A persistent EHDS misunderstanding

Posted on 4 februari 20264 februari 2026 by Antoinette

A persistent EHDS misunderstanding

Letter from the Dutch Minister of Helath

On January 20, 2026, the Dutch Minister of Health, Welfare and Sport sent a letter to the House of Representatives, informing it about the current status of the EHDS implementation. This letter was largely excellent and clear. However, it contained a persistent misunderstanding. On page 6, four items or functions are listed that must be developed in the coming years to ensure a well-functioning Health Data Access Body, the new government body where permits can be requested to reuse health data for public health purposes. The Minister describes the first of these as follows: “A national dataset catalog: a catalog provides insight into the location of which data categories for secondary use.” This description is incorrect, as one can also apply for a permit concerning data that are not included in the catalog. Describing the catalog in this way would make the EHDS significantly less useful to science than the EU intended.

What should be included in the catalog?

Every entity (except micro entities) that holds EHDS data collected in a set is legally required to register those sets in the national catalogue. This could be the Health-Ri catalogue, but also, for example, the DANS catalogue, established by the Royal Netherlands Academy of Arts and Sciences (KNAW), among others. DANS is one of the leading repositories in Europe. The HDAB, which is to be established, will have to make a choice in this regard. Data holders must register all their datasets with the HDAB (annually) for inclusion in the catalogue. These are defined as: “a structured collection of electronic health data.” These datasets have to be be labeled according to Health DCAT-AP (a metadata standard) so that researchers can more easily search throughout Europe for datasets that they can reuse for their research. The National Catalogue will hereto be linked to a European Catalogue.

What can you apply for at the HDAB?

However, what one can request from the HDAB, as a researcher, encompasses more than what is listed in the catalogue. One can apply for a permit to work with “data,” and this is defined separately in the EHDS (a definition that stems from the Data Governance Act). Data concerns: “any digital representation of acts, facts or information and any compilation of such acts, facts or information, including in the form of sound, visual or audiovisual recording.” The difference is that datasets are “structured collections” of data, while “data” also includes all kinds of unstructured data that have never been collected in a structured set. Does it matter whether or not the application procedure (DAAMS) is restricted to the catalogue? Absolutely, it makes a big difference.

You cannot label unstructured data

The first problem is that in the Netherlands, people often seem to think that data holders must register all “data” in the catalog, including all unstructured data. Healthcare institutions would then have to inventory all the healthcare data they hold and register it for the catalog, regardless of whether a scientist will ever be interested. This isn’t particularly efficient. Moreover, it’s unclear how this should be implemented. Of course, the data itself isn’t included in the catalog, only the metadata—a description of the data. But if this concerns unstructured data, it becomes extremely difficult to provide it with metadata in a way that allows others to understand what that unstructured data is about. Because it’s unclear how this should be implemented (including all unstructured healthcare data in the Netherlands in a catalog), it won’t work.

Unstructured data cannot be applied for?

This leads to the second problem. If not all EHDS data are actually in the catalogue, while the application process is limited to what is in the catalogue, then all kinds of data cannot be requested. Limiting the DAAMS to the data in the catalogue, therefore leads to the limitation of secondary use of data to the data that has already been used for research or statistics before. What will not be possible, in this way, is extracting previously uncollected, and therefore unstructured, data from the healthcare system. The EHDS system is then limited to data that has already been used for science or statistics, but does not extend to making available or generating entirely new datasets. Those who are aware of this can indeed insist that we include as much (unstructured) data as possible in the catalogue, but it seems more logical and efficient to only start looking for data when someone actually requests it, through a permit application procedure that is completely separate from the catalogue and in which one simply writes down what one needs and where it can probably be found.

