Elektronische identificatie (eID) Nederland versus Europa
postadres: Postbus 19121, 2500 CC Den Haag bezoekadres: Oude Middenweg 55, 2491 AC Den Haag telefoon: (070) 317 34 50; fax: (070) 320 74 37; e-mail:
[email protected] www.nictiz.nl
1
Elektronische identificatie
Elektronische identificatie, Nederland versus Europa Den Haag, Augustus 2009 Auteurs: Tessa Frank en Doortje Boshuizen Opdrachtgever: Nictiz Aantal pagina’s: 14 Nummer : KA001 Contactgegevens: Nictiz Nationaal ICT Instituut in de Zorg Postbus 19121 2500 CC Den Haag Oude Middenweg 55 2491 AC Den Haag T 070 317 34 72 F 070 320 74 37 E:
[email protected] I: www.nictiz.nl
De in dit rapport opgenomen informatie mag worden gebruikt met bronvermelding.
2
Management samenvatting Hoe staan wij er in Nederland voor op het gebied van elektronische identificatie (eID)? Wat kunnen wij op dit vlak van andere landen leren? En wat is het belang van deze ontwikkelingen voor de Nederlandse gezondheidszorg? In dit artikel krijgt u een antwoord op deze vragen. Naar aanleiding van ‘The European e-ID Interoperability Conference’ die in maart werd gehouden in Brussel heeft Nictiz geïnventariseerd hoe eID in Europa wordt gebruikt. Verschillende landen in Europa zijn actief op het gebied van eID. Voor Nederland is het interessant om te leren van de ervaringen van andere landen. Daarom worden vier Europese landen uitgelicht die relatief ver zijn in de ontwikkeling van een nationaal eID systeem. Uit de inventarisatie blijkt dat de uitrol van eID systemen over het algemeen succesvol verloopt, maar dat het daadwerkelijke gebruik door burgers laag blijft. Een mogelijke oplossing ligt in het aanbieden van één elektronisch identificatiesysteem voor zowel publieke als private diensten. Denk bijvoorbeeld aan elektronische belastingaangifte, toepassingen in de zorg en internet bankieren. Voor de Nederlandse situatie verdient het daarom aanbeveling om een haalbaarheidsstudie uit te voeren naar het gebruik van eID voor publieke en private diensten. Er zijn een aantal hindernissen die moeten worden genomen voordat eID systemen binnen Europa interoperabel zijn. De volgende randvoorwaarden moeten gerealiseerd zijn: • Europese standaarden om beveiligingsniveaus aan te geven; • Duidelijkheid over consequenties van publiek én privaat gebruik; • Duidelijke verantwoordelijkheden tussen Europa en de landen (denk aan omgang met identiteitsdiefstal); • Overkoepelend privacybeleid en wet- en regelgeving; • Ontwikkeling van standaarden en middleware1. In het tweede deel van het artikel wordt het gebruik van eID in de Nederlandse gezondheidszorg besproken. In de toekomst zal ook gezondheidsinformatie binnen Europa (elektronisch) uitwisselbaar worden, met behulp van elektronische identificatie. Voordat dit mogelijk is, komen we bijna dezelfde hindernissen tegen als hierboven benoemd. Specifiek aandachtspunt voor Nederland is dat Nederlandse zorgverleners zich niet identificeren met het generieke eID systeem. Zij maken (als ze in functie zijn) gebruik van een speciale zorgverlenerspas (UZI-pas) waarmee zij aantonen wie zij zijn. Binnen Europa loopt een project (STORK), dat het doel heeft om de verschillende nationale eID systemen interoperabel te maken. De UZI-pas valt buiten dit traject, omdat deze zich richt op een specifieke doelgroep. Er is een apart traject nodig om binnen Europa interoperabele elektronische identificatie van zorgverleners te realiseren. Aanbevolen wordt dat het Europese project (epSOS), dat zich richt zich op internationale uitwisseling van zorginformatie, een belangrijke rol speelt in de realisatie hiervan. Aan het einde van dit document heeft u een beeld van wat de belangrijkste uitdagingen zijn op het gebied van eID en wat het gebruik van één elektronisch identificatiesysteem betekent voor de Nederlandse gezondheidszorg.
