Preview document (🔗 origineel)

---

No. W13.25.00083/III

's-Gravenhage, 3 juli 2025

Bij Kabinetsmissive van 16 april 2025, no.2025000859, heeft Uwe Majesteit, op voordracht van de Minister van Volksgezondheid, Welzijn en Sport, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet tot wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg, met memorie van toelichting.

Het wetsvoorstel voorziet in een wettelijke grondslag voor het uitvoeren van een publieke taak en voor het verwerken van de daarvoor noodzakelijke persoonsgegevens van het nationaal contactpunt voor e-health (NCPeH-NL). Dit wordt geregeld in de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz). Met het nationaal contactpunt kunnen gegevens van cliënten worden uitgewisseld via een Europese digitale infrastructuur. Het nationaal contactpunt is een communicatiepoort tussen het nationale stelsel en de nationaal contactpunten van andere lidstaten.

Sinds 2022 is het Nederlandse contactpunt, gefaciliteerd vanuit de EU maar zonder Europeesrechtelijke verplichting, operationeel. Op dit moment kunnen elektronische recepten, elektronische verstrekkingen en bepaalde patiëntsamenvattingen worden uitgewisseld. In de toekomst zal dit worden uitgebreid naar andere categorieën van informatie als de verordening inzake European Health Data Space (EHDS-verordening) van toepassing wordt.¹ Dan zal deelname aan het nationaal contactpunt ook niet meer vrijblijvend zijn.

De Afdeling advisering van de Raad van State maakt opmerkingen over de verhouding tot de EHDS-verordening, nu het voorstel hierop vooruit loopt. Zij adviseert in de toelichting de verhouding van het onderhavige voorstel met de normen uit de EHDS-verordening te verhelderen. Dit zodat duidelijker is in hoeverre dit wetsvoorstel voorziet in een (noodzakelijke) tussenstap voorafgaand aan de volledige inwerkingtreding van die verordening. Ook adviseert zij om nader af te wegen of de bewaartermijn op het juiste regelgevingsniveau wordt geregeld. Daarnaast adviseert zij om duidelijkheid te geven over het al dan niet bestaan van een gezamenlijke verwerkingsverantwoordelijkheid, en zo nodig een onderlinge regeling te treffen.

In verband hiermee is aanpassing van de toelichting en zo nodig het wetsvoorstel wenselijk.

1. Achtergrond en inhoud voorstel

Nationaal contactpunt

Het nationaal contactpunt is een communicatiepoort tussen het nationale stelsel en de nationaal contactpunten van andere lidstaten. Door het nationaal contactpunt kunnen zorggegevens van cliënten worden uitgewisseld via een Europese digitale infrastructuur (MyHealth@EU) die door de Europese Commissie wordt gefaciliteerd.

In 2018 heeft het ministerie van VWS een subsidie gekregen van de Europese Commissie om een nationaal contactpunt te realiseren. Het nationaal contactpunt is sinds 2022 operationeel.² Op dit moment kunnen elektronische recepten en elektronische verstrekkingen worden uitgewisseld. Ook kunnen patiëntsamenvattingen van cliënten uit andere lidstaten worden gedeeld met zorgverleners in Nederland (PS-B). De voorbereidingen voor het delen van patiëntsamenvattingen van Nederlandse cliënten met zorgverleners in andere lidstaten (PS-A) zijn ook gestart. Deze patiëntsamenvattingen zullen echter pas worden uitgewisseld als het nationaal contactpunt wettelijk is geregeld.

Als de EHDS-verordening (zie punt 2) van toepassing wordt, zullen ook andere categorieën van informatie worden uitgewisseld.³ Waar deelname aan het nationaal contactpunt nu nog vrijwillig is, zal dit verplicht worden onder de EHDS-verordening. Nederland is dan ook verplicht om een nationaal contactpunt te realiseren, waar dit nu nog op vrijwillige basis gebeurt.