Then rare data and new data still cannot be collected

The third problem is that the existing datasets, which were created under the current flawed system, contain very little rare data. Scientists seeking to advance their careers will often choose to work with more readily available data rather than searching for extremely rare data (because those who write remain). However, the EHDS licensing system does not solely solve the problem concerning data requests that are currently being rejected (for whatever reason), but also the problem that some data are currently difficult to find. For example, based on the EHDS text, one could submit an international request regarding the data of patients diagnosed with both Henoch-Shönlein purpura and Long-Covid in the next five years (a completely arbitrary example). There should be a system in place which notifies the coordinating HDAB if such a patient is indeed found to exist. Moreover, if data holders must submit datasets to the catalog annually, and the application process is limited hereto, this means one would not be able to request newly generated data during a pandemic. This is despite the fact that the EHDS is explicitly intended to make fast data collection possible in such situations.

Split catalog and application process for greater impact

The EHDS thus introduces a permit for both requesting data from society, and reusing existing datasets. Article 67 of the EHDS contains a list of everything that must be submitted when applying for a permit. This article does not mention the catalog at all. It states what one must provide: “a description of the requested electronic health data, including their scope, time range, format, sources and, where possible, the geographical coverage.” So it does state that one must indicate what the data sources are, but the word data holder surprisingly does not appear there. Moreover, recital 73 states: “The health data access body (…) should assist health data users in the selection of the suitable datasets or data sources for the intended purpose of secondary use.” This means that, unlike now, not the scientist, but the scientist together with the HDAB has to locate the data in question. Therefore, when making the application, it is not necessary for the scientist himself to know exactly who holds the data; a general indication of the sources is enough, after which the HDAB must further assist the scientist. This will make scientific progress in all kinds of new directions possible. But hereto the system must be designed in such a way that the DAAMS does not require you to designate a dataset in the catalogue.

Een hardnekkig EHDS misverstand

Er is een hardnekkig misverstand ten aanzien van de EHDS. Datahouders moeten hun datasets laten opnemen in een datacatalogus. Maar datagebruikers kunnen een vergunning aanvrgen, ook voor data die nog niet in de catalogus staan. De aanvraagprocedure kan dus niet (alleen) aan de catalogus verbonden zijn.

The Dutch Bodily Material Act must be rewritten

The EHDS is about data, not bodily material. The Dutch draft Bodily Material Act is about material, not data. This might lead one to believe there's no overlap. But if you extract data from material, you're doing something with both data and material. That's why I'm discussing my thoughts on the draft act here. Spoiler alert: it's not good.

De Wet Zeggenschap Lichaamsmateriaal moet herschreven worden

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

Een hardnekkig EHDS misverstand

Posted on 4 februari 20264 februari 2026 by Antoinette

Een hardnekkig EHDS misverstand

Brief van de Minister

Op 20 januari 2026 stuurde de Minister van VWS een brief naar de Tweede Kamer, om deze te informeren over stand van zaken rond de implementatie van de EHDS. Dit was grotendeels een uitstekende en heldere brief. Echter, er stond een hardnekkig misverstand in. Op pagina 6 staan vier zaken of functies die de komende jaren ontwikkeld moeten worden ten behoeve van een goed functionerende Health Data Access Body, het nieuwe overheidsorgaan waar vergunningen kunnen worden aangevraagd om gezondheidsdata te hergebruiken ten behoeve van de Volksgezondheid. De Minster beschrijft de eerste daarvan als volgt: “Een nationale datasetcatalogus: door middel van een catalogus wordt inzichtelijk gemaakt waar welke datacategorieën voor secundair gebruik zich bevinden.” Deze omschrijving klopt niet, omdat men bij de HDAB ook data kan opvragen die niet in de catalogus staan. De catalogus toch zo omschrijven, zal ertoe leiden dat de EHDS een stuk minder nut heeft voor de wetenschap, dan de EU heeft beoogd.

Wat moet er in de catalogus staan?

