Mr. Victor de Pous is adviseur digitaal recht, beleid en strategie en ondersteunde het ministerie van VWS bij de Covid-19 applicaties en de departementaal CISO.
Gabriëlle Speijer is radiotherapeut-oncoloog in het HagaZiekenhuis en oprichter van CatalyzIT.
ICT&health maakt op deze website gebruik van cookies en vergelijkbare technieken. Wij gebruiken cookies om ervoor te zorgen dat onze website goed functioneert, om uw voorkeuren op te slaan, om inzicht te krijgen in bezoekersgedrag, maar ook voor marketingdoeleinden. Meer informatie vindt u op onze Privacybeleid.
Cookie instellingen
Accepteer alle cookies
Cookie instellingen
Pas de cookie-instellingen aan naar jouw persoonlijke voorkeur en bevestig jouw keuze. Noodzakelijke cookies zijn altijd noodzakelijk om deze website te kunnen bezoeken. U kunt uw voorkeur op ieder moment wijzigen of intrekken.
Noodzakelijk
(1)
Google Analytics
Het bijhouden van geanonimiseerde bezoekersstatistieken bij het gebruik van de website.
Functioneel
(2)
Google Analytics
Het bijhouden van persoonlijke bezoekersstatistieken bij het gebruik van de website.
Google Tag Manager
Het beheren van tags en het bijhouden van gegevens over het gebruik van de website.
Marketing
(1)
Google Ads
Het tonen van gerichte advertenties op basis van het gebruik van de website.
In 2025 registreerde Z-CERT, het cybersecurity-expertisecentrum voor de Nederlandse zorg, minstens tien succesvolle cyberaanvallen op zorgorganisaties. Het Europese agentschap ENISA plaatst de zorgsector nadrukkelijk in de risicozone, met een grote kloof tussen het maatschappelijk belang van de sector en haar digitale weerbaarheid. In april 2026 volgde de ransomware-aanval op ChipSoft, een belangrijke leverancier van zorg-ICT en EPD’s. Persoonsgegevens van patiënten, waaronder medische gegevens, werden buitgemaakt; meerdere zorginstellingen namen systemen en portalen uit voorzorg offline. Op 7 mei 2026 waren huisartsen en apothekers in Almere urenlang onbereikbaar door brand in een datacenter. Deze cijfers en incidenten zijn openbaar, maar komen zelden in een overleg op tafel.
Wie in de zorg werkt, herkent het beeld achter de cijfers. Collega’s die gewoon willen doen wat nodig is, lopen vast in een oerwoud van regels, commissies en protocollen. Ze raken gevangen in een uitputting die uiteindelijk te horen is als: ‘dit is nou eenmaal zoals het is’, ‘het mag niet van de AVG’, of ‘je mag geen AI gebruiken’. Aan wet- en regelgeving als MDR, AI Act en Cyberbeveiligingswet komt de gemiddelde arts dan vaak niet eens meer toe.
Tegelijk lijkt de sector zelf iets wezenlijks te laten liggen. Een patiënt met een kankerdiagnose vraagt in de spreekkamer waarom haar dit is overkomen en haalt alles overhoop om zelf antwoord te vinden. Die urgentie ontbreekt vaak bij digitale onveiligheid, alsof het ons als sector niet echt persoonlijk raakt. Terwijl de wet juist een gedeelde basis kan zijn, zoals in het verkeer. Daar kennen we de regels en passen we ze toe, waar we ook zijn.
De AVG is nadrukkelijk geen verbodswet, maar zorgvuldigheidsregulering. Zij is ontstaan uit het grondrecht (nationaal) en mensenrecht (internationaal) ter bescherming van onze persoonlijke levenssfeer - om de mens te dienen. Wat ontbreekt, is de vertaling van die regels naar de eed die elke arts heeft afgelegd. Met vier thema’s laten we zien hoe de wet professionele waarden, en daarmee de eed van Hippocrates, kan ondersteunen.
Thema 1. Gezondheidsinformatie onder regie van het vak
De AVG behandelt gezondheidsgegevens als een bijzondere categorie, met extra bescherming. Artikel 9 lid 2 sub h maakt verwerking van gezondheidsgegevens voor zorg mogelijk, mits die verwerking plaatsvindt binnen de zorgrelatie, onder beroepsgeheim en met passende waarborgen. Dat geheim is wettelijk verankerd, onder meer in de AVG zelf, de WGBO en de Wabvpz.