1
Software met een functie tussen applicatie en platform. Over het algemeen zorgt middleware ervoor dat verschillende programma`s met elkaar kunnen praten.
3
Inhoudsopgave 1. Management Samenvatting
3
2. Inleiding
5
3. Nationale eID systemen
6
4. Europese samenwerking
11
5. Hindernissen
11
6. eID in de Nederlandse gezondheidszorg
13
7. Conclusie
14
4
1. Inleiding eID staat voor elektronische identiteit. Het stelt mensen in staat om elektronisch te bewijzen dat zij zijn wie zij zeggen dat ze zijn. Elektronische identiteitssystemen worden door private en publieke organisaties gebruikt, denk bijvoorbeeld aan elektronisch bankieren en elektronische belastingaangifte. Het verifiëren van de identiteit, ook wel authenticatie genoemd, kan globaal op drie manieren: • Door iets wat je weet (wachtwoord, PIN-code, ‘shared secret’). • Door iets wat je hebt (magneetstripkaart, chipcard, hardware token, software token). • Door iets wat je uniek maakt (biometrie, bijvoorbeeld vingerafdruk of iriscopie). Ook worden de mogelijkheden in combinatie gebruikt (bijvoorbeeld een bankpas met een PIN-code)2. In dit document wordt beschreven wat er op Europees niveau gebeurt om interoperabele elektronische identificatie (eID) mogelijk te maken. Aanleiding is het epSOS project (European Patients Smart Open Services) waarin Nictiz participeert. Het project is gericht op de ontwikkeling van een praktisch eHealth raamwerk en ICT infrastructuur die het mogelijk maakt om patiëntinformatie uit te wisselen tussen verschillende Europese zorgsystemen. Het gaat daarbij expliciet om de 3 uitwisseling van patiëntensamenvattingen en elektronisch voorschrijven van medicatie . Om dit te kunnen realiseren is elektronische identificatie en authorisatie vereist. Vanwege het belang van eID heeft Nictiz deelgenomen aan ‘The European eID Interoperability Conference’ die op 17 en 18 maart werd gehouden in Brussel. Dit bezoek maakte duidelijk dat verschillende landen in Europa actief zijn op het gebied van eID. Voor Nederland is het interessant om te leren van de ervaringen van andere landen. Daarom besloot Nictiz op nader onderzoek uit te gaan en deze ervaringen in kaart te brengen. Het resultaat is dit artikel. Hierin wordt de situatie in vier (Europese) landen beschreven die relatief ver zijn in de ontwikkeling van een nationaal eID systeem. In deze analyse wordt gekeken wat de belangrijkste hindernissen zijn om interoperabiliteit van eID te realiseren en wat de geleerde lessen in de verschillende landen zijn. Dit is overigens geen uitputtende weergave van de Europese stand van zaken, maar geeft inzicht in de ontwikkeling van eID in Europa. In het tweede deel van het artikel wordt het gebruik van eID in de Nederlandse gezondheidszorg besproken. In twee casussen wordt geschetst waarom interoperabele eID systemen voor de zorg nodig zijn. In de toekomst zal ook gezondheidsinformatie binnen Europa (elektronisch) uitwisselbaar worden, met behulp van elektronische identificatie. Welke hindernissen komen we tegen voordat dit mogelijk is? Aan het einde van dit document heeft u een beeld van de belangrijkste uitdagingen op het gebied van eID en het belang hiervan binnen de gezondheidszorg.