Iedereen die houder is van EHDS-data die verzameld zijn in een set, wordt wettelijk verplicht om die sets aan te melden in de nationale catalogus. Dit zou de catalogus van Health-Ri kunnen zijn, maar ook bijvoorbeeld de catalogus van DANS, opgezet door onder meer de Koninklijke Academie van Wetenschappen. DANS behoort tot de meest vooraanstaande repositories van Europa. De op te richten HDAB zal hierin een keuze moeten maken. Wat datahouders bij de HDAB moeten aanmelden (jaarlijks) om te worden opgenomen in de catalogus, zijn al hun datasets. Deze zijn gedefinieerd als: “een gestructureerde verzameling van elektronische gezondheidsgegevens.” Deze datasets moeten straks een etiket krijgen volgens Health DCAT-AP (een standaard voor metadata) zodat onderzoekers makkelijker in heel Europa naar datasets kunnen zoeken, die zij voor hun onderzoek kunnen hergebruiken. De Nationale Catalogus wordt namelijk gekoppeld aan een Europese Catalogus.

Wat kan je bij de HDAB aanvragen?

Wat men bij de HDAB kan aanvragen, als onderzoeker, omvat echter meer dan wat er in de catalogus staat. Men kan namelijk een vergunning aan vragen om te werken met “data” en dit wordt in de EHDS apart gedefinieerd (waarbij verwezen wordt naar de Data Governance Verordening). Data betreft: “elke digitale weergave van handelingen, feiten of informatie en elke compilatie van dergelijke handelingen, feiten of informatie, ook in de vorm van geluidsopnames of visuele of audiovisuele opnames.” Het verschil zit erin dat datasets dus “gestructureerde verzamelingen” van data zijn, terwijl “data” dus ook allerlei ongestructureerde data betreffen, die nog nooit zijn verzameld in een gestructureerde set. Maakt dit uit? Jazeker, dit maakt veel uit.

Ongestructureerde data kan je niet labellen

Het eerste probleem is dat men in Nederland veelal lijkt te denken, dat datahouders dus alle “data” moet aanmelden in de catalogus, inclusief alle ongestructureerde data. Men zou dan als zorginstelling alle gezondheidsdata die men in huis heeft moeten inventariseren en aanmelden voor de catalogus, ongeacht de vraag of er ooit een wetenschapper in geïnteresseerd gaat zijn. Dat is niet bijzonder efficiënt. Bovendien valt niet in te zien hoe hier uitvoering aan moet worden gegeven. Data zelf worden natuurlijk niet in de catalogus gezet, alleen de metadata; een omschrijving van de data. Maar als dit ongestructureerde data betreft, dan wordt het bijzonder moeilijk om deze van metadata te voorzien, op een manier dat anderen begrijpen waar die ongestructureerde data over gaan. Omdat niet valt in te zien hoe dit moet worden uitgevoerd (alle ongestructureerde gezondheidsdata in Nederland opnemen in een catalogus), zal dit niet lukken.

Ongestructureerde data niet op te vragen?

Dit leidt tot het tweede probleem. Als niet alle EHDS-data daadwerkelijk in de catalogus staan, terwijl het aanvraagproces zich wel beperkt tot wat er in de catalogus staat, dan kunnen allerlei data dus niet aangevraagd worden. Het beperken van de DAAMS tot de data in de catalogus, leidt er dus toe dat alleen hergebruik van data mogelijk zal zijn, die al eerder voor onderzoek of statistiek zijn gebruik. Wat niet zal kunnen, op deze manier, is het onttrekken van nog niet eerder verzamelde, en dus nog ongestructureerde data aan het zorgsysteem. Het EHDS-systeem beperkt zich dan tot data die al eerder zijn gebruikt voor wetenschap of statistiek, maar strekt zich niet uit tot het beschikbaar maken of genereren van geheel nieuwe datasets. Wie oog heeft hiervoor, kan inderdaad erop aandringen dat we toch zoveel mogelijk (ongestructureerde) data in de catalogus gaan opnemen, maar logischer en efficiënter lijkt het, om pas naar data te gaan zoeken als iemand er daadwerkelijk om vraagt, middels een vergunnings-aanvraagprocedure die geheel los staat van de catalogus en waarin men gewoon beschrijft wat men nodig heeft en waar dit waarschijnlijk gevonden kan worden