Voorstel

Het voorstel regelt de publieke taak en inrichting van een nationaal contactpunt voor e-health (NCPeH-NL). Aan de minister wordt de zorg voor het nationaal contactpunt opgedragen. Voor deze taak mogen persoonsgegevens, waaronder gegevens over de gezondheid, worden verwerkt. Daarnaast is de minister bevoegd om het burgerservicenummer te verstrekken voor uitwisseling van gegevens ten behoeve van de verlening van zorg in een andere lidstaat aan een cliënt uit Nederland.⁴ Op deze gegevens rust een geheimhoudingsplicht. Bij of krachtens algemene maatregel van bestuur (amvb) kunnen nadere regels worden gesteld; bij amvb wordt in ieder geval de bewaartermijn geregeld.⁵

Zorgaanbieders zijn niet verplicht om aan te sluiten op het NCPeH-NL. Aansluiting vindt plaats na besluit daartoe van de minister en een dergelijk besluit volgt op aanvraag van de zorgaanbieder.⁶

2. Tussenstap naar de EHDS-verordening

a. EHDS-Verordening

Het voorstel loopt vooruit op de EHDS-verordening. Deze verordening regelt de eerste Europese ‘gemeenschappelijke gegevensruimte’, namelijk die voor gezondheidsgegevens.⁷ De verordening is daarmee onderdeel van de Europese datastrategie die beoogt een interne markt voor gegevens te creëren en te reguleren. Daarbinnen bieden de Dataverordening en de Datagovernanceverordening kaders voor het delen van gegevens. Gemeenschappelijke gegevensruimten moeten daarnaast op specifieke gebieden juridische en technische belemmeringen voor het delen van gegevens wegnemen.⁸

De EHDS-verordening doet dit door:

1. Het primair gebruik van (persoonlijke) gezondheidsgegevens te bevorderen en gezondheidsgegevens breder beschikbaar te stellen

2. Het secundair gebruik van gezondheidsgegevens te bevorderen, bijvoorbeeld ten behoeve van onderzoek

3. Het reguleren van systemen voor elektronische patiëntendossiers.⁹

Om dit te bereiken brengt de verordening een grensoverschrijdende infrastructuur tot stand, respectievelijk de MyHealth@EU voor primair gebruik en HealthData@EU voor secundair gebruik van gezondheidsgegevens.¹⁰

Op grond van Richtlijn (EU) 2011/24 (hierna: richtlijn) was er al een vrijwillig netwerk geregeld, waarin de door de lidstaten aangewezen nationale autoriteiten die verantwoordelijk zijn voor e-health met elkaar worden verbonden.¹¹ De EHDS-verordening introduceert de verplichte deelname aan de grensoverschrijdende infrastructuur voor het delen van (medische) persoonsgegevens voor primair gebruik en de oprichting van een nationaal contactpunt.¹²

b. Van tussenstap naar operationalisering verordening

De toelichting stelt dat veldpartijen nu alvast de mogelijkheid krijgen om ervaring op te doen met grensoverschrijdende gegevensuitwisseling en dat een correcte toepassing van dit voorstel zal leiden tot een gemakkelijkere implementatie.¹³ Het voorstel geeft echter strikt genomen geen uitvoering aan de EHDS-verordening. Als basis voor het voorstel wordt verwezen naar de vrijwillige deelname aan de infrastructuur op basis van de richtlijn.¹⁴ Daarmee rijzen desalniettemin een aantal vragen.

De Afdeling begrijpt het voorstel zo dat het een tussenstap is voor uiteindelijke toepassing van de EHDS-verordening. Onduidelijk blijft echter hoe het voorstel zich verhoudt tot de invoering van de verordening op enig moment, en in hoeverre het voorstel een stap in de juiste richting is.

Dit is in het bijzonder van belang voor het opt-out-systeem en de toezicht. De Afdeling merkt hierover het volgende op.

c. Opt-out-systeem

Als op dit moment via elektronische uitwisselingssystemen gegevens over de patiënt ter beschikking worden gesteld, dan vereist dit uitdrukkelijke toestemming van de patiënt (opt-in).¹⁵ De EHDS-verordening verplicht echter om patiëntgegevens voor primair gebruik toegankelijk te maken of te verstrekken aan derden, zoals andere zorgverleners. Wel heeft Nederland ervoor gekozen om gebruik te maken van de lidstaatoptie om burgers een opt-out-recht te geven, waarmee zij kunnen verhinderen dat hun elektronische gezondheidsgegevens beschikbaar worden gesteld.¹⁶

De EHDS-verordening wijzigt hiermee het uitgangspunt voor het stelsel van zeggenschap zoals dit in Nederland is vormgegeven. De toelichting gaat echter slechts summier in op deze substantiële wijziging, en hoe dit het gebruik van de digitale infrastructuur en het nationaal contactpunt beïnvloedt of zal beïnvloeden.

d. Toezicht

De EHDS-verordening kent een gelaagde toezichtstructuur, met in de context van primair gebruik onder meer een Autoriteit Digitale Gezondheid en de gegevensbeschermingsautoriteit op nationaal niveau, en een Raad voor de Europese ruimte voor gezondheidsgegevens (EHDS-raad) op Europees niveau. De markttoezichthouder ziet daarnaast toe op de elektronische patiëntendossiers, wat het stelsel en de verhoudingen tussen toezichthouders onderling complexer maakt.¹⁷