2
http://www.ejure.nl/dossier_id=104/f_dossier/dossier.htm, 29 april 2009 Voor een uitgebreide weergave van de Europese stand van zaken, verwijzen wij u naar het rapport van Enisa ‘Report on the state of pan-European eIDM initiatives’. 3
http://www.epsos.eu/about-epsos.html
5
2. Nationale eID systemen Verschillende landen in Europa zijn actief op het gebied van eID. Voor Nederland is het interessant om te leren van de ervaringen van andere landen en deze af te zetten tegen de lessen die wij in Nederland hebben geleerd. Daarom zijn in de kaders vier voorbeelden opgenomen van landen waar een nationaal eID systeem is geïmplementeerd. Specifiek is gekeken naar het aantal mensen dat gebruik maakt van de systemen, waarvoor eID kan worden gebruikt en wat de belangrijkste uitdagingen zijn. Lessons learned Ondanks succesvolle uitrol van nationale eID systemen, wordt er nauwelijks gebruik van gemaakt omdat er te weinig toepassingen zijn. Dit heeft tot gevolg dat burgers niet bereid zijn om te investeren in bijvoorbeeld een kaartlezer (België) of dat ze vaak een nieuw wachtwoord aanvragen omdat ze het vorige zijn vergeten (Nederland). Desondanks ziet men wel de toegevoegde waarde van het gebruik van een eID systeem, bijvoorbeeld om elektronisch belastingaangifte te doen. Om het gebruik te vergroten, werkt een aantal landen samen met commerciële organisaties, zoals de veilingsite eBay. De les die Europa kan leren van de individuele lidstaten, is dat enkel uitrol van een systeem niet voldoende is. Het gebruik moet gestimuleerd worden, door meer private en publieke toepassingen aan te bieden. Dit zorgt ervoor dat burgers hun eID vaak zullen gebruiken, waardoor het gebruik verankerd raakt in de samenleving. Daarnaast moeten de kosten en de baten van Europese uitwisseling tegen elkaar afgewogen worden. Immers, als de systemen op nationaal niveau al nauwelijks worden gebruikt, wat kunnen we dan verwachten van internationaal gebruik? Start uitrol 2002
Voor wie? iedereen
Oostenrijk
2003
+ 14 jaar
Belgie5
2002
+ 12 jr
Nederland
2006
iedereen
Land Estland
Bezit en Gebruik4 81% bezit, (1.063.082) 22% hiervan gebruikt het (232.435) 1.5 % bezit (120.000) Gebruik niet bekend, indicatie 16% 1% (2006) Vanaf sept 2009 100% bezit 41 % bezit (6,8 milj.) 17 milj. keer gebruikt (2,5 keer p.p.)
Toepassing
Vorm
Uitdagingen
Publiek Privaat
Pas + lezer
Hoge uitrol, maar laag gebruik.
Publiek Privaat
Pas + lezer Verschillende passen mogelijk
Lage uitrol en laag gebruik.
Publiek Privaat
Pas + lezer
Laag gebruik 8% heeft lezer
Publiek
Inlognaam + wachtwoord (+ smscode)
Laag gebruik Vergeten wachtwoord ‘uitlenen’
4
Bezit: het aantal inwoners dat een eID systeem bezit. Gebruik: Hoeveel van deze mensen gebruikt het eID systeem daadwerkelijk. De informatie over Nederland is niet gespecificeerd naar het aantal mensen dat gebruik maakt van het eID systeem. Daarom is informatie opgenomen over het totale jaarlijkse gebruik. 5
Deze cijfers zijn het resultaat van literatuurstudie, maar (nog) niet bevestigd door de Belgische autoriteiten.
