Het dossier op FHIR

We bouwen pas iets als een echte casus het afdwingt. De casus is één echt dossier: labwaarden uit vier bronnen en de wegingen van een slimme weegschaal. Dat dossier bestond nergens als geheel.

Het systeem bestaat uit vier delen. Een FHIR-server op HAPI bewaart de metingen; FHIR is een internationale standaard voor het uitwisselen van zorggegevens. Het sleutelregister weet welke mens het is en waarvoor hij toestemming gaf. Keycloak regelt het inloggen. Een aparte dienst haalt de gegevens van de weegschaal op.

Het meetcontract legt per waarde de code, de eenheid en de herkomst vast, met een versienummer en een test die faalt bij afwijking. De codes komen uit LOINC, de internationale codelijst voor metingen. Twee codes uit het eerste plan bleken fout. Elke code is sindsdien per stuk nagekeken.

De server staat sinds augustus 2026 in productie. Dat dossier staat op productie. De wegingen staan erin. De labwaarden staan er nog niet in; dat is de volgende stap.

Andere leden kunnen nog niet bij hun eigen dossier. De koppeling tussen een account en een dossier stond op 23 september 2026 bij één account.

De server legt vast wie een dossier las en wie erin schreef. Een lid leest en schrijft alleen in zijn eigen dossier. Toegang die niet uitdrukkelijk is toegestaan, weigert de server.

Eigen metingen opslaan en tonen maakt software geen medisch hulpmiddel. Interpreteren richting behandeling kan dat wel doen. We tonen waarden en leggen uit wat ze zijn. Advies over behandeling en diagnoses geven we niet.

Voor AI geldt dezelfde grens: samenvatten, uitleggen en trends tonen wel, adviseren en diagnosticeren niet. Die grens trekken we nu; in de software is hij nog niet afgedwongen.

We bouwen naar de structuur van NEN 7510 en 7513, de Nederlandse normen voor informatiebeveiliging en logging in de zorg. De logging wijkt daar nog van af. Een certificaat is er niet en een derde heeft niets getoetst.

De servers staan in Amsterdam. De database en Keycloak staan in de EU. De FHIR-server, het sleutelregister en de dienst voor de weegschaal staan op ons Kubernetes-cluster. Het sleutelregister is alleen binnen dat cluster bereikbaar.

Medische persoonsgegevens blijven buiten elke code-repository, de plek waar de broncode staat. Geheimen zoals wachtwoorden staan in een kluis en nooit in code. Elke wijziging in productie gaat langs een mens.

De privacydocumenten en de bewaartermijn van back-ups staan open. Het vastleggen van de bron van een meting is nog niet af.

Toestemming woont in het sleutelregister. De doorwerking daarvan in de FHIR-server staat nog open. Een toets per functie op de grens met een medisch hulpmiddel is er nog niet.

De volgende stap is een eigen pod: een persoonlijke opslag waar iemand zelf de sleutel van heeft. Open is in welke vorm een dossier daar landt, wie de pod host en of de pod de bron wordt of een kopie.