Zeldzame en nieuwe data alsnog niet te verzamelen

Het derde probleem is dat de bestaande datasets, die zijn ontstaan onder het huidige gebrekkige systeem, weinig zeldzame data betreffen. Wetenschappers die carrière willen maken, zullen veelal ervoor kiezen om te werken met data die makkelijker verkrijgbaar zijn, in plaats van op zoek te gaan naar uiterst zeldzame data (want wie schrijft die blijft). Maar het vergunningensysteem van de EHDS moet het niet alleen mogelijk maken om data op te vragen die nu geweigerd worden (om welke reden dan ook), maar ook data die nu moeilijk vindbaar zijn. Op grond van de tekst van de EHDS kan men bijvoorbeeld een internationaal verzoek indienen, ten aanzien van de data van patiënten waarbij in de komende vijf jaar zowel henoch shönlein purpura als Long-Covid worden vastgesteld (een volstrekt willekeurig voorbeeld). Er dient dan evenwel een systeem te bestaan waarlangs een melding wordt gedaan aan de coördinerende HDAB als een dergelijke patiënt inderdaad blijkt te bestaan. Bovendien, als men jaarlijks datasets moet aanmelden in de catalogus, en de aanvraagprocedure is daartoe beperkt, dan zou men tijden een pandemie dus niet data kunnen opvragen die pas net zijn ontstaan. Dit terwijl de EHDS expliciet aangeeft mede bedoeld te zijn voor het snel verzamelen van data in dergelijke situaties.

Aanvraagproces van catalogus splitsen, voor meer effect

De EHDS introduceert dus een vergunning, zowel voor het opvragen van data uit de samenleving, als voor het hergebruik van bestaande datasets. Artikel 67 EHDS bevat immers de lijst met alles dat men moet aandragen of invullen bij het aanvragen van een vergunning. Daar staat allereerst niets in over de catalogus. Maar er staat bovendien wel dat men moet aangeven: “een beschrijving van de gevraagde elektronische gezondheidsgegevens, waaronder hun reikwijdte, tijdspanne, format, bronnen en, indien mogelijk, de geografische dekking. Er staat dus wel dat men moet aangeven wat de databronnen zijn, maar het woord datahouder staat daar opvallend genoeg niet. Bovendien staat in overweging 73: “De instantie voor toegang tot gezondheidsgegevens, en in voorkomend geval de houders van gezondheidsgegevens, moet de gebruikers van gezondheidsgegevens bijstaan bij de selectie van de geschikte datasets of gegevensbronnen voor het beoogde doeleind van secundair gebruik.” Dit betekent dat, anders dan nu, niet de wetenschapper, maar de wetenschapper samen met de HDAB de betreffende data moet lokaliseren. Het is bij de aanvraag dus niet nodig dat de wetenschapper zelf precies weet wie de data heeft; een algemene indicatie van de bronnen is genoeg, waarna de HDAB de wetenschapper verder moet bijstaan. Daardoor zal wetenschappelijke vooruitgang in allerlei nieuwe richtingen mogelijk zijn. Maar dan moet het systeem wel zo ingericht zijn, dat de DAAMS niet vereist dat je een dataset in de catalogus aanwijst.

A persistent EHDS misunderstanding

There's a persistent misunderstanding regarding the EHDS. Data holders must have their datasets included in a data catalog. However, data users can apply for a permit, even for data not yet included in the catalog. Therefore, the application procedure cannot be (solely) tied to the catalog.

The Dutch Bodily Material Act must be rewritten

De Wet Zeggenschap Lichaamsmateriaal moet herschreven worden

De Health Data Access Body

Posted on 10 augustus 202529 januari 2026 by Antoinette

De Health Data Access Body

Wie kan HDAB worden?