6
Estland In Estland is de uitrol van een Identificatiepas in 2002 gestart. Deze kaart is verplicht gesteld voor alle inwoners van 15 jaar en ouder, en voor alle buitenlanders die voor langere tijd in Estland verblijven. In oktober 2006 stond het aantal verstrekte identificatiekaarten op één miljoen, bijna de gehele bevolking. Op dat moment maakten 25 duizend inwoners (2,5%) gebruik van de kaart. In 2009 maakt 22% van de kaarthouders gebruik van elektronsiche identificatie. De identificatiekaart in Estland heeft verschillende functionaliteiten. De kaart kan worden gebruikt voor het elektronisch bestellen van tickets, beveiligde e-mail, authenticatie voor internetbankieren en websites van de overheid. Kinderen kunnen met hun kaart inloggen bij e-school om hun cijfers te bekijken. Bovendien dient de kaart als digitale handtekening en kan deze worden gebruikt om via het internet te stemmen6. Kanttekening hierbij is dat de digitale handtekening bijvoorbeeld voor kinderen niet rechtsgeldig is. Dit is bij wet bepaald. De succesfactor van Estland is dat de identificatiepas in korte tijd onder een groot deel van de bevolking is verspreid. Ander positief punt is dat de basissoftware die nodig is om een nieuwe gebruikstoepassing met de eID-kaart te realiseren publiek beschikbaar is voor alle ontwikkelaars7. Iedere organisatie kan hierdoor applicaties ontwerpen die gebaseerd zijn op de basisprincipes van de eID kaart. Een probleem is dat de kaart relatief weinig wordt gebruikt. Hiervoor zijn verschillende oorzaken aan te wijzen. Zo zijn de functies van de identificatiepas vooral gericht op diensten van de overheid8. Het publiek beschikbaar stellen van de basissoftware van de eID-kaart voor de ontwikkeling van nieuwe diensten heeft nog niet tot een groot aanbod van private diensten geleid. In de praktijk blijkt dat elektronische contacten met de overheid slechts enkele malen per jaar voorkomen. Voor andere diensten zijn er nog veel alternatieven, bijvoorbeeld identificatie door middel van het invoeren van een gebruikersnaam en wachtwoord. Hierdoor zijn mensen weinig gemotiveerd om gebruik te maken van deze kaart en is hij onvoldoende in het psychologische ‘systeem’ van de Esten verankerd. Tot slot heeft niet iedereen de benodigde vaardigheden om de kaart te gebruiken. Motivatie en training van de Esten moet een oplossing voor het lage gebruik bieden.
6
http://www.id.ee/11015
7
http://ec.europa.eu/idabc/en/document/4487/5584
8
Spreker op het congres …., brussel, datum.
7
Oostenrijk
In het najaar van 2000 besloot de Oostenrijkse overheid om chipkaart technologie te gebruiken om de toegang van burgers tot publieke diensten te verbeteren. Er werd besloten om de geplande zorgverzekeringspas te voorzien van elektronische identificatie. In februari 2003 werd de eerste eID kaart uitgegeven en in 2004 werd de wettelijke basis voor het elektronische identificatie managementsysteem in de wet verankerd. In de jaren die volgden ontstonden er verschillende publieke en private initiatieven met elektronische identificatie. Bankpassen, verzekeringspassen, mobiele telefoons en studentenkaarten werden voorzien van elektronische identificatie. Ook werd onderzocht in hoeverre de Oostenrijkse eID initiatieven geïntegreerd konden worden met buitenlandse eID systemen. Hieruit bleek dat Belgische, Finse, Estse en Italiaanse eID systemen geïntegreerd konden worden met het Oostenrijkse system. Bijzonder aan het Oostenrijkse model is dat elke sector die van eID gebruik maakt, een eigen sectorcode gebruikt. Deze sectorcodes worden gecombineerd met de ‘basis-pincode’ die de burger gebruikt. Hierdoor kan informatie over één persoon niet door de overheid aan elkaar gekoppeld worden, en is de privacy beschermd . Er wordt weinig gebruik gemaakt van de pas, omdat het beperkte functionaliteiten heeft. Mensen kunnen de pas bijvoorbeeld niet gebruiken om mee te reizen. Dit zorgde er in 2004 voor dat er 45.035 elektronische identiteitskaarten zijn aangevraagd, ten opzichte van 428.879 reisdocumenten. Oostenrijkers kunnen verschillende passen gebruiken als elektronische identificatie. Zij kunnen bijvoorbeeld een bankpas activeren door specifieke software te downloaden. Op dit moment zijn er 120.000 identiteitskaarten geactiveerd, ten opzichte van ongeveer 8,2 miljoen inwoners. Precieze cijfers over het gebruik zijn niet bekend.
