Koninklijk besluit van 10 mei 2015
Koninklijk besluit van 10 mei 2015 betreffende de bewijskracht van de gegevens die door de ziekenhuizen [en de andere actoren in de gezondheidszorg – vervangen bij artikel 1 van het koninklijk besluit van 24 november 2019 tot wijziging van het koninklijk besluit van 10 mei 2015 (Belgisch Staatsblad van 2 december 2019)] worden opgeslagen, verwerkt of meegedeeld door middel van een optische en fotografische techniek, evenals hun weergave op papier of op elke andere leesbare drager, voor de toepassing in de gezondheidszorg
(Belgisch Staatsblad van 11 juni 2018)
[gewijzigd door koninklijk besluit van 24 november 2019 (Belgisch Staatsblad van 2 december 2019)]
Gelet op de wet van 21 augustus 2008 houdende oprichting en organisatie van het eHealth-platform en diverse bepalingen, op artikel 36/1, § 2, ingevoegd bij de wet van 19 maart 2013 houdende diverse bepalingen inzake gezondheid (I);
Gelet op het advies van het eHealth-platform, gegeven op 8 oktober 2013;
Gelet op het advies van het Comité van de verzekering voor geneeskundige verzorging, gegeven op 3 februari 2014;
Gelet op het advies 57.117/3 van de Raad van State, gegeven op 18 maart 2015, met toepassing van artikel 84, § 1, eerste lid, 2°, van de wetten op de Raad van State, gecoördineerd op 12 januari 1973;
Op de voordracht van de Minister van Sociale Zaken en Volksgezondheid,
Hebben Wij besloten en besluiten Wij:
Artikel 1. Voor de toepassing van voorliggend besluit verstaat men onder:
1° ‘ziekenhuis’: ziekenhuis in de zin van de wet van 10 juli 2008 betreffende de ziekenhuizen en andere verzorgingsinrichtingen;
2° ‘de procedure’: alle gebruikte procedures, processen en de gehanteerde architectuur (hardware en software);
3° ‘gedigitaliseerde gegevens’: gegevens die opgeslagen, verwerkt en meegedeeld worden door middel van een optische en fotografische techniek;
4° ‘het formaat’: de code waaronder gedigitaliseerde gegevens zijn opgeslagen op een gegevensdrager;
5° ‘compressie’: de bewerking waarbij de digitale voorstelling van de afbeeldingen in grootte beperkt worden om opslagcapaciteit te besparen en datatransmissie te versnellen;
6° ‘metagegevens’: de gegevensset die de context, de inhoud en de structuur van de gedigitaliseerde gegevens beschrijft;
7° ‘het systeem’: het geheel van apparatuur en besturings- en toepassingsprogrammatuur;
8° ‘het datacenter’: de ruimte waarin de informatie- en communicatieapparatuur (IT-apparatuur) zich fysiek bevindt waarop de gedigitaliseerde gegevens verwerkt en/of opgeslagen worden.
Art. 2. De gegevens die door middel van een optische en fotografische techniek opgeslagen, verwerkt of meegedeeld worden, alsook de weergave van deze gegevens op papier of op elke andere leesbare drager, hebben bewijskracht tot bewijs van het tegendeel, indien de procedure die het ziekenhuis overeenkomstig artikel 3 heeft vastgesteld voor de opslag, de verwerking, de mededeling of de weergave van deze gegevens voldoet aan de voorwaarden opgesomd in dit besluit en de gegevens in overeenstemming met die procedure werden opgeslagen, verwerkt of meegedeeld.
De gedigitaliseerde gegevens kan echter geen rechtsgeldigheid worden ontzegd op de enkele grond dat betwist wordt dat de werkelijk gevolgde procedure aan de voorwaarden van dit besluit voldoet, als diegene die zich op deze gegevens beroept kan aantonen, met alle middelen van recht, dat de afwijking van de voorwaarden in dit besluit de betrouwbaarheid van de gegevens niet in het gedrang heeft gebracht.
Art. 3. De ziekenhuizen leggen de procedure vast volgens welke ze de gegevens waarover ze beschikken of die ze doorgestuurd krijgen, door middel van een optische en fotografische techniek opslaan, verwerken of meedelen voor de toepassing ervan in de gezondheidszorg, alsook de procedure volgens welke ze deze gegevens op papier of op elke andere leesbare drager weergeven, overeenkomstig dit besluit.