De Nederlandse overheid moet uiterlijk maart 2027 laten weten wie de Health Data Access Body zal worden; de instantie die gezondheidsdata beschikbaar gaat maken voor nuttig hergebruik. Deze HDAB verleent vergunningen, en is daarmee automatisch een overheidsorgaan. Immers, wie in een publiekrechtelijke wet is opgericht is overheid. Daarnaast is iedereen overheid die met openbaar gezag is bekleed, wat inhoudt dat men eenzijdig de rechtspositie van iemand kan vaststellen, zoals dus bepalen of iemand een vergunning krijgt. Er kan daarom bij het aanwijzen van de HDAB worden gekozen uit drie juridische opties:

men richt een geheel nieuw overheidsorgaan op in de Uitvoeringswetgeving-EHDS;
men wijst een bestaand overheidsorgaan aan als zijnde het orgaan dat voortaan ook de HDAB taken op zich neemt; of
men kiest voor een (bestaande of nieuwe) privaatrechtelijke organisatie, die met de uitvoeringswetgeving en de Kaderwet ZBO’s wordt ingebed in het publieke bestel en zo overheid wordt.

Juridische taken

Bij de inrichting van dit overheidsorgaan moet bedacht worden dat de HDAB zowel juridische, als feitelijke taken moet verrichten op grond van de EHDS. Alle juridische taken (die dus maken dat iets overheid is) kunnen niet worden uitbesteed. Dit betreft het verlenen van vergunningen, het opleggen van boetes of een last onder dwangsom. Deze bestuursrechtelijke besluitvorming zal niet eenvoudig zijn. De vergunningsaanvragen moeten worden getoetst aan de AVG en de EHDS, maar ook bijvoorbeeld aan het discriminatieverbod en de Europese vrij verkeersbepalingen. Er moet bovendien worden voldaan aan het overige Europese recht zoals de DataGovernanceVerordening, de DataVerordening en de Open Data Richtlijnen (geïmplementeerd in de Wet Hergebruik Overheidsinformatie), maar ook de Algemene wet bestuursrecht en het Intellectuele Eigendomsrecht. Er kan tegen een vergunning (of weigering ervan) bezwaar en beroep aangetekend worden. Als houders weigeren data beschikbaar te maken, moet een last onder bestuursdwang of dwangsom te worden opgelegd en ook daartegen kan geprocedeerd worden. De HDAB heeft dus flink wat goede juristen nodig.

Feitelijke taken

Daarnaast krijgt de HDAB onder de EHDS allerlei feitelijke taken, die eventueel wel kunnen worden uitbesteed. Het feit dat een overheid ergens verantwoordelijk voor is, betekent immers niet dat het dit zelf ook moet uitvoeren. Zo is de overheid ook verantwoordelijk voor goede scholen, maar dat zijn feitelijke taken, geen bestuursrechtelijke besluiten, en dus kan dit aan allerlei stichtingen worden uitbesteed. Op vergelijkbare wijze kan de HDAB opdrachten verlenen tot het uitvoeren van haar feitelijke taken, zoals het inrichten van een catalogus, anonimiseren of pseudonimiseren, het koppelen van databestanden, het in stand houden van een Nationaal Zeggenschapsregister, het controleren van de Beveiligde VerwerkingsOmgevingen, of het zorgen dat alle BVO’s interoperabel zijn. Dat zijn allemaal feitelijke taken die de HDAB zelf kan verrichten, maar die eventueel ook uitbesteed kunnen worden aan opdrachtnemers die dus niet overheid hoeven te zijn.