8
België
België heeft sinds 2002 een identiteitskaart die geschikt is voor elektronische 9 identificatie . In de kaart is een chip verwerkt waarin een aantal elektronische ‘sleutels’ 10 zijn opgeslagen, zoals een identificatie- en handtekeningsleutel . Met behulp van een kaartlezer worden de gegevens van de pas uitgelezen. De nieuwe identiteitskaarten worden eerst uitgereikt aan burgers van wie de huidige kaart vervalt. Alle Belgen ouder dan 12 jaar worden voor einde 2009 opgeroepen om de eID af te halen11. Primaire doel van de kaart is de elektronische communicatie tussen overheid en burger. Belgen zijn vanaf 1 januari 2009 verplicht om hun Belastingaangifte elektronisch in te dienen, maar de kaart wordt ook voor commerciële doeleinden gebruikt. Sinds 2008 heeft 12 bijvoorbeeld Ebay op haar website elektronische identificatie in België ingevoerd . Bezoekers worden naar een nationale site geleid voor authenticatie. Deze dienst zorgt ervoor dat de verkopende partij zekerheid
heeft over wie de potentiële koper is. Er is echter ook een schaduwzijde aan de Belgische eID. Onderzoek13 wijst uit dat de identiteitskaart in 2006 nog nauwelijks werd gebruikt. Ruim 42 procent van de Belgische internetgebruikers had in 2006 een elektronische identiteitskaart (eID), maar minder dan één procent maakte daar online gebruik van. Een mogelijke reden voor het geringe gebruik was het kleine percentage (slechts 8%) dat over een kaartlezer beschikte die nodig is om online eIDtoepassingen te gebruiken. Het overheidsprogramma waarbij jongeren onder de 18 zo'n kaartlezer gratis konden verkrijgen heeft daar geen verandering in kunnen brengen. Bovendien had bijna niemand de benodigde software geïnstalleerd. Slechts 16 van de 754 ondervraagden beschikten over deze software. Tegelijkertijd laat het onderzoek zien dat de Belgen wel degelijk met de kaart wilden werken. Veel Belgen gaven aan bereid te zijn een kaartlezer aan te schaffen. Probleem was echter volgens de respondenten dat er te weinig beschikbare toepassingen waren om over te gaan tot de aanschaf van een kaartlezer14. 9
http://www.msec.be/eidea/ws2008/ http://tweakers.net/nieuws/26256/belgie-start-proef-met-elektronischeIDentiteitskaart.html 11 http://eid.belgium.be/nl/FAQ/Over_de_eID/index.jsp 12 http://tech.be.msn.com/news/article.aspx?cp-documentid=7641448 13 http://www.indigov.be/47_nl.html 14 http://www.standaard.be/Artikel/Detail.aspx?artikelId=G75PQBUT&kanaalid=12 10
9
Nederland
In Nederland wordt voor de elektronische identificatie gebruik gemaakt van DigiD15. DigiD heeft drie verschillende zekerheidsniveaus: Basis, Midden en (in de toekomst) Hoog. Hoe hoger het zekerheidsniveau van de DigiD, hoe sterker de overheid erop kan vertrouwen dat iemand is wie hij zegt dat hij is. Met een persoonlijke DigiD kunnen alle Nederlanders inloggen op websites van de overheid om zaken te regelen. Bijvoorbeeld om een vergunning of uittreksel aan te vragen, of om belastingaangifte te doen. DigiD bestaat uit een gebruikersnaam en een wachtwoord, eventueel aangevuld met een smscode om het beveiligingsniveau ‘midden’ te bereiken. Het is de bedoeling dat het hoogste zekerheidsniveau op termijn wordt ingevuld door de elektronische Nederlandse Identiteitskaart (eNIK).
Ongeveer 6,8 miljoen Nederlands hebben een DigiD aangevraagd, waarvan zij gemiddeld 2,5 keer gebruik van hebben gemaakt. Probleem dat zich bij DigiD voordoet zijn de hoge kosten van het elektronische identificatiemiddel. Doordat het aantal contactmomenten met de overheid per jaar gering is, vergeten mensen hun DigiD wachtwoord, waardoor ze deze opnieuw aanvragen. Dit brengt administratieve lasten met zich mee. Ook zijn er verschillende beveiligingsproblemen met DigiD. Zo geven mensen hun DigiD aan hun belastingadviseur, zodat deze de belasting elektronisch kan aangeven. Ook het uitgifteproces van DigiD is niet optimaal, omdat de inloggegevens niet face-to-face, maar per post worden verstrekt. Hierdoor kunnen derden relatief eenvoudig gebruik maken van iemands elektronische identiteit.