Art. 4. Het ziekenhuis gebruikt een procedure voor:
1° de systematische en volledige opslag van gegevens;
2° de getrouwe, duurzame en volledige weergave van de informatie;
3° de zorgvuldige bewaring, de systematische classificatie en de beveiliging van de gegevens tegen elke vorm van vervalsing;
4° de integriteit en de leesbaarheid van de gegevens gedurende de volledige bewaartermijn.
Art. 5. Het ziekenhuis beschikt over een gedetailleerde documentatie m.b.t. de gehanteerde procedure die regelmatig bijgewerkt wordt.
Deze documentatie bevat minstens de volgende onderdelen:
1° de identificatiegegevens van de eventuele verwerker op wie het ziekenhuis een beroep doet, evenals de naam en het adres van de eigenaar van de gebruikte hardware en software;
2° het merk en het type van de gebruikte hardware en de benaming van de gebruikte software;
3° de nauwkeurige beschrijving van de hardware en software, met vermelding van de voornaamste technische kenmerken van de wijze van opslag, verwerking en mededeling door middel van de gebruikte optische en fotografische techniek;
4° de documentatie van de gebruikte opslaginfrastructuur;
5° de beschrijving van de wijze waarop de integriteit van de gedigitaliseerde gegevens wordt verzekerd en kan worden gecontroleerd;
6° de beschrijving van de uitgevoerde kwaliteitscontroles;
7° de documentatie van de software voor de verbetering van de beeldkwaliteit en de herkenningssoftware;
8° de beschrijving van de wijze waarop de beschikbaarheid en de toegankelijkheid van de gedigitaliseerde gegevens worden verzekerd;
9° een beschrijving van de wijze waarop de gedigitaliseerde gegevens worden beveiligd tegen onbevoegde toegang;
10° een beschrijving van het back-upbeleid.
Elke aangebrachte wijziging aan de gebruikte procedure wordt onmiddellijk aan de gedetailleerde beschrijving toegevoegd.
Het ziekenhuis kan op elk moment de documentatie waarvan sprake in het eerste lid voorleggen aan het Sectoraal Comité van de Sociale Zekerheid en van de Gezondheid [opgeheven bij artikel 2 van het koninklijk besluit van 24 november 2019 (Belgisch Staatsblad van 2 december 2019)]
Zowel de documentatie van de procedure als de link tussen deze documentatie en de gedigitaliseerde gegevens wordt bijgehouden gedurende de volledige bewaartermijn.
Art. 6. De toegang tot de gedigitaliseerde gegevens verloopt conform de regels en procedures in voege in het ziekenhuis.
Elke bewerking van de gedigitaliseerde gegevens wordt samen met de identiteit van de bewerker in een logboek bijgehouden.
Art. 7. De gedigitaliseerde gegevens worden bewaard in valideerbare, genormeerde en volledig gedocumenteerde bestandsformaten geschikt voor bewaring op lange termijn.
Indien er gebruik gemaakt wordt van een tussenformaat, dan mag er geen relevant kwaliteitsverlies optreden bij de omzetting van het tussenformaat naar het uiteindelijke formaat.
Compressie is alleen toegestaan indien aantoonbaar geen relevant informatieverlies optreedt.
Art. 8. De gedigitaliseerde gegevens worden op de dag van hun opmaak opgeslagen in een opslaginfrastructuur die de integriteit en de duurzaamheid van de gegevens verzekert.
De gedigitaliseerde gegevens en de niet gedigitaliseerde originele gegevens worden blijvend met elkaar gelinkt via een unieke identifier tot op het moment waarop het origineel vernietigd wordt.
Art. 9. De verwerking van de gedigitaliseerde gegevens gebeurt in een lidstaat van de Europese Unie of in een derde staat waarnaar het vrij verkeer van diensten is uitgebreid en die zich er in het kader van een internationaal akkoord met de Europese Unie toe heeft verbonden om de regelgeving van de Unie betreffende de verwerking van persoonsgegevens te respecteren.
Art. 10. De integriteit van de inhoud, de duurzaamheid, de toegankelijkheid en de leesbaarheid van de gedigitaliseerde gegevens en de hieraan verbonden metagegevens worden gewaarborgd gedurende de door de toepasselijke reglementering opgelegde bewaartermijn.
Metagegevens worden op een consistente en gestructureerde wijze toegekend.
