EHDS krijgt steeds meer concrete Nederlandse uitwerking

De Europese regels voor het delen en gebruiken van gezondheidsgegevens krijgen steeds meer vorm in Nederland. De European Health Data Space (EHDS) geeft burgers nieuwe rechten, zoals het kunnen inzien, ophalen, delen en corrigeren van elektronische gezondheidsgegevens. Tegelijkertijd ontstaan nieuwe verplichtingen voor zorgaanbieders, datahouders en leveranciers van zorginformatiesystemen.

De EHDS is sinds 26 maart 2025 van kracht, maar wordt tussen 2027 en 2031 stapsgewijs van toepassing. Veel praktische en juridische details worden de komende jaren nog uitgewerkt. Toch kunnen zorgorganisaties nu al beginnen met het inventariseren van hun systemen, gegevensstromen, verantwoordelijkheden en afspraken met leveranciers.

De EHDS is geen eenmalige wetswijziging, maar een meerjarige transformatie. De Europese richting staat al vast, met drie invoeringsfases in 2027, 2029 en 2031. De Nederlandse uitwerking bepaalt uiteindelijk in hoeverre burgers, zorgprofessionals, onderzoekers en organisaties de beloofde voordelen daadwerkelijk gaan ervaren.

Het ministerie van VWS heeft onlangs belangrijke stappen gezet om de uitvoering te organiseren. Zo wordt een nieuwe Gezondheidsdata-autoriteit verantwoordelijk voor zowel het gebruik van gegevens in de zorg als het hergebruik ervan voor onderzoek, beleid en innovatie. Voor zorgbestuurders en datahouders zijn inmiddels factsheets beschikbaar die uitleggen welke veranderingen eraan komen en hoe zij zich kunnen voorbereiden.

Korte opfrisser

Eerst een opfrisser: wat wil de EHDS bereiken? De EHDS moet gezondheidsgegevens binnen Europa veiliger, eenvoudiger en meer gestandaardiseerd beschikbaar maken. De verordening kent drie belangrijke pijlers.

Primair datagebruik: het gebruiken van gezondheidsgegevens voor directe zorg en ondersteuning. Zorgverleners moeten relevante en actuele gegevens kunnen raadplegen, ook wanneer een patiënt zorg krijgt in een andere EU-lidstaat.
Secundair datagebruik: het onder strikte voorwaarden hergebruiken van geanonimiseerde of gepseudonimiseerde gegevens voor bijvoorbeeld wetenschappelijk onderzoek, beleid, toezicht en zorginnovatie.
Een gereguleerde Europese markt voor EPD-systemen: leveranciers moeten voldoen aan eisen voor onder meer interoperabiliteit, logging, beveiliging en transparantie.

De verwachte voordelen zijn divers en breed. Zorgverleners hoeven minder tijd kwijt te zijn aan het verzamelen en controleren van gegevens. Patiënten krijgen meer regie en kunnen beter voorbereid het gesprek met hun zorgverlener voeren. Onderzoekers en beleidsmakers krijgen toegang tot grotere en beter bruikbare databronnen.

Nieuwe rechten voor burgers

De EHDS geeft burgers meer zeggenschap over elektronische gezondheidsgegevens die over hen zijn vastgelegd. Het gaat onder meer om het recht om:

Gezondheidsgegevens in te zien en op te halen;
Gegevens digitaal te delen met zorgverleners;
Gegevens te laten corrigeren;
Zelf informatie aan een dossier toe te voegen;
Bepaalde zorgverleners de toegang tot gegevens te ontzeggen;
Gegevens in bepaalde gevallen uit te sluiten van primair of secundair gebruik.

Iedere EU-lidstaat moet hiervoor een nationale digitale toegangsdienst inrichten. Via die voorziening moeten burgers hun rechten daadwerkelijk kunnen uitoefenen. Een recente verkenning van Berenschot en Hooghiemstra & Partners laat zien dat het MedMij Afsprakenstelsel daarvoor een belangrijke basis kan vormen. MedMij ondersteunt al inzage, het ophalen van gegevens en het delen via persoonlijke gezondheidsomgevingen.

Voor rechten rond correctie, het toevoegen van informatie en gegevensoverdracht zijn aanvullende diensten en processen nodig. Ook toegangsbeperkingen, opt-outregelingen en vertegenwoordiging door bijvoorbeeld ouders of mantelzorgers vragen om voorzieningen buiten afsprakenstelsel MedMij.

VWS moet bovendien nog beleidskeuzes maken op gebieden zoals:

Identificatie en authenticatie;
Logging;
Toegangsbeperkingen;
Verantwoordelijkheden;
Governance en financiering;
De precieze inrichting van de toegangsdienst.

Daarbij moet ook aandacht zijn voor kwetsbare groepen, zoals mensen met beperkte digitale of gezondheidsvaardigheden, ouderen en minderjarigen.

Eén Gezondheidsdata-autoriteit

Om de EHDS uit te voeren, moeten lidstaten twee centrale functies inrichten. Nederland brengt die twee - de Health Data Access Body en de Autoriteit Digitale Gezondheid - samen in één zelfstandig bestuursorgaan: de Gezondheidsdata-autoriteit (GDA).