15
http://www.digid.nl/overheid/
10
3. Europese samenwerking Op dit moment worden er in verschillende landen allerlei nationale initiatieven voor eID ontplooid, maar het is het nog niet mogelijk om binnen Europa informatie van verschillende eID systemen uit te wisselen. Daarom is vanuit de EU het project Stork (Secure Identity Across Borders Linked) gestart. Doel van dit project is te onderzoeken hoe digitale overheidsdiensten in andere lidstaten toegankelijk kunnen worden met de elektronische identiteitskaart uit eigen land. Achter het project zit een consortium van dertien lidstaten en IJsland. Het project is gestart met een aantal studies over wat er al is op gebied van identiteitskaarten. In Europa zijn tien nationale eID-kaarten geïntroduceerd en zitten er dertien eID-kaarten in de pijplijn. De kaarten worden vooral gebruikt voor overheidsdiensten, bijvoorbeeld voor het doen van belastingaangifte. Daarnaast worden 16 ze in sommige landen gebruikt voor commerciële doeleinden . Europa benadrukt dat het geen eenvormige oplossing wil opdringen aan de lidstaten. De verschillende vormen van eID’s zullen blijven bestaan. Doel van het project is op termijn een laag boven de eID’s van de verschillende landen te realiseren, waardoor 17 internationale uitwisseling mogelijk wordt .
4. Hindernissen Voordat Europese uitwisseling van eID’s mogelijk is, zijn er een aantal hindernissen te nemen op onder andere organisatorisch, juridisch en technisch vlak. Welke hindernissen moeten genomen worden om tot deze Europese samenwerking te komen? In dit hoofdstuk worden deze hindernissen beschreven. Wettelijk kader Er is op Europees niveau een richtlijn op het gebied van de bescherming van persoonsgegevens (95/46/EG). Deze voorziet in een regelgevingskader dat tot doel heeft een evenwicht tot stand te brengen tussen een hoog niveau van bescherming van de persoonlijke levenssfeer en het vrij verkeer van persoonsgegevens in de Europese Unie. Deze richtlijn heeft een generiek karakter. Er is geen Europese wetgeving die specifiek gericht is op elektronische identificatie. Dit heeft tot gevolg dat Europese landen, binnen het door Europa gestelde kader, eigen regels en richtlijnen hanteren. Zo heeft ieder land eigen standaarden en criteria voor beveiligingsniveaus. Bovendien worden de identificatiemiddelen in sommige landen zowel in de publieke als in de private sector gebruikt, terwijl in andere landen dit gebruik tot de publieke sector is beperkt. Een derde punt betreft de vraag wie de eigenaar is van een kaart of applicatie en wie er verantwoordelijk is voor het gebruik. Dit speelt bijvoorbeeld bij identiteitsdiefstal. Bij wie kan de burger in dit geval terecht: zijn eigen land, Europa? Tot slot zijn er discussie over de privacy aspecten van eID kaarten. De Decker et al (2008) laten in hun essay ‘Kritische beoordeling van het gebruik van de Belgische eID 16
http://www.enisa.europa.eu/pages/02_01_press_2009_02_3_privacy_features_eID.html
17
http://www.eid-stork.eu/
11
kaart’ met behulp van een aantal casussen zien dat er in België nog een aantal ‘privacyhobbels’ genomen moeten worden. Dit geldt evenzeer voor andere Europese landen. Al deze nationale hobbels maken het moeilijk om dit lokale niveau te overstijgen en tot een Europees kader te komen. Volgens ENISA is privacy het grootste obstakel voor de acceptatie van eID kaarten en het gebruik ervan in de dagelijkse praktijk. Dit kan een groot obstakel worden voor grensoverschrijdende Eid interoperabiliteit18. Aanbevolen wordt dat deze vier punten door Europa worden uitgewerkt. Standaarden en middleware Het is van groot belang dat er Europese standaarden worden ontwikkeld. Bijvoorbeeld voor de middleware. Middleware zorgt ervoor dat verschillende toepassingen aan elkaar gekoppeld kunnen worden en informatie uit kunnen wisselen, ondanks de verschillende interfaces. Om interoperabele eID te kunnen realiseren is het noodzakelijk dat deze middleware van verschillende nationale eID systemen met elkaar interoperabel is. Zoals een reisstekker het mogelijk maakt om met een Engelse stekker aan te sluiten op het Nederlands elektriciteitsnetwerk, zo is er één Europees systeem (de reisstekker) vereist, waarop alle landelijke eID systemen kunnen aansluiten. Zoals het er nu uitziet, zal het nog even duren voordat dit gerealiseerd kan worden.