Wie kan niet HDAB worden

De HDAB mag geen belangen hebben bij de data of de vergunningsaanvraag, vanwege het verbod op tegenstrijdige belangen. Dit maakt dat het CBS eigenlijk afvalt als mogelijkheid, vanwege de commerciële activiteiten van microdata-services. De HDAB kan ook niet de Autoriteit Persoonsgegevens zijn, want die twee organisaties hebben tegengestelde taken (alles geheimhouden, versus meer data delen). Op gelijke wijze wordt de Markt Autoriteit apart genoemd in de EHDS, waaruit lijkt te volgen dat ook de ACM niet de HDAB kan worden. Het gerucht gaat dat VWS ervoor kiest om een enkel, geheel nieuw orgaan op te richten. Belangrijk is wel dat er streng wordt vastgehouden aan de EHDS eis dat er in de HDAB geen sprake mag zijn van tegenstrijdige belangen; zowel op organisatieniveau als ten aanzien van de mensen die werkzaam zijn in de HDAB. Dat een bestuurder van de HDAB ook lid is van bijvoorbeeld de Raad van Toezicht van datahouders of datagebruikers, is dus zeer onwenselijk.

HDAB versus Autoriteit Persoonsgegevens

Nota bene, de HDAB krijgt ook taken ten opzichte de natuurlijke personen op wie de data betrekking hebben (patiënten, of eigenlijk alle burgers). Het gaat daarbij om de manier waarop de HDAB zelf met persoonsgegevens omgaat. De HDAB moet aan allerlei AVG vereisten voldoen ten aanzien van transparantie. Daarnaast houdt de HDAB toezicht op datahouders en datagebruikers; ze toetst of een vergunningsaanvraag aan de AVG voldoet, en of er binnen de BVO’s gewerkt wordt conform de AVG. Maar als blijkt dat door iemand anders de AVG wordt geschonden, bijvoorbeeld omdat het Nationaal Zeggenschapsregister niet is gerespecteerd, dan geeft de HDAB die informatie aan de Autoriteit Persoonsgegevens, die zal optreden. Wat dit tweede betreft moet er dus door de HDAB worden samengewerkt met de Autoriteit Persoonsgegevens. Wat het eerste betreft staat de HDAB zoals andere overheden onder toezicht van de AP.

Groot genoeg

Er kan tot slot gekozen worden voor een enkele HDAB of meerdere, waarbij er een als coördinerende HDAB moet worden aangewezen. Gezien het feit dat er een flink aantal goed opgeleide juristen nodig is in de HDAB, en gezien het feit dat we maar een klein landje zijn, lijkt het onlogisch om meerdere HDAB’s op te richten. Tegelijkertijd moet ervoor worden opgepast dat de HDAB die wordt opgericht, niet te klein is. Er is discussie over de vraag wanneer de EHDS van toepassing is. Er zijn mensen die zeggen dat dit alleen het geval is, als men er zelf voor kiest om gebruik te maken van de HDAB-route. Als men inderdaad zelf mag kiezen of men een vergunning aanvraagt of niet, dan hoeft de HDAB niet zo groot te zijn. Als men vrijwel altijd een vergunning nodig heeft (tenzij men zich kan beroepen op een van de uitzonderingen in artikel 1), dan zal de HDAB groot genoeg moeten zijn. Immers, als er door wetenschappers meer vergunningen worden aangevraagd dan de HDAB kan verwerken, dan kan het wetenschappelijk onderzoek in Nederland stagneren door capaciteitstekorten bij de HDAB. Dat is natuurlijk niet de bedoeling.

Een hardnekkig EHDS misverstand

De Wet Zeggenschap Lichaamsmateriaal moet herschreven worden

De EHDS en de Beveiligde VerwerkingsOmgeving

Er moet onder de EHDS worden gewerkt in een Beveiligde VerwerkingsOmgeving (BVO). Wetenschappers krijgen geen data, maar toegang daartoe in een BVO die voldoet aan krachtens de EHDS vastgestelde strenge technische en veiligheidsnormen. Wat houdt dat in? En moet voortaan iedereen in een dergelijke BVO werken? Wordt dat een supercomputer met al onze gezondheidsdata?