Daarmee is de kern van de arts-patiëntrelatie juridisch beschermd. Wat in de spreekkamer ontstaat, blijft vertrouwelijk, tenzij arts en patiënt samen anders besluiten of de wet anders vereist. Maar die bescherming moet technisch en organisatorisch worden doorgetrokken in alle systemen die de zorgrelatie ondersteunen. Dat de instelling formeel verwerkingsverantwoordelijke is en de leverancier verwerker, is een noodzakelijke ontwerpkeuze. Het vertrekpunt blijft het duo dat samen het gesprek voert.
Concreet betekent dit: co-regie en gezamenlijke transparantie. Arts en patiënt zien samen welke gegevens er zijn, wie ze gebruikt en met welk doel. Waar toestemming nodig is, wordt die begrijpelijk en herroepbaar georganiseerd. Waar een andere grondslag geldt, blijft de patiënt geïnformeerd en betrokken. Vertrouwelijkheid is geen administratieve eis, maar een professionele voorwaarde: een patiënt stelt zich pas open als het vertrouwelijk is, en zonder die openheid blijft het zicht op de gezondheidssituatie onvolledig.
Thema 2. Techniek veilig de zorg in
MDR, IVDR en AI Act zijn bedoeld om techniek aantoonbaar veiliger, traceerbaar en verantwoord inzetbaar te maken voordat zij patiënten raakt. Medische hulpmiddelen, in-vitrodiagnostiek en hoog-risico AI-systemen moeten worden beoordeeld, gevolgd en bijgestuurd. Dat is precies wat artsen al willen: tools waarvan duidelijk is wat ze doen, waarop zij zijn gebaseerd, en die uit de roulatie kunnen worden gehaald voordat er schade ontstaat.
De wrijving zit niet in de regels, maar in het moment waarop arts en patiënt in beeld komen. Een product wordt ontworpen, gecertificeerd en aangeboden; pas daarna worden arts en patiënt erbij betrokken. De keuzes die ertoe doen, zijn dan al gemaakt: welk probleem het product oplost, hoe het in de workflow past, op welke data het leunt en welke risico’s aanvaardbaar worden gevonden.
Door artsen en patiënten vanaf het begin samen met technologieontwikkelaars mee te laten denken, voelen zij zich medeverantwoordelijk en gedragen zij zich daar ook naar. De wettelijke kaders zijn er dan niet om innovatie te blokkeren, maar om te borgen dat de uitzondering waar het misgaat niet aan toeval wordt overgelaten.
De Cyber Resilience Act (CRA) verschuift de lat voor leveranciers van digitale producten: veiligheid moet onderdeel zijn van ontwerp, onderhoud en kwetsbaarhedenbeheer gedurende de levenscyclus. Dat geeft een zorgteam houvast om elkaar aan te spreken, ieder op de eigen bijdrage. Leveranciers kunnen die rol alleen waarmaken als artsen en patiënten hen blijven voeden met wat zij in de praktijk zien. Het beste binnenhalen en benoemen wat beter moet, hoort bij het vak.
Thema 3. Veilig organiseren is mensenwerk
De NIS2-richtlijn en de nationale implementatie in de Cyberbeveiligingswet (in werking sinds augustus 2026) vragen om heldere sturing en verantwoording: organiseer je zo dat je meekomt met het tempo van de ontwikkelingen. Een datalek is daarbij meer dan een privacy-kwestie. Ook ontbrekende gegevens, of gegevens waarvan niet zeker is dat ze kloppen, kunnen de zorg ontwrichten.
Onbeschikbaarheid en aantasting van integriteit raken de patiëntveiligheid even direct als schending van vertrouwelijkheid. Het gevolg is altijd hetzelfde en even pijnlijk: klinische beslissingen gebaseerd op drijfzand.
Passend beveiligd, beschikbaar en integer: die drie eisen zijn met elkaar verweven, dwars door alle samenwerkingen tussen organisaties heen. Eén zwakke plek raakt het hele systeem. Dat maakt digitale veiligheid een opgave voor het hele ecosysteem. Daar zit de valkuil: wat van iedereen is, wordt al snel van niemand. Dit verandert pas als elke partij haar eigen deel pakt en aanspreekbaar is op wat zij doet.
Artsen hoeven dit niet alleen als opgelegde plicht te ervaren. Zij kunnen digitale veiligheid professioneel opeisen als randvoorwaarde voor goede zorg. Zorgvuldigheid staat centraal. NIS2 legt de verantwoordelijkheid nadrukkelijk bij bestuurders, inclusief aandacht voor de keten van leveranciers die vaak de digitale infrastructuur dragen. Een arts mag verwachten dat de instelling dit op orde heeft.
Ontworpen met AI-ondersteuning (Claude Design).