18
http://www.enisa.europa.eu/pages/02_01_press_2009_02_3_privacy_features_eID.html
12
5. eID in de Nederlandse gezondheidszorg In de vorige hoofdstukken is aandacht besteed aan het gebruik van eID in verschillende landen. In dit hoofdstuk worden twee praktijken in de Nederlandse gezondheidszorg beschreven waar elektronische identificatie wordt gebruikt. In de toekomst zal ook gezondheidsinformatie binnen Europa (elektronisch) uitwisselbaar worden, met behulp van elektronische identificatie. Welke hindernissen komen we tegen voordat dit mogelijk is? Toegang patiënt In Nederland is er een ontwikkeling gaande die burgers de mogelijkheid geeft om zelf, via internet, medische gegevens in te zien. Om toegang te krijgen kunnen mensen gebruik maken van DigiD met een SMS-code. Voordat ze hiervan gebruik kunnen maken, moeten ze zich eenmalig legitimeren (face-to-face controle) bij een nog te bepalen instantie. Er is voor deze extra maatregel gekozen, omdat het College Bescherming Persoonsgegevens heeft vastgesteld dat het beveiligingniveau voor deze gegevens ‘hoog’ moet zijn. De elektronische identiteitskaart, die dit beveiligingsniveau moet garanderen, is nog niet beschikbaar. Daarom is voor deze tussenoplossing gekozen. Door het gebruik van DigiD kan elke Nederlandse burger in de toekomst, overal ter wereld, de zorginformatie inzien die in Nederland bekend is. Dit kan hij bijvoorbeeld gebruiken bij een artsbezoek in het buitenland. Twee aandachtspunten hierbij zijn dat de informatie in het Nederlands is en dat diegene die een arts bezoekt in staat moet zijn om (zelf) zijn medische informatie op te vragen. Dit kan bij een spoedopname een probleem zijn. Om online in Nederland vastgelegde medische gegevens in te zien, hebben buitenlanders die in Nederland verblijven een burgerservicenummer nodig. Als zij dit hebben, kunnen zij gebruik maken van DigiD. Overigens wordt medische informatie van buitenlanders verstuurd naar het land van herkomst, of aan de patiënt meegegeven. Op deze manier heeft iedereen toegang tot zijn eigen medische informatie. Daarom zijn er op dit gebied geen hindernissen. Toegang voor zorgverleners, de UZI-pas Toegang voor zorgverleners tot een landelijk elektronisch patiënten dossier is geregeld via UZI-passen (Unieke Zorgverlener Identificatie-passen). De UZI-pas is een elektronisch authenticatie- en autorisatiemiddel, bedoeld voor mensen die met zorggegevens werken. Deze pas werkt als een elektronisch paspoort die niet alleen laat zien wie iemand is, maar ook welke functie deze persoon heeft. Toegang tot informatie wordt verleend op basis van deze functie (autorisatie). Zo heeft een huisarts toegang tot andere informatie dan een apotheker. De UZI-pas is ontwikkeld voor zorgverleners in Nederland, maar patiënten reizen overal naar toe. Denk bijvoorbeeld aan (veelal) ouderen die overwinteren in Spanje en ’s zomers in Nederland wonen. Zij maken in twee landen gebruik van de zorg. Ook laten Nederlandse zorgconsumenten zich in toenemende mate in het buitenland opereren om lange wachtlijsten te vermijden, of bijvoorbeeld omdat zij in een grensgebied wonen. Op dit moment is het niet mogelijk voor een buitenlandse zorgverlener om op eenvoudige wijze inzage te krijgen in het elektronisch dossier van de Nederlandse arts en vice versa. Wel is het in de toekomst denkbaar dat de patiënt zelf zijn medische informatie meeneemt, omdat deze wél overal ter wereld toegang heeft.
