Z1.4.4 | BgZ: Autorisatie

Voor de uitwisseling van de BgZ is door de zorgkoepels (voor het AORTA-domein) een autorisatierichtlijn opgesteld. Aan de hand van deze autorisatierichtlijn wordt bepaald welke type zorgverleners de BgZ kunnen verzenden en opvragen en welke niet. Het gaat om gegevens uit het patiëntendossier van de zorgaanbieder die de gegevens beheert of onder zich heeft (brondossierhouder). Daarnaast worden afspraken vastgelegd over het beschikbaar stellen van niet gestructureerde documenten, die logischerwijs bij onderhavige uitwisseling van de BgZ horen. Denk hierbij aan verslagen van eerder uitgevoerd onderzoek, een verwijsbrief of een verzoek om expertise. Het betreft dan de situatie waarin de patiënten wordt verwezen of overgedragen. Hiervoor geldt dezelfde autorisatie.

Deze autorisatie-afspraken gaan over de samenwerking tussen zorgprofessionals werkzaam voor:

• Ziekenhuizen

• Universitair medische centra

• Zelfstandige klinieken

Voor een BgZ-uitwisseling via Twiin zien we geen reden om af te wijken van de autorisatierichtlijn die de betrokken zorgkoepels hebben afgesproken. Twiin ondersteunt daarom hetgeen wat in deze autorisatierichtlijn is afgesproken. Dit betekent concreet dat de alleen de volgende rollen de BgZ mogen versturen en/of raadplegen:

• Bij Pull: Wanneer de brondossierhouder geen grondslag (in de vorm van een authorization_base) heeft afgegeven dient de raadplegende gebruiker op basis van de rolcode geautoriseerd te worden. Dit geldt bijvoorbeeld bij een directe bevraging/direct pull. Deze codes dienen meegegeven te worden in autorization grant indien de raadplegende partij geen authorization base heeft: 10.2.5 | TTA FHIR - Authentication & Authorization

• Bij Notified pull: Wanneer het verzenden wordt gedaan via het notified pull communicatiepatroon dient de gebruiker die de notificatie verstuurd hiervoor geautoriseerd te zijn. Een brondossierhouder zal deze autorisatieregels dus moeten toepassen bij het verzenden van de BgZ. Als de raadplegende partij de grondslag (authorization base) gebruikt bij het aanvragen van een access token dan hoeft een bron alleen nog maar te toetsen of de grondslag daadwerkelijk is uitgegeven aan de raadplegende partij en hoeft er niet meer op rol geautoriseerd te worden.