Wat is de EHDS?

De European Health Data Space (EHDS) is een Europese Verordening die regelt hoe medische gegevens in de Europese Unie zullen worden gebruikt en gedeeld. Zij wordt vanaf maart 2025 stapsgewijs van toepassing. De verordening bouwt één Europese "dataruimte" voor gezondheidsgegevens; een goed beveiligd vrij verkeer van gezondheidsgegevens binnen de EU, een beetje vergelijkbaar met het vrije verkeer van goederen en diensten . Om dit te bereiken komen er in de gehele EU gelijke rechten en plichten, uniforme ICT-voorschriften (over data, Elektronische PatientenDossiers, interoperabiliteit en beveiligde verwerkingsomgevingen) en nieuwe instanties die toezicht moeten houden op dit alles, en die met elkaar moeten samenwerken.

Een rechtstreeks werkende Europese wet

De EHDS is een verordening en werkt dus rechtstreeks in de lidstaten; anders dan een richtlijn hoeft zij niet te worden omgezet in nationaal recht. Wel komt er een uitvoeringswet geschreven worden, om het Europese recht in te passen in het nationale recht, zoals het bestuursrecht, de regels rond het BSN of de wet zeggenschap lichaamsmateriaal. Daarnaast moeten de Nederlandse toezichthouders opgericht of aangewezen worden: de Health Data Access Body (data-politie voor secundair gebruik), het GezondheidsData Autoriteit (data-politie voor primair gebrui) en het Nationale Contactpunt E-Health. Bovendien moeten er keuzes gemaakt die de verordening open laat. Aan die uitvoeringswet wordt nu gewerkt. Op deze pagina leest u in grote lijnen wat de EHDS inhoudt, voor wie zij geldt, wat er wanneer verandert, en hoe de verordening zich verhoudt tot de AVG en tot het open datarecht. In de thema pagina's worden onderwerpen meer in detail uitgelegd.

Waarom is er een EHDS?

Er waren verschillende redenen voor het schrijven van deze Europese wet. Gezondheidsgegevens zijn onmisbaar voor goede zorg, maar ook voor wetenschappelijk onderzoek, statistiek, big data onderzoek, beleid en de ontwikkeling van medicijnen en AI-toepassingen. Juist die gegevens stroomden in Europa slecht. Wie als patiënt in een ander land werd behandeld, kon zijn dossier zelden meenemen. En wie als onderzoeker data nodig had, stuitte op een lappendeken van nationale regels, uiteenlopende interpretaties van de AVG en datahouders die uit voorzichtigheid, of uit eigenbelang, weigerden te delen. De coronapandemie maakte pijnlijk zichtbaar hoe zeer het ontbrak aan snelle, internationale verzameling en analyse van gezondheidsdata. De EHDS pakt die verschillende problemen aan.

Primair gebruik

De verordening rust op drie pijlers. Primair gebruik is het gebruik van gezondheidsgegevens voor de patiënt zelf. De EHDS schrijft voor dat burgers hun hele eigen Elektronische Patiënten Dossiers moeten kunnen inzien, en meenemen naar een andere zorgverleners, in alle lidstaten. Andersom moeten zorgverleners dus ook patiënten uit alle lidstaten kunnen helpen, zonder dat de ICT daarbij dwars ligt; zo zul je een second opinion kunnen vragen in Barcelona, als daar de beste specialist zit. Er was juridisch gezien al een vrij verkeer van data in de EU, maar dat kwam feitelijk niet van de grond. Het systeem van MyHealth@EU gaat dit nu ondersteunen. De EHDS is met name wat primair gebruik betreft, een wet die gewoon altijd en overal in de EU zal gelden: bij alle zorgverlening dus, niet alleen bij grensoverschrijdende zorg.