De koppeling tussen de gedigitaliseerde gegevens en de bijbehorende metagegevens kan gedurende de volledige bewaartermijn worden gereconstrueerd.
Elk van de gedigitaliseerde gegevens kan binnen een redelijke termijn worden teruggevonden aan de hand van de bijbehorende metagegevens en kan waarneembaar of leesbaar gemaakt worden, met inachtneming van de autorisaties.
Het gebruikte systeem importeert, converteert, migreert en exporteert de gedigitaliseerde gegevens en de bijbehorende metagegevens met behoud van de betrouwbaarheid, de integriteit en de bruikbaarheid ervan.
Art.11. De veiligheidsmaatregelen die de gegevensintegriteit waarborgen, zijn opgesteld overeenkomstig het informatieveiligheidsbeleid van het ziekenhuis.
Het ziekenhuis voert een systematische risicoanalyse uit o.a. betreffende de gegevensverwerking, de systemen, het personeel en de veiligheidseisen.
Het ziekenhuis beschikt over een informatieveiligheidsbeleid dat het geheel van strategieën en gekozen maatregelen voor de gegevensbeveiliging bevat.
Het in het vorige lid vermelde beleid is gebaseerd op de normen en/of richtlijnen die door nationale en internationale instanties erkend worden.
Aldus doet het ziekenhuis minstens het volgende:
1° het heeft een overzicht van de gehanteerde veiligheidsmaatregelen en toetst periodiek (extern of niet) of de ingevoerde veiligheidsmaatregelen nog passend zijn of niet;
2° het beschikt over een gedocumenteerd en passend back-upbeleid, calamiteiten- en herstelplan;
3° het treft alle nodige maatregelen om te voorkomen dat de gedigitaliseerde gegevens gedeeltelijk of geheel verloren zouden gaan gedurende de bewaartermijn. Hiertoe maakt het ziekenhuis periodiek back-ups van alle gedigitaliseerde gegevens en bewaart het deze back-ups op een andere beveiligde locatie;
4° het test op regelmatige basis de back-up- en herstelplannen en past ze indien nodig aan;
5° het beschikt over een geactualiseerd toegangscontrolebeleid voor het toekennen, het wijzigen en het verwijderen van toegangsrechten tot het systeem;
6° het stelt in geval van onderaanneming veiligheidseisen aan deze derde via een contract;
7° na afloop van de door de instelling gehanteerde verjaringstermijn (die ten minste de wettelijke verjaringstermijn moet zijn), vernietigt het de gedigitaliseerde gegevens aan de hand van een gedocumenteerd proces. Indien het gevoelige gegevens betreft, moeten er veilige vernietigingsmethodes uitgevoerd worden;
8° het beschikt over een goed beveiligd datacenter met onder meer klimaatbeheersing, een alarm en een brandmeldvoorziening, een toegangscontrole, een ordelijke bekabeling en een noodstroomvoorziening;
9° het voorziet in redundantie in de opslaginfrastructuur;
10° het slaat de informatiedragers en back-ups in een fysiek beveiligde plaats op;
11° het beschikt over voldoende medewerkers, met voldoende kennis en competenties, om al zijn taken en verantwoordelijkheden op het gebied van het beheer van gedigitaliseerde gegevens te kunnen uitvoeren;
12° in geval van migraties naar nieuwe bestandsformaten worden de overdrachten naar gegevensdragers tijdig uitgevoerd om de integriteit en de permanente toegang tot de gedigitaliseerde gegevens gedurende de volledige bewaartermijn te kunnen verzekeren.
De minimale veiligheidsmaatregelen waarvan sprake in het vorige lid blijven van kracht voor het gedocumenteerde migratieproces dat door het ziekenhuis uitgevoerd wordt.
Art. 11/1. De Koning kan, op vraag van de vertegenwoordigers in het Beheerscomité van het eHealth-platform van een categorie van actoren in de gezondheidszorg, in de zin van artikel 4 van de wet van 21 augustus 2008 houdende oprichting en organisatie van het eHealth-platform en diverse bepalingen, op voorstel van dit Beheerscomité, het toepassingsgebied van dit besluit tot die categorie uitbreiden.- ingevoegd door artikel 3 van het koninklijk besluit van 24 november 2019 (Belgisch Staatsblad van 2 december 2019)
Art.12. De minister bevoegd voor Sociale Zaken en de minister bevoegd voor Volksgezondheid zijn, ieder wat hem betreft, belast met de uitvoering van dit besluit.