De Afdeling adviseerde eerder over gelaagde toezichtstructuren, met name in het kader van transparantie en publieke verantwoording.¹⁸ Nu het voorstel strikt genomen de verordening nog niet uitvoert, blijft onduidelijk hoe het toezicht op het nationaal contactpunt nu zal worden geregeld. Zo houdt de Inspectie Gezondheidszorg en Jeugd nu al toezicht op de informatieveiligheid op grond van de Wabvpz en houdt de Autoriteit Persoonsgegevens toezicht op de gegevensverwerking. Het is echter onduidelijk of het toezicht met de komst van de EHDS zal wijzigen. Eveneens blijft onduidelijk in hoeverre over dit gelaagde toezicht (op nationaal en Europees niveau) publieke verantwoording wordt afgelegd.

e. Conclusie

De Afdeling adviseert in de toelichting uiteen te zetten in hoeverre het voorstel een noodzakelijke tussenstap is voor de operationalisering van de EHDS-verordening, en daarbij nader in te gaan op voornoemde aspecten van het opt-out-systeem en het toezicht.

3. Gegevensbescherming

a. Bewaartermijn

Het voorstel regelt dat bij amvb nadere regels worden vastgelegd over de gegevens die worden uitgewisseld en de bewaartermijnen van gegevens binnen het nationaal contactpunt.¹⁹ Volgens de toelichting worden alleen de voor logging noodzakelijke gegevens bewaard. Deze logging bevat volgens de toelichting een specifiek identificatienummer van de opvragende zorgverlener, auditgegevens over het bestaan van een behandelrelatie, de rolcode van de zorgverlener en het BSN van de cliënt. Gegevens uit medische dossiers zouden niet worden opgeslagen.²⁰

De Afdeling merkt op dat de bewaartermijn een essentiële waarborg is voor burgers. Gelet op de aard van de gegevens, en zeker binnen deze context van gegevensuitwisseling in het kader van grensoverschrijdende gezondheidszorg is een dergelijke waarborg wezenlijk voor vertrouwen in het stelsel. In dit verband acht de Afdeling de bewaartermijn in het licht van artikel 10 van de Grondwet en het primaat van de wetgever een hoofdelement van de regeling.²¹

De Afdeling adviseert gelet op het voorgaande de bewaartermijn op het niveau van de wet vast te leggen.

b. Gezamenlijke verwerkingsverantwoordelijkheid

Volgens de toelichting is waarschijnlijk sprake van gezamenlijke verwerkingsverantwoordelijkheid van de lidstaten voor de infrastructuur.²² De gezamenlijke verwerkingsverantwoordelijkheid is echter niet onderling geregeld.²³ De EHDS-verordening regelt wel de gezamenlijke verwerkingsverantwoordelijkheid, maar is pas in 2027, dan wel 2029 van toepassing.²⁴

De Afdeling merkt op dat – nu de EHDS nog niet van toepassing is – gezamenlijke verwerkingsverantwoordelijkheid afhangt van de vraag of verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen. Zij merkt daarbij op dat als sprake is van gezamenlijke verwerkingsverantwoordelijkheid een onderlinge regeling moet worden getroffen.²⁵ Het is nodig om de essentiële onderdelen van die regeling in de toelichting te expliciteren. Daarbij dient in acht te worden genomen dat de betrokkene (van wie persoonsgegevens worden verwerkt) zijn rechten kan uitoefenen jegens elke (gezamenlijk) verwerkingsverantwoordelijke. Dit is met name van belang zodat de burger voor het uitoefenen van zijn rechten niet van het kastje naar de muur wordt gestuurd.²⁶

De Afdeling adviseert in de toelichting uiteen te zetten of sprake is van gezamenlijke verwerkingsverantwoordelijkheid en zo nodig een onderlinge regeling te treffen en de hoofdelementen daarvan in de toelichting op te nemen.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het voorstel en adviseert daarmee rekening te houden voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.