Omdat arts en patiënt zelf steeds meer bewegen, tekent zich ook een ander beeld af: een digitale laag die met hen meebeweegt, onder hun gedeelde regie. Waar gegevens nu vaak vastzitten in losse systemen per instelling, kan een persoonlijke en interoperabele gezondheidslaag ontstaan. Niet door bronsystemen overbodig te maken, maar door gegevens vindbaar, overdraagbaar en begrijpelijk beschikbaar te maken voor patiënt en behandelaar. AI kan helpen om die laag sneller en slimmer te bouwen, mits de regie, herkomst en betrouwbaarheid helder blijven.
De techniek beweegt razendsnel. AI-modellen kunnen inmiddels helpen om kwetsbaarheden in software op te sporen. Dezelfde capaciteit die een aanvaller sneller maakt, kan ook de verdediger versterken. Wie zich goed organiseert, spoort zwakke plekken op en dicht ze voordat een aanvaller dat doet. Zo blijft de techniek de gezondheid dienen, in plaats van haar te bedreigen.
Een arts kan goede zorg allang niet meer alleen waarmaken. Wat in de spreekkamer gebeurt, leunt op systemen, op data en op besluiten van mensen die de patiënt nooit zien, of zij het zich nu realiseren of niet. De eed is daarmee niet langer alleen van de arts. Iedereen die aan gezondheid bijdraagt, draagt hem mee.
Uiteindelijk komt het neer op mensen die hun rol pakken: maak helder wie waarvoor verantwoordelijk is, en bereid elkaar daarop aan te spreken. De techniek ondersteunt, de mensen doen het werk.
Thema 4. Leren over grenzen heen
Richtlijn 2005/36/EG erkent dat een arts haar diploma in de hele EU kan inzetten. De praktijk is weerbarstiger: taalvereisten, landspecifieke procedures en erkenningstrajecten van maanden. Voor gezondheidsdata geldt iets vergelijkbaars. De AVG en de Wabvpz geven de burger al jaren recht op inzage in en overdracht van haar gegevens. De EHDS-verordening bouwt daarop voort, met betere toegang tot het eigen dossier en overdraagbaarheid naar een zorgverlener naar keuze. Maar de burger vindt haar gegevens vaak niet, of niet in een vorm die elders bruikbaar is.
Cross-border leren wordt concreet als een patiënt in een ander EU-land hulp zoekt en haar geschiedenis niet meereist, of wanneer een arts een zeldzame casus ziet die elders al routine is. De Europese infrastructuren die hiervoor in opbouw zijn, zoals MyHealth@EU, verbinden vooral nationale systemen. Dat is nodig, maar het volgt dezelfde route die binnen landsgrenzen al moeizaam bleek.
De vertaling is dezelfde laag, nu over grenzen heen: één die met arts en patiënt meereist, ook als zij van instelling of land wisselen. Portabiliteit is daarvoor de voorwaarde, en de wet schept er de ruimte voor. Wat een arts en patiënt samen vastleggen, kan dan bijdragen aan het kennisnetwerk van collega’s en aan onderzoek en innovatie, zonder dat het uit hun zicht verdwijnt.
Conclusie
Digitale wet- en regelgeving staat niet tegenover goede zorg, maar moet juist worden gelezen als verlengstuk van professionele zorgwaarden. Bij elk van de vier bovengenoemde thema’s wijst zij dezelfde kant op als de eed (zie kader ‘De eed, geactualiseerd’). De kaders zijn met goede bedoelingen gebouwd, vanuit waarden die kloppen. Alleen: er komt geen betere zorg uit als juristen en IT-professionals daar enkel nieuwe lagen aan toevoegen. Dan timmeren we de boel verder vast.
De zorg doet digitaal, maar is het nog niet. Dat is de stap die nu telt. Niet door nog meer afstand te creëren tussen regels en praktijk, maar door de wet terug te brengen naar waar zij voor bedoeld is: bescherming van de mens. Dat begint bij iedereen die aan gezondheid bijdraagt.
De eed, geactualiseerd
Ik beloof dat ik:
Gezondheidsinformatie vertrouwelijk zal behandelen;
Gezondheidsinformatie samen met mijn patiënten zorgvuldig zal beheren, toegankelijk zal maken en zal laten bijdragen aan het kennisnetwerk van collega’s en anderen die gezondheid dienen;
Verantwoordelijkheid zal blijven nemen voor de duiding van die informatie in haar context;
Technologische ontwikkeling, waaronder AI, zal sturen naar wat de gezondheid van mijn patiënt en de samenleving dient.
