Farmaceutische bedrijven kunnen professionele kwalificaties verifiëren in digitale serviceworkflows door gebruik te maken van attestations die zijn uitgegeven onder het eIDAS 2.0-kader en worden gepresenteerd via de European Digital Identity Wallet (EUDI-wallet) of andere gecertificeerde identiteitsmiddelen. Een zorgprofessional presenteert zijn of haar kwalificatie digitaal, waarna het ontvangende systeem drie verificatiecontroles uitvoert om de geldigheid te bevestigen. De secties hieronder behandelen de meest gestelde vragen van organisaties in de farmasector wanneer zij dit in hun processen beginnen te integreren.
Welke soorten professionele kwalificaties moeten farmaceutische workflows verifiëren?
Farmaceutische workflows moeten doorgaans kwalificaties verifiëren die de professionele status, licentie en bevoegdheid van een persoon bevestigen om toegang te krijgen tot gereguleerde producten of diensten. De meest voorkomende voorbeelden zijn medische licenties, apothekersinschrijvingen, voorschrijversidentificatoren en bewijs van professionele affiliatie. Voor grensoverschrijdende interacties verloopt de onderliggende erkenning van beroepskwalificaties via Richtlijn 2005/36/EG, die de wederzijdse erkenning binnen de EU-lidstaten regelt.
In de praktijk omvatten de kwalificaties die het vaakst voorkomen in digitale farmaceutische workflows:
- Licenties voor medische beroepsbeoefenaars en voorschrijversidentificatoren
- Apothekersinschrijving en verstrekkingsbevoegdheden
- Attestations van ziekenhuis- of instellingsaffiliatie
- Bevoegdheden voor het omgaan met verdovende middelen
- Registraties van permanente professionele ontwikkeling
- Kwalificaties voor deelname aan onderzoek en klinische studies
Elk van deze heeft een ander doel in de workflow. Een voorschrijversidentificator is vereist voordat een digitaal receptsysteem een bestelling accepteert. Een apothekersinschrijving wordt gecontroleerd voordat toegang tot verstrekking wordt verleend. Een instellingsaffiliatie kan vereist zijn voordat een medisch vertegenwoordiger toegang kan krijgen tot een afgeschermd productportaal. De rode draad is dat de kwalificatie actueel moet zijn, uitgegeven door een erkende autoriteit en verifieerbaar op het moment van de transactie.
Hoe vertraagt handmatige verificatie van kwalificaties de farmaceutische dienstverlening?
Handmatige verificatie van kwalificaties vertraagt de farmaceutische dienstverlening omdat het bij elk contactpunt vertragingen introduceert waar de professionele status van een persoon bevestigd moet worden. Wanneer een systeem afhankelijk is van papieren documenten, e-mailbijlagen of telefoontjes naar een licentie-instantie, voegt elke stap tijd toe, creëert ruimte voor fouten en vereist dat medewerkers werk herhalen dat elders al is gedaan.
De praktische gevolgen zijn op meerdere plekken zichtbaar. Het onboarden van een nieuwe zorgprofessional op een digitaal voorschrijfplatform kan dagen duren als het proces handmatige documentverzameling en backoffice-beoordeling omvat. Grensoverschrijdende situaties verlopen nog trager, omdat licentieregisters in verschillende lidstaten niet altijd op een gestandaardiseerde manier toegankelijk zijn. Een farmaceutisch bedrijf dat een pan-Europees medisch informatieportaal beheert, kan merken dat zijn verificatieteam de kwalificaties van dezelfde professional meerdere keren verwerkt in verschillende markten.
Er is ook een compliancedimensie. Handmatige processen zijn moeilijker te auditeren. Als een toezichthouder bewijs vraagt dat alleen bevoegde professionals toegang hadden tot een afgeschermde dienst, is een papieren spoor samengesteld uit e-mails en gescande documenten veel minder betrouwbaar dan een gestructureerd digitaal dossier. Het risico op het accepteren van een verlopen of ingetrokken kwalificatie is ook groter wanneer controles handmatig worden uitgevoerd, omdat de persoon die het document beoordeelt mogelijk geen toegang heeft tot een live register.