De Autoriteit Digitale Gezondheid richt zich binnen de GDA op primair datagebruik. Taken zijn onder meer:

Toezien op toegang tot systemen en technische voorzieningen;
Burgers en zorgorganisaties informeren;
Klachten behandelen;
Samenwerken met toezichthouders;
Bijdragen aan Europese samenwerking.

De Health Data Access Body wordt verantwoordelijk voor secundair datagebruik. Deze organisatie gaat:

Aanvragen voor hergebruik beoordelen;
Datavergunningen verstrekken;
Toegang bieden via beveiligde verwerkingsomgevingen;
Toezicht houden op het gebruik van gegevens;
Burgers informeren over secundair datagebruik.

VWS wil met de GDA de versnippering van taken en verantwoordelijkheden verminderen. Het bestuursorgaan moet een herkenbaar centraal aanspreekpunt worden voor burgers, zorgaanbieders, onderzoekers en ICT-leveranciers. Kwartiermaker Jaap Eikelboom werkt aan het detailontwerp en een transitieplan. De overgang begint gefaseerd vanaf 2027. Uiterlijk in maart 2029 moeten de eerste EHDS-taken operationeel zijn.

Wat kunnen organisaties al doen?

Hoewel nog niet alle regels vaststaan, kunnen zorgorganisaties al veel voorbereiden. VWS heeft in dit kader eerder dit jaar aparte factsheets gepubliceerd voor zorgbestuurders en datahouders. Deze zijn te vinden op het platform Data voor Gezondheid. Voor zorgbestuurders gaat het onder meer om:

De EHDS opnemen in de digitale strategie;
Bepalen welke systemen en processen worden geraakt;
Verantwoordelijkheden binnen de organisatie beleggen;
Afspraken maken met softwareleveranciers;
Investeren in datakwaliteit en interoperabiliteit;
Medewerkers en patiënten tijdig meenemen.

Voor datahouders komen verplichtingen rond secundair datagebruik dichterbij. Zij moeten gegevens straks onder voorwaarden kunnen aanleveren aan de Health Data Access Body. Aandachtspunten zijn:

Vindbaarheid en kwaliteit van data;
Metadata en standaardisatie;
Anonimisering en pseudonimisering;
Veilige aanlevering;
Transparantie richting burgers.

Nictiz vult dit aan met informatie over Europese standaarden en de vertaling naar de Nederlandse praktijk. Ook het Kennisplatform Digitale uitwisseling in de zorg publiceert verdiepende informatie, consultaties, bijeenkomsten en praktijkvoorbeelden.

Waarom de Wegiz blijft

De EHDS maakt de Wet elektronische gegevensuitwisseling (Wegiz) in de zorg niet overbodig. Beide wetten hebben vergelijkbare doelen, maar verschillen in reikwijdte en uitwerking. De EHDS stelt Europese kaders vast en geeft burgers en organisaties rechten en plichten. De Wegiz kan in Nederland specifieke gegevensuitwisselingen verplicht stellen en voorschrijven volgens welke standaarden die moeten plaatsvinden. Nederland gaat daarom door met in de Wegiz opgenomen programma’s voor onder meer:

Medicatieoverdracht;
eOverdracht;
Basisgegevensset Zorg;
Beeldbeschikbaarheid;
Acute Zorg.

De Wegiz wordt wel afgestemd op de EHDS. Zo staat de EHDS zelfbeoordeling van EPD-systemen toe, terwijl de Wegiz uitgaat van certificering door een onafhankelijke partij. Die verschillen moeten worden opgelost om dubbel werk, extra kosten en onduidelijkheid te voorkomen.

De Wegiz blijft bovendien een belangrijk nationaal instrument om gegevensuitwisseling daadwerkelijk af te dwingen. De EHDS geeft de Europese richting aan, maar nationale wetgeving en implementatieprogramma’s blijven nodig om standaarden en werkprocessen in de praktijk te laten functioneren.

De roadmap tot 2031

De EHDS-verplichtingen worden in drie fasen van toepassing, in de eerste kwartalen van 2027, 2029 en tot slot 2031.

Eerste kwartaal 2027

Nederland moet de organisaties aanwijzen die de verordening gaan uitvoeren. Het gaat onder meer om:

Autoriteit Digitale Gezondheid;
Health Data Access Body;
Markttoezichthouders;
Nationale contactpunten voor grensoverschrijdende uitwisseling.

Verder moet een Europese digitale testomgeving operationeel worden.

Eerste kwartaal 2029

De eerste praktische verplichtingen voor gegevensuitwisseling gelden. Zorgaanbieders moeten de eerste prioritaire categorieën kunnen uitwisselen:

Patiëntsamenvattingen;
Elektronische recepten en verstrekkingsgegevens.

Burgers moeten hun belangrijkste rechten kunnen uitoefenen. Ook moet de nationale organisatie voor secundair datagebruik operationeel zijn en moeten de eerste categorieën gezondheidsgegevens beschikbaar komen voor toegestaan hergebruik. Nieuwe EPD-systemen moeten dan voldoen aan Europese producteisen voor interoperabiliteit en logging.

Eerste kwartaal 2031

De grensoverschrijdende uitwisseling wordt uitgebreid met:

Medische beelden en bijbehorende verslagen;
Laboratoriumuitslagen;
Ontslagbrieven.

Daarnaast komen er meer categorieën gegevens beschikbaar voor secundair gebruik. De producteisen gaan vanaf dat moment ook gelden voor EPD-systemen die al op de markt waren.