Secundair gebruik

Secundair gebruik is elk hergebruik van al bestaande gezondheidsdata voor andere, in de verordening limitatief opgesomde doelen: wetenschappelijk onderzoek, statistiek, beleid, onderwijs, patiëntveiligheid, ontwikkeling van producten en diensten, en meer. Bepaalde toepassingen zijn juist uitdrukkelijk verboden, zoals gebruik voor reclame, hogere verzekeringspremies of beslissingen in het nadeel van de individuele persoon. Er wordt een vergunning in het leven geroepen die aangevraagd wordt bij de nieuw op te richten Health Data Access Body (HDAB) waar de EHDS-Raad toezicht op houdt. Daarmee krijg je geen data, maar toegang daartoe in een beveiligde verwerkingsomgeving. Ook kan je bij de HDAB een verzoek indienen om een statistisch antwoord te krijgen. het systeem van samenwerkende HDAB's is HealthData@EU. Doordat er een vergunning in het leven wordt geroepen ontstaat er (onder zeer strikte voorwaarden) indirect een recht op data. Dat is echt revolutionair. Het trainen van AI voor het ontwikkelen van nieuwe (gezondheids)zorg-producten en diensten krijgt, onder strikte voorwaarden, ook expliciet de ruimte.

Zorg-ICT

De derde pijler van de EHDS is dat er uniforme Europese formatten komen voor zorg-ICT. Doordat er in Nederland allerlei zeer specifieke vereisten gelden, kunnen Finse of Franse ICT-ers hun producten hier niet op de markt brengen. Ze gaan er ook geen moeite voor doen, want ons landje is te klein. Het gevolg is dat twee ICT-producenten 92% van de markt in handen hebben. Dat is ongunstig voor de prijs en kwaliteit van die zorg-ICT. Door dus in heel Europa dezelfde eisen voor te schrijven voor Electronische PatientenDossiers (EPD's), wordt er niet alleen voor gezorgd dat men met een specialist in Barcelona kan communiceren, maar ook dat de prijs en kwaliteit van zorg-ICT beter worden. Daartoe komt er dus een uniform format voor EPD's (EEHRxF) en een certificeringssysteem.

Marktordening

Daarmee is de EHDS in de kern een marktordeningswet: zij ordent de Europese markt voor gezondheidsdata, zoals eerder is gedaan voor goederen, diensten en kapitaal. Dat betekent natuurlijk niet dat er grof geld verdiend mag worden aan die data. Van data kan men sowieso geen eigenaar zijn. Wat bedoeld wordt, is dat het vrije verkeer van data, de efficiënte maar ook zwaar beveiligde uitwisseling van medische gegevens, de eisen ten aanzien van transparantie en non-discriminatie, samen indirect moeten bijdragen aan betere zorg en medische innovatie. Maar de EHDS gaat in de kern dus niet over de zorg zelf, maar is onderdeel van het datarecht. Is dat alles ethisch? Ethiek is een ander vak dan rechten. Als jurist constateer ik gewoon dat het democratisch gekozen Europese Parlement vond van wel.

Wat betekent de EHDS voor de burger?

Vrijwel iedereen krijgt met de verordening te maken. Patiënten hadden op grond van de AVG al een recht op inzage in hun eigen medisch dossier. Maar de AVG kent vrij lange termijnen, terwijl er regelmatig spoed is. De patiënt krijgt er recht op dat hijzelf kosteloos het hele dossier kan inzien voor een second opinion. Ook is vereist dat zijn zorgverleners het kunnen inzien, als hij op vakantie in coma een Zuid-Europees ziekenhuis wordt binnengebracht. En net als onder de AVG kan hij gegevens in dat dossier aanpassen, of gegevens toevoegen. Patiënten behouden wel zeggenschap: ze kunnen hiertegen bezwaar maken (maar heb je dat gedaan, dan kan je daarna de arts natuurlijk niet aansprakelijk stellen voor een behandeling op basis van onvolledige gegevens). In plaats van dat we dat per zorgverlener doen, gaan we dat nu landelijk inrichten. Ook voor medisch onderzoek komt er een dergelijk centraal systeem om eventueel bewaar te maken. Er komt ook een geheel nieuw recht: het recht om geïnformeerd te worden als er bij onderzoek belangrijke bevindingen gedaan zijn over jou.