Wat zijn verifieerbare kwalificaties en hoe zijn ze van toepassing op de farmasector?
Binnen het eIDAS 2.0-kader is de relevante term attestation of attributes, niet “verifiable credential” als zelfstandig concept. Een attestation is een digitaal ondertekende verklaring, uitgegeven door een bevoegde partij, die specifieke kenmerken van een persoon bevestigt, zoals diens professionele licentie of inschrijvingsstatus. De verordening onderscheidt drie categorieën: Qualified Electronic Attestations of Attributes (QEAA), uitgegeven door Qualified Trust Service Providers; PuB-EAA, uitgegeven door of namens een overheidsinstantie die verantwoordelijk is voor een authentieke bron, met dezelfde juridische waarde als het papieren equivalent; en niet-gekwalificeerde EAA, uitgegeven door andere partijen.
Voor farmaceutische workflows is de meest relevante categorie PuB-EAA. Een nationale medische raad of apothekersinschrijvingsautoriteit die een digitale attestation van de licentie van een professional uitgeeft, valt in deze categorie. Die attestation heeft dezelfde juridische status als de papieren licentie die zij vertegenwoordigt. Een farmaceutisch bedrijf dat deze accepteert in een digitale workflow hoeft het papieren document niet als back-up op te vragen.
Wanneer een professional een attestation presenteert via de EUDI-wallet, voert het ontvangende systeem drie controles uit:
- Verificatie van de handtekening van de uitgever: Het systeem controleert de handtekening van de uitgever aan de hand van de trusted list van de relevante lidstaat. Deze controle kan offline worden uitgevoerd.
- Controle van de intrekkingsstatus: Het systeem raadpleegt de intrekkingsinformatie die door de uitgever is gepubliceerd om te bevestigen dat de attestation niet is ingetrokken. Dit vereist een live verbinding met de statusdienst van de uitgever. Het overslaan van deze stap betekent het accepteren van kwalificaties die mogelijk zijn ingetrokken na een disciplinaire maatregel of het verlopen van een licentie.
- Controle van de wallet unit attestation: Het systeem bevestigt dat de wallet die de kwalificatie presenteert een gecertificeerde wallet solution is en geen nep- of niet-conforme applicatie.
Alle drie de controles samen vormen een volledige verificatie. De eerste alleen is niet voldoende in een gereguleerde farmaceutische context waar intrekking van licenties een reële en ingrijpende gebeurtenis is.
Hoe kan de EUDI-wallet de verificatie van kwalificaties in farmaceutische workflows ondersteunen?
De EUDI-wallet ondersteunt de verificatie van kwalificaties in farmaceutische workflows door zorgprofessionals een veilige, gestandaardiseerde manier te bieden om hun professionele attestations digitaal bij te houden en te presenteren. Een apotheker, arts of klinisch onderzoeker kan zijn of haar licentie-attestation opslaan in de wallet en deze in seconden presenteren aan de digitale dienst van een farmaceutisch bedrijf, zonder papieren kopieën in te dienen of te wachten op een backoffice-controle.
De wallet opereert op het hoge betrouwbaarheidsniveau, het niveau dat bestaande verificatiemethoden zelden op eigen kracht bereiken. Dat is van belang in de farmasector, omdat toegang tot beperkte productinformatie, systemen voor verdovende middelen of klinische dataplatforms doorgaans een hoge mate van zekerheid vereist over de identiteit en status van de professional.
Selective disclosure is hier een praktisch voordeel. Een professional die kwalificaties presenteert aan een farmaceutisch portaal hoeft niet zijn of haar volledige identiteitsrecord te delen. Ze kunnen alleen de kenmerken presenteren die de dienst heeft geregistreerd om op te vragen, zoals hun licentienummer en professionele categorie, zonder hun thuisadres of geboortedatum bloot te geven. De wallet handhaaft dit op technisch niveau: het controleert de geregistreerde kenmerkscope van de verzoekende partij en stopt de presentatie als het verzoek verder gaat dan wat is geregistreerd.