Wanneer treedt de EHDS in werking?

Posted on 10 augustus 202529 januari 2026 by Antoinette

Wanneer treedt de EHDS ten aanzien van secundair gebruik in werking?

Primair in 2027, secundair in 2029

De EHDS vereist flink wat voorbereiding. Er moet een Health Data Access Body worden opgericht, er moet van alles aan software en hardware worden gebouwd of aan elkaar geknoopt en er moet aanvullende wetgeving worden geschreven. Daarom zal de EHDS in verschillende fasen van kracht worden. Op 26 maart 2027 worden de bepalingen rond primair gebruik al van kracht. Hoofdstuk IV over het hergebruik van gezondheidsgegevens, zal pas op 26 maart 2029 van toepassing zijn. Dat zijn de grote lijnen, maar sommige onderdelen van hoofdstuk IV treden ook al in werking per 26 maart 2027, andere juist later.

Er moeten nog een aantal handelingen worden verricht, per maart 2027. Nederland moet de Europese Commissie vertellen wie haar Health Data Access Body wordt. Ook moet ze vertellen wie de NCPSD wordt, de digitale gateway die de Nederlandse Gezondheidsdata Catalogus koppelt aan de overige Europese catalogi (Nederland heeft al besloten dat dit gewoon de HDAB zelf wordt). De Europese Commissie op haar beurt moet:

modellen vaststellen voor het aanvragen van toegang tot gezondheidsgegevens (een vergunning of een statistische vraag);
de vereisten vaststellen waaraan Beveiligde VerwerkingsOmgevingen moeten voldoen;
de verdere vereisten vaststellen ten behoeve van het HealthData@EU systeem;
vaststellen welke metadata de houders van datasets moeten aanleveren voor de gezondheidsdata catalogus;
kwaliteits- en gebruikslabels vaststellen ten aanzien van datasets.

Vervolgens wordt dus op 26 maart 2029 de bulk van hoofdstuk IV van kracht, wat betekent dat gebruikers van gezondheidsdata vanaf dan vergunningen kunnen aanvragen, of statistische vragen kunnen indienen, terwijl houders verplicht zijn data aan te leveren. De Health Data Access Body (plus het nationale contactpunt) moeten dan volledig operationeel zijn. Daarnaast wordt hetgeen de Europese Commissie in 2027 heeft vastgesteld dan van kracht (zie hierboven).

Echter, de EHDS geldt dan nog niet ten aanzien van het nuttig hergebruik van alle soorten EHDS-data. Pas op 26 maart 2031 geldt de EHDS ook ten aanzien van deze meer sensitieve data:

gegevens over factoren die van invloed zijn op de gezondheid, met inbegrip van sociaal-economische, milieu- en gedragsdeterminanten van gezondheid;
humaan-genetische, epigenomische en genomische gegevens;
andere humaan-moleculaire gegevens, zoals proteomische, transcriptomische, metabolomische, lipidomische en andere “-omische” gegevens;
gegevens afkomstig van klinische proeven, klinische studies, klinische onderzoeken en prestatiestudies;
gegevens afkomstig van onderzoekscohorten, vragenlijsten en enquêtes in verband met gezondheid, zodra de daarmee verband houdende resultaten gepubliceerd zijn

Nog weer later (26 maart 2035) wordt ook artikel 75 lid 5 van kracht, dat bepaalt dat derde-landen of internationale organisaties zich kunnen aansluiten als deelnemers in de European Health Data Space.

De eerste verplichtingen moeten dus in het eerste kwartaal van 2027 zijn gerealiseerd. Het wetgevingstraject om dat alles mogelijk te maken, start daarom Q2 2025. Het is daarmee belangrijk dat elke belanghebbende bij de EHDS zich per direct oriënteert op de vraag wat voor haar belangrijk is, ten aanzien van de juiste interpretatie en vooral de optimale implementerende wetgeving. Het zou goed zijn om deze wet aan te grijpen om zoveel mogelijk problemen tegelijk en op een constructieve manier op te lossen, ten behoeve van de Volksgezondheid.

