als je op de juiste manier reageert (en dan hoef je zelfs niet eens het probleem op te lossen) kun je een gefrusteerde klant vaak weer rustig krijgen en zelfs voor je winnen. Daar kweek je in ieder geval goodwill mee en schiet je uiteindelijk veel meer mee op.

[Ardana]

Anoniem: 674354 schreef op vrijdag 29 mei 2015 @ 16:39:
Dus een klant binnen 40 minuten helpen, wat ruim binnen de norm is, is stampvoetende kleuter spelen?

Nee, maar iemand de laagste prioriteit geven omdat zijn toon jou niet aan staat wel. En vervolgens wijzen op de verplichte 40 minuten al helemaal. Is dat zo moeilijk te zien dan?

Weer wat geleerd Hier wordt het door sommige mensen blijkbaar heel normaal gezien om te gaan dreigen. Zo werkt het niet. De mensen die je aan de lijn hebt/mailed, hebben de mogelijkheden niet om het beleid te wijzigen. En als ze al iets doorgeven wordt er niks mee gedaan.
Dus je bereikt er precies 0 mee.

Je verdraait mijn woorden, precies zo het je uitkomt, om je eigen gedrag te rechtvaardigen.

Nergens zeg ik dat dreigen normaal is. Zo wel, please quote me.

Ik vertel je dat er twee soorten van dreigen zijn: binnen de wet en buiten de wet. Binnen de wet laat iemand je weten dat hij weet wat zijn of haar rechten zijn, en dat hij bereid is om van die rechten gebruik te maken. Dat is helemaal prima, en als dat op jou bedreigend overkomt, ligt dat geheel aan jou. Ja, een klacht over jou of je bedrijf is nooit leuk, maar als je weet dat je correct gehandeld hebt, niets om je door bedreigd te voelen. Een bedreiging buiten de wet, bijv. een dreigen met geweld, is wél ernstig en moet altijd consequenties hebben omdat het niet getolereerd mag worden.

Je geeft zelf aan dat dreigen met het indienen van een klacht ertoe leidt dat de mail de laagste prioriteit krijgt. Dus je straft iemand die gebruik wil maken van zijn rechten. Of zeg ik nu iets dat niet klopt?

[GlowMouse]

Zie je na het aanmelden een overzicht van historische medicatie, of kun je alleen herhaalrecepten aanvragen door in te vullen wat je nodig hebt?

[Anoniem: 172410]

anandus schreef op donderdag 28 mei 2015 @ 10:02:

offtopic:
... Of je kan het zoals gezegd eerst melden bij huisarts en praktijkinfo.nl?
Als je eerst een 'ethische hack' pleegt voordat je het überhaupt meldt, dan vraag ik me af of het dan nog wel zo ethisch is

Het lijkt me dat je eerst moet testen of wat je vermoed klopt voordat je daar melding van kunt maken, of zeg ik dan iets heel raars?

[Oyster]

Mijn huisarts maakt zelf gebruik van een statische pagina en laat de gegevensoverdracht via telefonie of schrift plaatsvinden. Wel lees ik iets over een econsult, dat mogelijk betrekking heeft op dit topic.

Alhoewel het technisch mogelijk is om authenticatie, authorisatie en transport versleuteld over de server plaats te laten vinden zou het mij verbazen als dit geïmplementeerd is. Wat dat betreft is het heel bijzonder dat een HA deze informatie zou overhandigen aan prijktijkinfo.nl. Ik ben benieuwd of dit in overeenstemming is met Wet bescherming persoonsgegevens.