Wat levert de EHDS wetenschappers en innovatoren op?

De EHDS is het meest revolutionair ten aanzien van het nuttig hergebruik van gezondheidsgegevens. Nu moet een wetenschapper veelal echt bedelen bij ziekenhuizen om de benodigde data bij elkaar te krijgen. Maar als hij nu onderzoek kan doen, dat over vijftien jaar mensenlevens redt, en hij doet dat onderzoek niet vanwege angst voor boetes, dan kost dat dus over vijftien jaar mensenlevens. We zullen nooit weten wie, maar er kleven alsnog flinke ethische bezwaren aan het niet doen van medisch wetenschappelijk onderzoek. Daarom gaat de EHDS meer mogelijkheden creëren. Er komt een Health Data Access Body alwaar men een vergunning kan aanvragen. Wordt die verleend omdat het echt nuttig gebruik van gezondheidsgegevens betreft, dan is de houder van die data verplicht om mee te werken aan dat (zwaar beveiligde) onderzoek. Ook bedrijven die medische producten ontwikkelen (waardoor men bijvoorbeeld een bepaalde behandeling voortaan thuis kan doen, in plaats van in het ziekenhuis) kunnen een vergunning aanvragen.

Wat zegt de EHDS over zorgverleners?

Zorgverleners krijgen op twee manieren te maken met de EHDS. Allereerst zal er veel moeten veranderen aan hun zorg-ICT. Dat moet ertoe leiden dat alle benodigde gegevens over de patiënt ingezien kunnen worden; scans of bloedonderzoek hoeven dus niet opnieuw te worden gedaan. Ook wordt de kans kleiner dat over het hoofd wordt gezien dat een patiënten al andere medicijnen slikt of een allergie heeft. Anderzijds krijgen de zorgverleners de plicht om data aan te leveren als de Health Data Access Body als deze erom vraagt. Overigens kunnen zorgverleners zoals ziekenhuizen natuurlijk tegelijkertijd datagebruikers zijn. Onder meer academische ziekenhuizen kunnen aangewezen worden als betrouwbare datahouder. Zij kunnen dan grotendeels zelfstandig hun datawerk blijven doen, waarbij de HDAB marginaal toetst of dat goed gaat. Een organisatie als IPCI (opgericht door het Erasmus) zou een Data Hub kunnen worden, in de EHDS aangeduid als databemiddelingsentiteit. Door veel gebruik te maken van deze twee rollen, kunnen we een veilige en efficiente gezondheidsdata infrastructuur inrichten.

Wanneer treedt de EHDS in werking?

De verordening is sinds 26 maart 2025 in werking, maar wordt in fasen van toepassing. Tot 2027 lopen de voorbereidingen: de lidstaten werken aan uitvoeringswetten en de Europese Commissie werkt tientallen onderdelen uit in lagere wetgeving, waaronder de strenge eisen voor beveiligde verwerkingsomgevingen. Vanaf 26 maart 2027 staan de kaders: de HDAB moet zijn aangewezen en de Europese modellen en eisen moeten zijn vastgesteld. Vanaf 26 maart 2029 start het secundair gebruik echt: gebruikers kunnen vergunningen en statistische vragen indienen en datahouders moeten de meeste datacategorieën aanleveren. Vanaf 26 maart 2031 volgen de gevoeligere categorieën, zoals genetische en andere moleculaire data en data uit klinische proeven. Vanaf 2035 kunnen ten slotte ook niet EU-landen met een goed privacy-niveau, of internationale organisaties zich aansluiten.

Hoe verhoudt de EHDS zich tot de AVG?