Voor farmaceutische bedrijven die actief zijn in meerdere EU-markten pakt de wallet ook het grensoverschrijdende probleem aan. Een gecertificeerde wallet uitgegeven in één lidstaat wordt geaccepteerd door een relying party in een andere, omdat het vertrouwenskader gedeeld wordt binnen de EU. De erkenning van de onderliggende beroepskwalificatie verloopt nog steeds via Richtlijn 2005/36/EG, maar het mechanisme voor het presenteren en verifiëren van de kwalificatie is gestandaardiseerd.
Het is de moeite waard op te merken dat het gebruik van de wallet vrijwillig is. Geen enkele professional kan worden verplicht een wallet te gebruiken, en artikel 5a van eIDAS 2.0 verbiedt het benadelen van degenen die dat niet doen. Farmaceutische bedrijven die digitale workflows bouwen, moeten alternatieve verificatiepaden beschikbaar houden naast wallet-gebaseerde flows.
Welke compliancevereisten gelden voor digitale verificatie van kwalificaties in de farmasector?
Farmaceutische bedrijven die digitale attestations accepteren via de EUDI-wallet moeten zich registreren als relying party onder CIR (EU) 2025/848 van 6 mei 2025 voordat ze walletgegevens kunnen opvragen. Registratie vindt plaats bij een nationale autoriteit in de lidstaat waar het bedrijf is gevestigd. Zonder registratie geeft de wallet geen kenmerken vrij aan de verzoekende dienst.
Registratie heeft een bindend gevolg dat gemakkelijk wordt onderschat. Bij registratie specificeert een relying party exact welke kenmerken en attestations het zal opvragen, per beoogd gebruik. De wallet controleert elk inkomend verzoek aan de hand van die geregistreerde scope. Als een dienst meer opvraagt dan waarvoor het is geregistreerd, stopt de wallet de presentatie. Het opvragen van kenmerken buiten de geregistreerde scope is een expliciete grond voor intrekking van de registratie. Dit betekent dat de beslissing over de kenmerkscope bij registratie geen formaliteit is: het bepaalt de buitenste grens van wat de dienst kan ontvangen.
Naast eIDAS 2.0 moeten farmaceutische bedrijven die professionele kwalificaties verwerken rekening houden met:
- AVG, artikelen 6 en 9: Professionele gegevens kunnen gezondheidsgebonden kenmerken bevatten. Een rechtsgrondslag op grond van artikel 9, lid 2, is vereist voor de verwerking van bijzondere categorieën persoonsgegevens. De goedkeuring van de gebruiker in de wallet is niet hetzelfde als toestemming op grond van artikel 6, lid 1, onder a, AVG, en het bedrijf heeft een eigen rechtmatige grondslag voor verwerking nodig.
- Sectorspecifieke regels: Toegang tot systemen voor verdovende middelen en receptplatforms wordt geregeld door nationale farmaceutische wetgeving en EU-richtlijnen die naast eIDAS 2.0 bestaan. De wallet biedt het verificatiemechanisme; sectorregels bepalen wat die verificatie ontsluit.
- Logverplichting: Relying parties moeten vastleggen dat ze binnen hun geregistreerde kenmerkscope zijn gebleven, niet de volledige set gepresenteerde kenmerken. Meer vastleggen dan noodzakelijk ondermijnt de selective disclosure die de wallet aan de voorkant biedt.
De verplichting voor acceptatie door de private sector op grond van artikel 5f van eIDAS 2.0 geldt voor gereguleerde sectoren waar sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Zorg- en farmaceutische diensten vallen binnen dat toepassingsgebied. De deadline voor private relying parties is 24 december 2027.
