Z1.4.4 | BgZ: Autorisatie

Voor de uitwisseling van de BgZ is door de zorgkoepels (voor het AORTA-domein) een autorisatierichtlijn opgesteld. Aan de hand van deze autorisatierichtlijn wordt bepaald welke type zorgverleners de BgZ kunnen verzenden en opvragen en welke niet.

Deze autorisatie-afspraken gaan over de samenwerking tussen zorgprofessionals werkzaam voor:

• Ziekenhuizen

• Universitair medische centra

• Zelfstandige klinieken

Het gaat om gegevens uit het patiëntendossier van de zorgaanbieder die de gegevens beheert of onder zich heeft (brondossierhouder). Daarnaast worden afspraken vastgelegd over het beschikbaar stellen van niet gestructureerde documenten, die logischerwijs bij onderhavige uitwisseling van de BgZ horen. Denk hierbij aan verslagen van eerder uitgevoerd onderzoek, een verwijsbrief of een verzoek om expertise. Het betreft dan de situatie waarin de patiënten wordt verwezen of overgedragen. Hiervoor geldt dezelfde autorisatie.

Op AORTA-specifieke afspraken na, ziet Twiin een reden om af te wijken van de autorisatierichtlijn die de betrokken zorgkoepels hebben afgesproken. Onderstaande tabel is een samenvoeging van de autorisatiematrix uit paragraaf 3.5.3 van de autorisatierichtlijn met de arts-specialisaties (rolcode 01.*) uit tabel uit paragraaf 3.4 van hetzelfde document. Dit betekent concreet dat alleen de volgende rollen de BgZ mogen versturen en/of raadplegen. Bij het opvragen van de BgZ kunnen niet-gestructureerde documenten worden meegezonden,
waarvoor dezelfde autorisaties gelden.

• Bij Pull: Wanneer de brondossierhouder geen grondslag (in de vorm van een authorization_base) heeft afgegeven dient de raadplegende gebruiker op basis van de rolcode geautoriseerd te worden. Dit geldt bijvoorbeeld bij een directe bevraging/direct pull. Deze codes dienen meegegeven te worden in autorization grant indien de raadplegende partij geen authorization base heeft: 10.2.5 | TTA FHIR - Authentication & Authorization

• Bij Notified pull: Wanneer het verzenden wordt gedaan via het notified pull communicatiepatroon dient de gebruiker die de notificatie verstuurd hiervoor geautoriseerd te zijn. Een brondossierhouder zal deze autorisatieregels dus moeten toepassen bij het verzenden van de BgZ. Als de raadplegende partij de grondslag (authorization base) gebruikt bij het aanvragen van een access token dan hoeft een bron alleen nog maar te toetsen of de grondslag daadwerkelijk is uitgegeven aan de raadplegende partij en hoeft er niet meer op rol geautoriseerd te worden.