Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

Gesundheits-API mit Patientenzustimmung

Wie der Zugriff auf einen Datensatz durch den Patienten über OAuth 2.1 Scopes und Dauern gewährt wird, protokolliert und widerrufbar ist, was sich am Design einer Anwendung ändert und wie paarweise IDs Anwendungen voneinander trennen.

Eine Healthcare API mit Patienteneinwilligung ist eine, bei der der Zugriff auf einen Datensatz durch den Patienten für einen Zweck und für eine bestimmte Zeit gewährt wird und vom Patienten eingesehen und widerrufen werden kann, anstatt einmalig von der Organisation, die die Daten besitzt, entschieden zu werden. In Anpheros ist die Einwilligung kein Feld, das Sie setzen; es ist der Mechanismus, durch den eine Anwendung überhaupt erst auf einen Datensatz zugreift. Diese Anleitung erklärt, wie das für einen Entwickler funktioniert und was sich dadurch im Design einer Anwendung ändert.

Zwei Wege, um auf einen Datensatz zuzugreifen

	Organisationszugriff	Patientengewährter Zugriff
Wer autorisiert	Ihre Organisation, über einen API-Schlüssel	Der Patient, über einen OAuth 2.1-Zustimmungsbildschirm
Typische Verwendung	Eine Klinik oder ein Labor, das Ergebnisse schreibt; Ihre eigene App, die im Namen ihrer Benutzer schreibt	Eine Drittanbieter-App, ein KI-Assistent, ein Werkzeug für Ärzte, ein Familienmitglied
Umfang	Die Patienten, die Ihre Organisation erstellt hat oder die ihr zugeteilt wurden	Die Bereiche (Scopes), die der Patient akzeptiert hat (`patient/Observation.read`, …)
Dauer	Solange der Schlüssel gültig ist	Die vom Patienten gewählte Dauer; verlängerbar, widerrufbar
Für den Patienten sichtbar	Ja, im Zugriffslog	Ja, mit der Möglichkeit zum Widerruf

Beide Wege führen über dieselbe API und denselben FHIR-Datensatz. Der Unterschied liegt darin, wer den Schlüssel zur Tür hält.

Der Einwilligungsablauf, Schritt für Schritt

Ihre Anwendung sendet den Patienten mit den benötigten Scopes und einem Grund in Klartext an den Anpheros-Autorisierungsendpunkt.
Der Patient sieht, was Sie anfordern, wählt eine Dauer und akzeptiert oder lehnt ab. Der Bildschirm ist in der Sprache des Patienten.
Sie erhalten ein Zugriffstoken, das auf diese Scopes und diesen Patienten beschränkt ist. Tokens sind kurzlebig; Refresh-Tokens sind so lange gültig wie die Einwilligung.
Jeder Lese- und Schreibvorgang mit diesem Token wird mit dem Namen Ihrer Anwendung protokolliert. Der Patient sieht das Protokoll in seiner App.
Wenn der Patient die Einwilligung widerruft, schlägt die nächste Anfrage mit einer klaren Fehlermeldung fehl. Sie erhalten einen Webhook, damit Sie aufräumen können.

Der Ablauf ist Standard OAuth 2.1 mit PKCE und SMART on FHIR Scopes, sodass bestehende Bibliotheken funktionieren. Der Leitfaden Authentication and OAuth enthält die genauen Parameter und das Consent and access model die Regeln dahinter.

Was sich in Ihrer Anwendung ändert

Sie fragen nach weniger. Scopes sind pro Ressourcentyp und pro Richtung. Eine App, die Gewichtsdaten aufzeichnet, fragt nach Observation.read, nicht nach dem gesamten Datensatz.
Sie planen für den Entzug. Der Zugriff kann jederzeit enden. Cachen Sie wenig, lesen Sie bei Bedarf neu und behandeln Sie den Fehler "revoked" als normalen Zustand.
Sie erhalten Vertrauen kostenlos. Patienten sehen den Namen Ihrer Anwendung, worauf sie zugreifen kann und wann sie zuletzt etwas gelesen hat. Anwendungen, die sich gut verhalten, werden leichter akzeptiert.
Sie schreiben mit Herkunftsnachweis. Alles, was Sie schreiben, trägt Ihre Anwendung als Autor und, wenn relevant, die Person, in deren Auftrag. Der Patient und andere Anwendungen können Ihre Daten von ihren unterscheiden.

Identifikatoren, die nicht preisgeben

Jede Anwendung sieht einen Patienten unter einer paarweisen Kennung: dieselbe Person hat eine andere ID in Ihrer Anwendung und in einer anderen. Zwei Anwendungen können ihre Daten über eine Person nicht ohne die Zustimmung des Patienten zusammenführen, selbst wenn beide auf Anpheros basieren. Für Ihren Code ist dies unsichtbar; für den Patienten ist es der Unterschied zwischen Zustimmung und einer Formalität.

Familien und Betreuer

Die Zustimmung erstreckt sich auf Personen, die Aufzeichnungen für andere verwalten: ein Elternteil für ein Kind, ein erwachsenes Kind für einen älteren Elternteil. Die Aufzeichnung verbleibt bei dem Konto, das sie erstellt hat; andere Konten erhalten Zugriff, der widerrufen werden kann. Ihre Anwendung sieht denselben Zustimmungsmechanismus, wobei der Betreuer die Person ist, die zustimmt.