Implementation Guide
ePA Medication Service
Version 1.2.0-ballot.2 - draft

## Datenschutz und Sicherheit

Das ePA-Aktensystem muss nachstehende Anforderungen umsetzen, um Zugriffe auf den Medication Service zu legitimieren.

Dem Medication Service MÜSSEN zur Auswertung in Operationen für jede Aktivität die folgenden Informationen bereitstehen:

- Name des Nutzers
- Nutzergruppe/Rolle (ProfessionOID)
- Kennung (Telematik-ID / KVNR)
- Hinweis auf eine gültige Befugnis des aktuellen Benutzers (requestor)

Der Medication Service MUSS die gesetzlich verbindlichen Regelungen der Zugriffsrechte bezüglich der Berufsgruppen und Datenkategorien aus der [gemSpec_Aktensystem_ePAfueralle#Legal Policy] berücksichtigen. Diese Zugriffsrechte gelten nicht für die Operationen, die für den E-Rezept-Fachdienst bereitgestellt werden. Die generelle Ausführung des Medication Service ist ausschließlich für ePA-Client-Systeme mit einer Nutzgruppe aus der nachstehenden Liste durchzuführen.

professionOID
oid_institution-arbeitsmedizin
oid_institution-geburtshilfe
oid_institution-oegd
oid_institution-pflege
oid_institution-vorsorge-reha
oid_krankenhaus
oid_öffentliche_apotheke
oid_praxis_arzt
oid_praxis-ergotherapeut
oid_praxis-ernaehrungstherapeut
oid_praxis-logopaede
oid_praxis-physiotherapeut
oid_praxis-podologe
oid_praxis_psychotherapeut
oid_versicherter
oid_zahnarztpraxis

Tabelle: Befugbare Nutzergruppen mit Ausführungsrecht für Verarbeitung von Daten des Medication Service
Der Medication Service MUSS sicherstellen, dass die folgenden FHIR-Operationen ausschließlich durch den E-Rezept-Fachdienst mit der professionOID oid_erp-vau genutzt werden dürfen:

Operation API | OperationId
--- | ---
Operation API: Verschreibungsdaten einstellen | providePrescription_MedicationSvc
Operation API: Verschreibungsdaten stornieren | cancelPrescription_MedicationSvc
Operation API: Dispensierinformationen einstellen | provideDispensation_MedicationSvc
Operation API: Dispensierinformationen stornieren | cancelDispensation_MedicationSvc

Tabelle: OperationIds für Operation APIs

### Protokollierung

Die Protokollierung erfolgt über den Audit Event Service. Weitere Anforderungen sind [gemSpec_Aktensystem_ePAfueralle#Audit Event Service] zu entnehmen.