De AVG blijft naast de EHDS bijna volledig gelden. De EHDS vervangt het gegevensbeschermingsrecht niet, maar vult het voor gezondheidsdata aan en — belangrijker — maakt het werkbaar. De eis blijft dus gelden dat, waar redelijkerwijs mogelijk, data worden geanonimiseerd. Lukt dat niet, dan moet men pseudonimiseren. Ook blijven de (artikel 5) beginselen gelden, zoals het beginsel van dataminimalisatie. Er moet onder de EHDS, net als nu, sprake zijn van een (artikel 6) rechtsgeldige reden waarom men de data verwerkt. En omdat medische en zorg data bijzondere persoonsgegevens zijn, moet men een beroep kunnen doen op een van de (artikel 9) uitzonderingen op het verbod daarmee te werken. En uiteraard moeten de medische gegevens goed beveiligd worden, al komen er nu heel specifieke, door de Europese Commissie voorgeschreven vereisten voor de Beveiligde Verwerkingsomgeving en zorg ICT. Het enige dat verandert, is dat de lidstaten onder de EHDS minder ruimte krijgen om hun privacyrecht anders in te richten dan de buurlanden. Er wordt dus meer geharmoniseerd. Het effect daarvan is dat Nederland geen opt-in (toestemming) meer mag voorschrijven. De meeste Europese landen vonden een opt-out prima, dus daar heeft het Europese Parlement voor gekozen.

Onduidelijkheden in de EHDS

Er zijn allerlei redenen waarom een wet, vooral over een nieuw fenomeen, niet direct helemaal duidelijk is. Dat is niet anders wat de EHDS betreft. Het is bijvoorbeeld niet helemaal duidelijk of er straks bij secundair gebruik van gezondheidsgegevens via de HDAB nog een DPIA moet worden verricht, en door wie dan. Ook is het nog niet helemaal duidelijk hoe het beginsel van doelbinding onder de EHDS moet worden gehanteerd. En wie nu denkt dat de EDPB wel duidelijkheid kan bieden, dat is niet zo. De EDPB kan als uitvoerende macht wel haar eigen bevoegdheden inperken, maar niet uitbreiden. De rechter zal duidelijkheid moeten bieden, dus het zou goed zijn als allerlei partijen actief proefprocessen voorleggen aan de rechterlijke macht, om meer duidelijkheid te krijgen over de EHDS.

De EHDS en het overige Europese datarecht

De EHDS staat niet op zichzelf; zij is onderdeel van een breed Europees web van dataregels. Dat datarecht laat zich lezen als een matrix met drie assen. De eerste as zijn de regels die datadelen beperken. Dit betreft onder meer de AVG over privacy, de wet op de bedrijfsgeheimen, de databankenwet en alle cyberwetgeving. De tweede as zijn de regels die eerlijke datadeling juist bevorderen. Dit betreft onder meer de Datagovernanceverordening, de Dataverordening, het Open Datarecht en de Verordening Hoogwaardige datasets. De derde as betreft de regels voor specifieke soorten data, zoals de EHDS die ziet op gezondheidsdata.

De Open Data Richtlijn

De huidige, derde Opendatarichtlijn (2019/1024) is in Nederland geïmplementeerd in de Wet hergebruik van overheidsinformatie (Who), waarvan de werking is gekoppeld aan de Wet open overheid (Woo). Die koppeling lijkt logisch, maar berust op een misverstand: open data is niet hetzelfde als openbare data. De Woo dient de openbaarheid van bestuur en maakt informatie openbaar voor iedereen; de richtlijn dient de economie en regelt het delen van data met specifieke hergebruikers — desnoods onder beschermende licentievoorwaarden. Door hergebruik afhankelijk te maken van openbaarheid is de Nederlandse implementatie op twee punten te smal uitgevallen. Omdat de regels uit de Open Data Richtlijn op grond van de Omnibus waarschijnlijk opgenomen gaan worden in de Dataverordening, worden ze een rechtstreeks werkende wet. Dat kon weleens flink wat effect hebben. Overigens werkt ook de Verordening Hoogwaardige Datasets rechtstreeks als een wet in Nederland. Wie op zoek is naar data om mee te innoveren, kan veel hebben aan dit Open Datarecht, waarmee men name ook bij allerlei semi-overheidsinstanties en (subsidie ontvangende) stichtingen data kunnen worden opgevraagd.

