Een lezer vroeg me:
Mijn apotheek biedt de mogelijkheid om online herhaalrecepten voor medicatie aan te vragen. Maar dan moet je inloggen met BSN. Dat mag toch helemaal niet?
De regel bij het BSN is eigenlijk simpel: alleen als in een wet staat dat het voor een specifiek doel mag worden gebruikt, is dat toegestaan. Ander gebruik, hoe handig of makkelijk ook, is eenvoudigweg verboden. En ja, hier staan boetes op sinds 1 januari.
Dat een apotheek het BSN mag gebruiken, staat in de Wet gebruik BSN in de zorg. Doel is te waarborgen dat de in het kader van de verlening van zorg te verwerken persoonsgegevens op die cliënt betrekking hebben. Je wilt immers geen medicatie aan de verkeerde persoon meegeven, of per abuis onthullen wat voor aandoening iemand heeft.
Het daaronder hangend Besluit werkt uit dat bij het identificeren van een klant het BSN mag worden gebruikt. Hierbij kan ik echter niet vinden hoe dat moet, en al helemaal niet in het geval de cliënt zich online meldt. Ik vermoed dus dat het niet mag, omdat er geen wettelijke regeling lijkt te zijn die zegt van wel.
Meer algemeen lijkt het me problematisch, omdat het BSN in het algemeen niet bedoeld is als dossiernummer of administratief kenmerk. Een gebruikersnaam valt daar ook onder. Dit wordt ook zo gemeld door de toezichthouder, de Autoriteit Persoonsgegevens:
De gemeente mag uw burgerservicenummer (BSN) niet gebruiken als briefkenmerk of dossiernummer. De gemeente mag u ook niet vragen om standaard uw BSN te vermelden in brieven die u naar de gemeente stuurt. Daarvoor is het BSN niet bedoeld.
En wat voor een gemeente geldt (hoi Beverwijk en Alkmaar) lijkt me voor een apotheek ook te gelden.
Arnoud
Totaal off-topic maar ik vraag me altijd af wie er dit soort dingen aan de gebruiker gaat vragen.
Ik ben dan erg benieuwd hoe de code er verder uit ziet….
Zoiets kan je inderdaad veel beter aan software overlaten. Hier is de gebruikte software blijkbaar niet erg geschikt om in de praktijk te gebruiken.
Ik heb wel eens een omgekeerd geval meegemaakt, waarbij het BSN blijkbaar helemaal niet werd gebruikt: de ene persoon kreeg medicijnen mee die voor de andere persoon bedoeld waren. Het bleek dat de apotheek medicijnen selecteerde op basis van geboortedatum van de klant, en er waren toevallig twee klanten met exact de zelfde geboortedatum! Gelukkig was ook de naam vermeld op de bon/verpakking, en kon de klant er zo zelf achter komen.
Heel merkwaardig. Een apotheek mag/moet het BSN gebruiken om patiënten van elkaar te onderscheiden, dat staat in de wet. Niet als dossiernummer of loginnaam maar wel als check of je de juiste persoon voor je hebt.
Tja, dat het mag (of zelfs dat het moet) betekent nog niet dat het gebeurt.
Het scheen zo te zijn dat hun (handmatige!) manier van werken zoiets was van eerst selecteren op geboortedatum, en dan nog even op naam / andere gegevens controleren. Een medewerker zal waarschijnlijk per ongeluk niet die laatste controle hebben uitgevoerd.
Zo doen ze dat bij mijn apotheek ook (‘Apotheek Almere Haven’). Tenminste, als je niet online bestelt via mijngezondheid.net (dan log je namelijk in met DigiD en gaat het dus middels je BSN). Fysiek vragen ze gewoon naar je geboortedatum + naam en dan krijg je je medicijnen mee.
Ik zou zeggen dat het toevallig is als er bij een apotheek niet twee mensen zijn met dezelfde geboortedatum….
Moet je voor de gein de volgende keer eens zeggen dat je op 1 juli jarig bent. Staat het scherm helemaal vol … Wordt / werd gebruikt voor iedereen die niet met zekerheid zijn geboortedatum kon opgeven (voornamelijk buitenlands)
Het lijkt me zelfs uitgesloten dat iedere klant een unieke geboortedatum heeft. Het lijkt me dat er geen apotheken bestaan met minder dan 366 klanten (duiventilprincipe).
Een geboortedatum bevat ook een jaartal!
Maar dan nog is het zeer onwaarschijnlijk dat er bij een normale apotheek niet twee mensen zijn met dezelfde geboortedatum.
Oeps, even in de war met verjaardagen en weer te snel gereageerd. Leuke feiten over kansberekening gaan inderdaad meestal over de verjaardag (Birthday Paradox) zonder het jaartal er bij.