13
De hindernissen In deze casus komen we een aantal hindernissen tegen, die het internationaal uitwisselen van informatie tussen zorgverleners belemmeren. •
•
•
De UZI-pas is niet het nationale eID systeem waar alle burgers in Nederland gebruik van maken, maar is bedoeld voor zorgverleners. Binnen Europa loopt een project (STORK), dat het doel heeft om de verschillende nationale eID systemen interoperabel te maken. De UZI-pas valt buiten dit traject, omdat het niet het nationale identificatiesysteem is, maar zich richt op een specifieke doelgroep. Dit betekent dat een apart traject nodig is om binnen Europa interoperabele elektronische identificatie van zorgverleners te realiseren. Het Europese project (epSOS), dat zich richt zich op internationale uitwisseling van zorginformatie, zou een belangrijke rol kunnen spelen in de realisatie hiervan. Landen hebben individueel afspraken gemaakt over de informatie die elke medische functiegroep mag inzien. Zo mogen verpleegkundigen in sommige landen medische informatie inzien, terwijl in andere landen dit recht is voorbestemd aan artsen. Europese afspraken hierover zijn nodig. Europa werkt met een vertrouwensmodel, dat ervan uitgaat dat elk land de beveiliging van zorgverlener authenticatie goed geregeld heeft. Doordat er geen criteria zijn opgesteld over de vertrouwensniveaus, kan de beveiliging per land verschillen. We moeten onszelf de vraag stellen of dit een goede uitgangssituatie is, of dat er afspraken nodig zijn over een basisniveau.
6. Conclusie In de voorgaande hoofdstukken zijn verschillende ontwikkelingen en ervaringen met eID in verschillende Europese landen beschreven. Centrale vraag was: wat betekent dit voor het gebruik van eID in de Nederlandse gezondheidszorg? Uit de analyse van vier landen blijkt dat een succesvolle uitrol van eID systemen niet garant staat voor een succesvolle implementatie. Er zijn voorbeelden van landen waarin veel burgers een eID-kaart bezitten, maar waar de kaart nauwelijks wordt gebruikt. Zolang de systemen niet gebruikt worden, hebben zij weinig toegevoegde waarde. Wij moeten ons daarom afvragen of de business case voldoende is uitgekristalliseerd. Om het gebruik van eID te stimuleren kiezen sommige landen voor een aanpak waarbij naast publieke diensten, ook private diensten worden aangeboden. Het idee is dat burgers hierdoor vaker gebruik maken van eID, waardoor het verankert raakt in het psychologische systeem van burgers. Als we naar het gebruik van eID in Nederland kijken, lijkt het zinvol om te werken met een eID systeem dat gebruikt kan worden voor verschillende doeleinden: voor publieke én private diensten. Voor de Nederlandse situatie zou het daarom zinvol zijn om een haalbaarheidsstudie uit te voeren naar de mogelijkheden. Specifiek aandachtspunt voor Nederland is dat Nederlandse zorgverleners zich niet identificeren met het generieke eID systeem. Zij maken (als ze in functie zijn) gebruik van een speciale zorgverlenerspas (UZI-pas) waarmee zij aantonen wie zij zijn. Binnen Europa loopt een project (STORK), dat het doel heeft om de verschillende nationale eID systemen interoperabel te maken. De UZI-pas valt buiten dit traject, omdat deze zich richt op een specifieke doelgroep. Er is een apart traject nodig om binnen Europa interoperabele elektronische identificatie van zorgverleners te realiseren. Aanbevolen wordt dat het Europese project (epSOS), dat zich richt zich op internationale uitwisseling van zorginformatie, een belangrijke rol speelt in de realisatie hiervan.
14