Waar moeten farmaceutische bedrijven beginnen met digitale verificatie van kwalificaties?
Farmaceutische bedrijven moeten beginnen met het identificeren van de workflows waar verificatie van professionele kwalificaties al vereist is en waar vertragingen of fouten de meeste wrijving veroorzaken. Verificatie van voorschrijvers voor digitale bestelsystemen, authenticatie van apothekers voor verstrekkingsplatforms en HCP-toegang tot afgeschermde medische informatieportalen zijn de meest voorkomende startpunten.
Daarna ziet de praktische volgorde er als volgt uit:
- Breng de kwalificaties in kaart die je moet verifiëren en identificeer welke uitgevende autoriteiten verantwoordelijk zijn voor elk. Bepaal of die autoriteiten PuB-EAA of niet-gekwalificeerde attestations uitgeven, omdat dit de juridische waarde beïnvloedt van wat je ontvangt.
- Definieer je kenmerkscope voor elk gebruiksscenario vóór registratie. De scope die je registreert onder CIR (EU) 2025/848 is bindend, dus deze beslissing verdient zorgvuldige beoordeling door juridische, compliance- en technische teams.
- Registreer je als relying party bij de nationale autoriteit in je lidstaat van vestiging. Toegangscertificaten die na registratie worden uitgegeven, zijn wat wallets controleren voordat ze gegevens vrijgeven.
- Implementeer de drie verificatiecontroles voor elke kwalificatiepresentatie: handtekening van de uitgever aan de hand van de trusted list van de relevante lidstaat, intrekkingsstatus via de statusdienst van de uitgever, en wallet unit attestation om te bevestigen dat de presenterende wallet gecertificeerd is.
- Houd alternatieve verificatiepaden beschikbaar voor professionals die geen wallet gebruiken, aangezien walletgebruik vrijwillig blijft op grond van artikel 5a.
De deadline van 24 december 2027 voor acceptatie door de private sector geeft organisaties tijd om te bouwen en te testen, maar registratie, technische integratie en interne proceswijzigingen kosten allemaal meer tijd dan ze op papier lijken. Beginnen met de scoping en het registratieproces in 2026 geeft ruimte om bij te sturen voordat de verplichting van kracht wordt.
Hoe de ID Connector farmaceutische verificatie van kwalificaties ondersteunt
De ID Connector is een integratie waarmee relying parties elke gecertificeerde Europese wallet kunnen accepteren, ongeacht welke lidstaat deze heeft uitgegeven, voor identificatie, inloggen en gekwalificeerd ondertekenen. EUDI-wallet-acceptatie staat voorop; dezelfde interface ondersteunt ook andere ID’s, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor farmaceutische verificatie van kwalificaties specifiek verzorgt de ID Connector de technische laag die zich bevindt tussen een digitale dienst en het wallet-ecosysteem. Dit omvat:
- Handtekeningvalidatie van attestations aan de hand van de trusted lists van de relevante lidstaten
- Controles van de intrekkingsstatus aan de hand van door uitgevers gepubliceerde statusinformatie, zodat verlopen of ingetrokken professionele licenties niet worden geaccepteerd
- Validatie van de wallet unit attestation, waarmee wordt bevestigd dat de presenterende wallet op een gecertificeerde wallet solution draait
- Handhaving van de geregistreerde kenmerkscope, zodat de dienst alleen ontvangt waartoe het bevoegd is te verzoeken
- Hergebruik van geverifieerde identiteitsgegevens bij interacties, zodat een professional die al is geverifieerd het volledige proces niet bij elk contactpunt hoeft te herhalen
Financiële dienstverleners, zorgorganisaties, farmaceutische bedrijven en overheidsorganisaties gebruiken de ID Connector om geverifieerde identiteit te integreren in de bedrijfsprocessen die daarvan afhankelijk zijn. Neem contact op met TrustTech om je farmaceutische workflows via één integratie te verbinden met het EUDI-wallet-ecosysteem.