Antwoord
De verplichting om te loggen is onderdeel van de wettelijke verplichting om persoonsgegevens te beveiligen. Daarnaast heeft het Nederlands Normalisatie Instituut (NEN) een norm vastgesteld over logging (NEN 7513). Verwerkingsverantwoordelijken voor een Elektronisch Uitwisselingssysteem (EUS) en/of zorginformatiesysteem, zijn verplicht om ervoor te zorgen dat genoemde systemen voldoen aan de eisen van NEN 7513.
Logging is verplicht, omdat de dossierhouder moet kunnen zien wie gegevens uit zijn of haar dossier(s) heeft geraadpleegd. Dit houdt in dat de dossierhouder onweerlegbaar moet kunnen vaststellen welke gebeurtenissen hebben plaatsgevonden in het dossier.
De Gedragscode van de KNMG vereist geschikte logging met toepasselijke controleprocedures. De hoeveelheid aan loggingcontroles is niet vastgelegd in de wet, maar het periodiek controleren van loggegevens wordt aanbevolen om de veiligheid van (patiënt)gegevens te waarborgen. De vraag over wat periodieke controle precies inhoudt, kan blijven bestaan. Hieronder worden enkele uitgangspunten gegeven met betrekking tot periodieke controle:
Volgens NEN 7510 is het verplicht om logbestanden van gebeurtenissen die gebruikersactiviteiten, uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, te creëren, te bewaren en regelmatig te beoordelen.
Het rapport "Toegang tot digitale patiëntendossiers binnen zorginstellingen" benadrukt dat controle van logging systematisch en consistent moet plaatsvinden. Een steekproefsgewijze controle en/of controle op basis van klachten is niet toereikend.
Het doen van slechts één of enkele proactieve steekproeven per jaar wordt als onvoldoende beschouwd om te voldoen aan het vereiste van een passend beveiligingsniveau met betrekking tot logging.
De Autoriteit Persoonsgegevens (AP) is van mening dat een wekelijkse controle van dossiers die zijn geraadpleegd via de noodknopprocedure, zonder twijfel voldoet aan de eisen voor een systematische en consistente controle van loggegevens.