De vice-president van de Raad van State,

---

1. Verordening (EU) 2025/327 van het Europees Parlement en de Raad van 11 februari 2025, betreffende de Europese ruimte voor gezondheidsgegevens en tot wijziging van Richtlijn 2011/24/EU en Verordening (EU) 2024/2847.↩︎

2. Memorie van toelichting, paragraaf 2 en 8.↩︎

3. Het gaat dan om medische beeldvormingsdiagnostiek en beeldverslagen, resultaten van medische tests en ontslagverslagen. Zie artikel 14 en 105 EHDS-verordening.↩︎

4. Voorgesteld artikel 15r, vierde lid, Wabvpz.↩︎

5. Voorgesteld artikel 15o Wabvpz.↩︎

6. Voorgesteld artikel 15p Wabvpz.↩︎

7. De EHDS-verordening regelt de eerste gemeenschappelijke gegevensruimte.↩︎

8. Zie ook advies van de Afdeling advisering van 26 juli 2023, inzake de Uitvoeringswet datagovernanceverordening (W18.23.00113); en advies van de Afdeling advisering van 20 november 2024, inzake de Uitvoeringswet dataverordening (W15.24.00243).↩︎

9. Kamerstukken II 2024/25, 27529, nr. 332 en nr. 333 (brieven van de minister van VWS). Zie over het secundair gebruik van gezondheidsgegevens het advies van de Afdeling advisering van 18 juni 2025, inzake de tweede nota van wijziging van de Wet zeggenschap lichaamsmateriaal (W13.25.00066).↩︎

10. Artikel 23 en 75 EHDS-verordening.↩︎

11. Artikel 14 Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011, betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg, PbEU 2011, L 88/45.↩︎

12. Artikel 23 EHDS-verordening. Artikel 14 van de richtlijn wordt met ingang van 26 maart 2031 geschrapt (artikel 103 EHDS-verordening). Zie artikel 23, tweede lid, EHDS-verordening ten aanzien van het nationaal contactpunt.↩︎

13. Memorie van toelichting, paragraaf 4.4.↩︎

14. Memorie van toelichting, paragraaf 4.4.↩︎

15. Artikel 15a, eerste lid, Wabvpz. Zie ook Kamerstukken II 2024/25, 27529, nr. 332.↩︎

16. Ook hebben burgers een recht op toegangsbeperking van zorgverleners, zie Kamerstukken II 2024/25, 27529, nr. 332.↩︎

17. Zie ook artikel 19, tweede lid, sub k, EHDS-verordening.↩︎

18. Advies van de Afdeling advisering van de Raad van State van 7 februari 2024, inzake de Uitvoeringswet digitaledienstenverordening (W18.23.00330); advies van de Afdeling advisering van de Raad van State van 26 juli 2023 over de Uitvoeringswet datagovernanceverordening (W18.23.00113/IV); advies van de Afdeling advisering van de Raad van State van 10 oktober 2017 over de Uitvoeringswet AVG (W03.17.0166/II); voorlichting van de Afdeling advisering van de Raad van State van 28 juni 2012 over de voorstellen van de Europese Commissie die strekken tot de herziening van het Europese regelgevend kader inzake verwerking en bescherming van persoonsgegevens (W03.12.0188/II), Kamerstukken II 2011/2012, 32 761, nr. 32.↩︎

19. Voorgesteld artikel 15o, vierde lid, van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg.↩︎

20. Memorie van toelichting, paragrafen 3.2.4 en 10.1.2.↩︎

21. Vergelijk voorlichting van de Afdeling advisering van 18 december 2024, inzake de parlementaire enquêtecommissie Corona (W13.24.00259), advies van de Afdeling advisering van 17 april 2024, inzake de Wet gemeentelijk toezicht seksbedrijven (W16.23.00391) en advies van de Afdeling advisering van 19 maart 2025, inzake de wijziging van de Wet DNA-onderzoek bij veroordeelden en het Wetboek van Strafvordering (W16.24.00329).↩︎

22. Memorie van toelichting, paragraaf 6.5.↩︎

23. Artikel 26, eerste en tweede lid, AVG bepaalt dat gezamenlijke verwerkingsverantwoordelijken hun verantwoordelijkheden vaststellen door middel van een onderlinge regeling. Een onderlinge regeling is niet nodig als de verantwoordelijkheden op Unie- of nationaal niveau zijn vastgelegd.↩︎

24. Artikel 23, zevende lid, EHDS-verordening. De datum waarop de verordening van toepassing is, verschilt voor de verschillende prioritaire categorieën (artikel 105 EHDS-Verordening).↩︎

25. Artikel 26, eerste en tweede lid, AVG.↩︎

26. Zie ook advies van de Afdeling advisering van 19 augustus 2020 (W13.20.0254), inzake de Tijdelijke wet notificatieapp covid-19, punt 3d.↩︎