As open as possible, as closed as necessary

Het gehele datarecht vat de Europese Unie samen als: "as open as possible, as closed as necessary." Daarmee wordt bedoeld dat data worden gezien als "de nieuwe grondstof" voor economische groei en innovatie. Die data moeten daarom breed gedeeld en hergebruikt worden. Aan de andere kant zijn er allerlei redenen om die data juist te beschermen en geheim te houden, zoals de privacywetgeving en de wet bedrijfsgeheimen. De hele korte samenvatting van het datarecht is daarom: "als data delen kan en mag, dan moet het." Ook op andere manier wil de EU nuttig hergebruik van data stimuleren. Onderzoekers zien nu vaak door de bomen het bos niet meer, door de enorme hoeveelheid overeenkomsten die gesloten moeten worden als data uit verschillende landen komen, waar verschillende wetten en afwijkende soft law geldt. Voortaan vraagt men een vergunning aan bij een enkele HDAB, ook als de data uit meerdere landen komen. Bovendien komen er allerlei model-overeenkomsten. De privacy komt daarbij niet in het geding, want de AVG blijft dus gelden, terwijl er allerlei extra, maar uniforme, vereisten komen. Ik zie dus geen toegevoegde waarde in een eventuele extra ethische toets, die de doelen van de EHDS alleen maar zal ondermijnen.

Wat moet u nu doen?

Voor burgers: u hoeft nu niets te doen, maar kan eventueel het wetgevingstraject volgen van de wetten die de EHDS in het Nederlands recht moeten inbedden. Voor zorgaanbieders: u zult aan de bak moeten zodra de Europese Commissie alle vereisten heeft vastgesteld: uw producten zullen hier allemaal aan moeten voldoen en u moet de benodigde certificering meoten verkrijgen. Houd in gedachten dat het idee is dat er een enkele, Europese markt ontstaat. Grijp dus deze kans aan, om uw product zo in te richten, dat u het ook kunt verkopen in Duitsland of Spanje. Voor zorgaanbieders geldt dat zij zo snel mogelijk zullen moeten inventariseren wat zij nu aan zorg-ICT in huis hebben, en in hoeverre dat straks nog voldoet. Laat u tijdig informeren door specialisten op het gebied van aanbestedingen; is er sprake van een wezenlijke wijziging? Datahouders zullen moeten inventariseren welke datasets zij in huis hebben, die aangemeld moeten worden in de Nationale Catalogus. Zij zullen daarbij moeten bepalen op welke sets IE rechten rusten. En alle datagebruikers, zullen moeten inventariseren welke onwaarschijnlijke mogelijkheden er straks gaan ontstaan. Wie als eerste gaat profiteren van de nieuwe mogelijkheden van de EHDS, zal zijn concurrenten waarschijnlijk ver vooruit lopen.

Meer weten?

Als u meer wilt weten over de EHDS, de AVG of het Open Datarecht, neem dan contact op met Mr. Dr. Vlieger. Zij publiceerde in verschillende tijdschriften en werkt aan een boek over de EHDS en de AVG. Ze kan u juridisch advies geven hoe u zich het beste kunt voorbereiden op de EHDS, of hoe u optimaal kunt profiteren van de toekomstige wet. Ze kan aanvullend onderzoek verrichten, bijvoorbeeld over de vraag wat in de uitvoeringswet zou kunnen worden opgenomen, dat de databeschikbaarheid voor uw specifieke branche verbetert. Ze kan tevens onderwijs verzorgen op het gebied van al het recht rond gezondheidsdata, privacyrecht en open datarecht.