Toegang tot patiëntgegevens
Maatregel Beschrijving
YipYip implementeert role-based access control (RBAC) in alle zorgapplicaties die persoonsgegevens of gezondheidsinformatie verwerken. Wij leveren het technische RBAC-framework; de klant (zorginstelling) is verantwoordelijk voor het inrichten van de concrete rollen, rechten en het toewijzen aan medewerkers.
Uitdagingen en Verantwoordelijkheidsverdeling
YipYip is een ICT-dienstverlener, geen zorgverlener. Dat betekent:
- YipYip is verwerker — wij bouwen de toegangstechniek conform instructies van de klant als verwerkingsverantwoordelijke
- Klant bepaalt rollenmodel — de klant bepaalt welke rollen bestaan (arts, verpleging, administratie) en welke data zij mogen inzien
- YipYip documenteert — wij leggen het technische toegangsmodel vast in de projectdocumentatie en technische specificaties
Wat we bouwen
RBAC-framework
Elke zorgapplicatie bevat een configureerbaar RBAC-systeem:
| Component | Implementatie | Toelichting |
|---|---|---|
| Rollenmodel | Per project geconfigureerd | Klant definieert rollen in overleg met YipYip bij kick-off |
| Permissions | Granulaire resource-acties | Lezen, schrijven, exporteren per datakategorie apart instelbaar |
| Least privilege | Standaard geen toegang | Toegang moet expliciet worden verleend, niet ontzegd |
| Roltoewijzing | Via beheerinterface klant | Klant beheert zelf de toewijzing van gebruikers aan rollen |
| MFA | Verplicht voor zorgapps | Twee-factor authenticatie bij iedere inlog op gezondheidsdata |
Technische implementatie
- Backend (Elixir/Phoenix): Guardian + Bodyguard voor JWT-gebaseerde authenticatie en autorisatie; alle API-endpoints beveiligd met role-checks
- Frontend (React/Next.js): Route-based access control, componenten conditionally rendered op basis van rol
- Mobiel (Flutter): Permission-layer in app state management, geen gevoelige data tonen zonder actieve sessie
- Sessiebeheer: Tokens verlopen na 8 uur inactiviteit; refresh tokens hebben maximale levensduur van 7 dagen
Toegangsmodel per project
Bij elk zorgproject wordt bij de kick-off een toegangsmatrix opgesteld en vastgelegd in de projectdocumentatie:
| Rol (voorbeeld) | Toegangsniveau | Verantwoordelijkheid |
|---|---|---|
| Beheerder | Volledig (eigen domein) | Klant configureert rechten |
| Zorgverlener | Zorgdossier eigen cliënten | Klant definieert behandelrelatie |
| Rapportage | Aggregaat/geanonimiseerd | YipYip implementeert data-filtering |
| YipYip support | Technisch (geen inhoud) | Read-only via impersonation log |
Concrete rollen zijn project- en klantspecifiek en worden vastgelegd in de functionele specificaties.
Opname in ontwikkelproces
Toegangsbeheer maakt onderdeel uit van de YipYip development workflow:
- Kick-off: Toegangsmatrix opstellen met klant; opnemen als architectuuronderdeel
- Sprint planning: Access control als acceptatiecriteria bij user stories met gezondheidsdata
- Code review: Reviewers controleren aanwezigheid van role-checks op alle relevante endpoints
- Security testing: Autorisatie-tests in testplan (kan je als rol X data van rol Y zien?)
- Oplevering: DevOps Lead verifieert dat geen data toegankelijk is zonder correcte rol
Contractueel kader
- In de verwerkersovereenkomst met de klant wordt vastgelegd dat YipYip RBAC-functionaliteit levert en de klant verantwoordelijk is voor roleninrichting
- YipYip documenteert de beschikbare rollen en rechten in de technische specificatie (API-documentatie)
- Wijzigingen in het rollenmodel worden als change request behandeld
Gaps
- Formele toegangsmatrices zijn niet voor alle actieve projecten gedocumenteerd (historisch)
- Periodieke review van toegangsrechten (bijv. bij uitdiensttreding) is klantproces; YipYip biedt geen geautomatiseerde signalering buiten de applicatie
Bewijs
| Type | Beschrijving | Locatie |
|---|---|---|
| Architectuur | Toegangsmatrix per project | Projectdocumentatie / Confluence per klant |
| Code | Role-checks in codebase | GitHub repository per project |
| Contractueel | Verwerkersovereenkomst | registers/leveranciers.yaml |
| Tests | Autorisatie-testresultaten | Testrapportage per project |
Opmerkingen
YipYip is geen zorginstelling en heeft geen behandelaren, verpleging of administratie in de WGBO-zin. Deze maatregel richt zich op de technische borging van RBAC in de door YipYip geleverde software, zodat klant-zorginstellingen hun eigen toegangsbeleid conform NEN7510 kunnen implementeren.
Laatst gereviewed: 2026-03-26