Als ik http://instacalc.com/3372 mag geloven heb ik met 36.500 dagen (100 jaar) al met 900 mensen een kans van afgerond 100% op een match. Dit door het zeer grote aantal paren (>400.000) dat uit 900 mensen kan worden samengesteld.
Ach, zo weet ik dat de gemeente Utrecht in ieder geval wél om het nummer vraagt, maar er niet op checkt. Mijn vriendin trok bij mij in, heel formulier ingevuld, BSN erbij, kopie paspoort erbij, maar vervolgens hebben ze doodleuk haar tweelingzus op mijn adres ingeschreven. Volgens de medewerker aan de telefoon omdat ze op achternaam en geboortedatum hadden gechecked, en ja, die waren inderdaad hetzelfde.
Nee dat mag niet ! En het is echt van de ratten dat gemeenten zelfs via externen (cocensus) het BSN misbruiken om een elektronische dienst aan te bieden die juridisch onvoldoende geborgd is. Juist gemeenten zouden niet anders moeten gebruiken dan de overheidsvoorzieningen die daar voor bedoeld zijn. Met het gebruikelijk maken van vage sites met enkel wat invulvakjes, wordt misbruik door derden wel heel sterk “ondersteund”. Zelfs phising ziet er in de regel professioneler uit. Voor het gebruik van een persoonsgegeven bij de uitvoering van een (semi) overheidstaak, is een letterlijke wettelijke bepaling noodzakelijk. Dat geldt niet alleen voor de authenticatie, maar ook voor het aanbod van een belastingaanslag. Met dat aanbod wordt voor belanghebbende een risico geïntroduceerd waarover belanghebbende moet worden geïnformeerd en vooraf zijn instemming moet geven. Eigenlijk twee instemmingen, want zowel voor de gegevens als het gebruik van het kanaal.
Kunnen we onderhand niet stellen dat door wildgroei aan BSN-misbruik, het BSN niet meer geschikt is als identificatiemiddel? Dan kunnen we al die rare bepalingen ook laten vallen, en moet de overheid maar met een nieuw middel komen dat wel veilig is.
Het BSN is prima geschikt als identificatiemiddel. Waar het fout gaat is dat de overheid het ook als authenticatiemiddel wil gebruiken.
Je hebt gelijk. Lees ‘authenticatiemiddel’ waar ik ‘identificatiemiddel’ zei.
Die gegels worden natuurlijk continu met voeten getreden. Bel maar eens met het UWV, dan moet je je burgerservicenummer intoetsen. Je maakt mij niet wijs dat ze dat dan niet als dossierkenmerk gebruiken. Het BSN is een misbaksel.
Ben ik trouwens de enige die zich ergert aan de naam burgerservicenummer? Het komt over als een marketingdingetje, dat ze mensen het idee willen geven dat er service geleverd wordt. In de praktijk is dat natuurlijk niet echt zo. Het is van hetzelfde niveau als overheidsdiensten die eenzijdig opgelegde regels steevast “afspraken” noemen.
Ik hoorde recent dat het BSN zelfs al wordt gebruikt bij het opvragen van het wachtwoord van medewerkers om de medewerkers (in de zorg) te kunnen identificeren. Daarna werd dan een nieuw wachtwoord pas verstuurd naar het mailadres van deze persoon.
Bij deze apotheek is het zo te lezen alleen noodzakelijk bij de eerste keer inloggen als identificatie van de persoon. Daarna kan dit gelijk gewijzigd worden zodat volgende keren wordt ingelogd met gebruikersnaam en wachtwoord.
En wat te denken van de belastingdienst? Het BTW-nummer van een zzp’er die ik ken is het BSN met ervoor NL en erna .Bxx. Echt onbegrijpelijk als je het mij vraagt.
Overigens verplichten zorgverzekeraars dat het BSN op een factuur moet staan voor declaratie. Dat is toch ook een administratief kenmerk?
Sowieso is deze discussie volledig achterhaald voor elke kleine ondernemer. Zij worden door de fiscus doodleuk gedwongen hun BSN aan de wereld te adverteren in elke publictie of factuur. NL er voor en B01 er achter en presto, BSN is ineens BTW nummer geworden.
Also, de gelinkte online apotheek gebruikt geen beveiligde verbinding (TLS), verstuurt de informatie dus lekker onveilig plaintext. Gevalletje #YOLO?
Ik kwam er onlangs achter dat bij mijn werkgever, mijn personeelsnummer grote gelijkenis vertoont met mijn BSN — dezelfde 9 cijfers in dezelfde volgorde; wat een toeval!
Indien geen toeval, mag dat?