Minister Klink, bedankt!

Heeft u hem ook gehad, afgelopen zaterdag? De bekende brief? Niet iedereen heeft hem gehad. Dat komt omdat er veel mensen een NEE, NEE-sticker op de brievenbus hebben en de wet verbiedt om de niet geadresseerde brief hier af te leveren. Maar hij is ook niet belangrijk. Als je NIETS doet komt het helemaal goed. Ik heb hem wel gehad, en ik heb hem maar liefst drie keer gelezen. Niet omdat ik het leuk vond, maar ik wil graag weten wat de implicatie is. Dat ga ik dan hier eens haarfijn proberen uit te leggen.

Het Electronische Patienten Dossier.

Wat doet het EPD?

Met het EPD kunnen zorgverleners (werkgevers, ministeries, spionnen, iedereen die maar wil) medische gegevens uitwisselen. Zo kunnen ze snel je actuele medische gegevens opvragen en inzien. Op een (on) veilige en (on) betrouwbare manier. Ook als je 's avonds of in het weekend zorg nodig hebt (of gaat solliciteren of een nieuwe vlam ontmoet). Waar in Nederland (en de rest van de wereld) je ook bent.

Welke medische gegevens worden uitgewisseld?

Het EPD geeft zorgverleners (en alle anderen op deze wereld) toegang tot medische gegevens die nodig zijn om je goed te helpen (of om een goede inschatting te maken of je wel die werknemer bent die je zegt te zijn).

Iedereen kan snel en gemakkelijk jouw complete dossier opvragen en bekijken.

Wat zijn de voordelen van het uitwisselen van medische gegevens?

De voordelen zijn legio. Je arts kan je sneller helpen. Je werkgever kan kijken of je echt wel ziek bent. Je toekomstige werkgever kan kijken of je wel de juiste kandidaat bent. Stel je eens voor dat die ideale kandidaat de afgelopen drie jaar vier burnouts heeft gehad. Die moeten we niet hebben. Maar voor mensen die een beetje verstand hebben van chipcards is het de ideale methode om een webwinkel te starten. Inzage in medische dossiers. Dat is de ultieme missing link.

Nog een groot voordeel is dat je arts niet de kennis heeft om het EPD te gebruiken. Zijn dossiers moeten er wel in. Gelukkig komt er een wetsvoorstel om je arts te dwingen het EPD te gaan gebruiken. Ict-bedrijven maken zich al op om er een graantje van mee te pikken. Het zal eerder een kolf zijn, want er is veel geld, expertise en mankracht nodig.

Hoe worden medische gegevens veilig en betrouwbaar uitgewisseld?

Niet. Ja, lekker kort en krachtig. Er wordt gebruik gemaakt van het BSN-nummer, het vroegere sofi-nummer. En er zijn legio gevallen bekend van sofinummers waar meer dan tien mensen achter schuilen. Stel je voor dat je in het ziekenhuis komt en daar te horen krijgt dat een ontstoken eierstok moet worden verwijderd. Terwijl er redelijk veel aanwijzingen zijn dat je een man bent. Lijkt me wel leuk.

Gelukkig wordt het opvragen en gebruiken van de medische gegevens goed beveiligd. Zorgverleners maken daarvoor gebruik van een chipkaart met unieke pincode die voor het gemak op de chipkaart zelf ligt opgeslagen. Jazeker, het is dezelfde techniek als die we gaan gebruiken voor het OV. Lekker gemakkelijk. Reeds jaren geleden gekraakt. Dat maakt het ook veel gemakkelijker. Doordat de chip reeds gekraakt is, is hij niet zo duur. Dat past goed in het crisisbudget.

Hoe maak je bezwaar tegen het uitwisselen van je medische gegevens?

Daarvoor moet je een formulier invullen en opsturen. Postzegel niet vergeten. Je hebt maar één brief gekregen? Dat klopt. Je kunt er meerdere opvragen voor de rest van het gezin door voor tien cent per minuut naar het EPD te bellen. Kosten van de mobiele telefoon niet meegerekend. Je kunt de brief ook downloaden. Maar dan moet je hem uitprinten en opsturen.  Hoe je het ook wendt of keert, bezwaar maken gaat geld kosten. Dat zal zeker een aantal mensen weerhouden om bezwaar te maken. Dat is dan weer mooi meegenomen voor minister Klink.

Wat je nog meer moet weten over het EPD?

– Belangrijk is te weten dat het EPD niet veilig is.De chipkaart die wordt gebruikt  is reeds gekraakt. Het koste mij maar elf uur om het algoritme te achterhalen.
– Je moet weten dat je medische gegevens op straat liggen.
– Je moet ook weten dat ons koninklijk huis, meneer Balkenende en zelfs minister Ab Klink zelf bezwaar maken. Zij zullen er niet in voorkomen.
– Je moet vooral zelf weten of je wel of niet wilt dat je gegevens in het EPD komen.
– Maar je moet achteraf niet komen klagen bij minister Klink dat jouw gegevens op internet staan. Want dat dit kan gebeuren, kan ik je nu al voorspellen.

Als geïnteresseerde heb ik een onderzoek gedaan naar het EPD. De gebruikte technieken, en de methodes om gegevens uit te wisselen. Ik heb een testkit opgevraagd bij het UZI. Dit UZI beheert het knooppunt waar alles bij elkaar komt. Ik heb mijn eigen GRID-netwerk gebruikt om het algoritme te kraken, en kom tot de conclusie dat er vele kaartjes in gebruik zijn die omgebouwd kunnen worden tot EPD-kaartjes. Iedereen die zich bezighoudt met het EPD, de implementatie, het gebruik, het beheer, en wat nog meer, heeft toegang en kan gegevens opvragen. Toetsing vindt alleen plaats als je dat wilt. Je moet aangeven dat je inzage wilt in wie jouw gegevens heeft opgevraagd. Doe je dit niet, dan is er GEEN toetsing.

Het grootschalig invoeren van het EPD is voor crackers en scriptkiddies een ultieme methode om te laten zien wat ze kunnen. Ik refereer nog even aan het artikel https://www.computable.nl/artikel/ict_topics/security/2696254/1276896/doemdenken-over-het-epd.html dat door veel media is opgepikt.

Doe vooral wat je zelf denkt, maar overweeg voor jezelf hoe goed de overheid is in het beveiligen van onze gegevens.