Een hardnekkig EHDS misverstand

De Wet Zeggenschap Lichaamsmateriaal moet herschreven worden

De Health Data Access Body

Het Ministerie van VWS gaat binnenkort bepalen wie de HDAB wordt; bij wie straks vergunningen worden aangevraagd voor nuttig hergebruik van gezondheidsgegevens. Wie kunnen dit worden, wie juist niet? En wat moet deze HDAB allemaal doen?

De EHDS leidt tot meer gezondheids(data)veiligheid

Posted on 10 augustus 202510 augustus 2025 by Antoinette

De EHDS leidt juist tot meer gezondheids(data)veiligheid

De komst van de EHDS zorgt voor maatschappelijke onrust. Zijn onze gezondheidsgegevens straks nog wel veilig? De verordening zal inderdaad meer data beschikbaar maken voor nuttig hergebruik, zoals wetenschappelijk onderzoek. Maar de idee van de Verordening is om meer data beschikbaar maken, juist door het beter te beveiligen. Daartoe wordt de vergunning geïntroduceerd en moet er een HDAB opgericht worden als gezondheidsdata-politie. De EHDS bevat bovendien een lijst verboden gebruik, die weleens verstrekkende gevolgen kon gaan hebben voor onder meer de tabaksindustrie.

Vergunning vereist

Allereerst bepaalt de EHDS dat men voor het werken met gezondheidsdata een vergunning moet aanvragen. Er is discussie over de vraag of men mag kiezen of men die aanvraagt, zoals het Ministerie van VWS zegt. Ik vind het een vreemd standpunt: je mag ook niet kiezen of je een kapvergunning aanvraagt, een bouwvergunning, of een horecavergunning. Het hele idee van de vergunning is dat de overheid op deze manier kan meekijken, om te zorgen dat men zich aan alle (veiligheids)regels houdt. Er zal, zo lees ik de verordening, bijna altijd een vergunning vereist zijn. Vervolgens bepaalt de EHDS dat gezondheidsdata uitsluitend mogen worden gebruikt conform de voorwaarden in die vergunning. Daarin moet o.a. zijn opgenomen wie exact de onderzoekers zijn die toegang mogen krijgen tot de data. Staat men niet in de vergunning, dan kan men ook niet bij de data. Bovendien is het ten strengste verboden om te achterhalen over welke personen de (anonieme of pseudonieme) data gaan.

HDAB houdt toezicht

De vergunning wordt aangevraagd bij de Health Data Access Body. In Nederland is men nu druk doende met het ontwerpen van allerlei ICT-middelen voor deze HDAB. Maar wie de EHDS goed bestudeert, zie dat de nieuw op te richten overheidsinstantie toch vooral de gezondheidsdata-politie zal zijn. Houdt men zich niet aan de vergunningsvoorwaarden of aan overige wetgeving, dan kan de HDAB flinke boetes opleggen (tot 20 Mio of 4% van de jaaromzet). Bovendien: belanghebbenden kunnen handhavingsverzoeken indienen bij de HDAB en zo de overheid dwingen om op te treden als er te slordig wordt omgegaan met gezondheidsgegevens. Dat kon de Autoriteit Persoonsgegevens ook al, kan je denken, maar de EHDS gaat echt verder. Er staat namelijk een bijzonder interessante lijst in de EHDS: het verboden gebruik.

Verboden onder de EHDS is dit:

het nemen van besluiten die nadelig zijn voor een natuurlijke persoon of een groep van natuurlijke personen op basis van hun elektronische gezondheidsgegevens; om als “besluiten” te kunnen worden aangemerkt voor de toepassing van dit punt, moeten zij juridische, sociale of economische gevolgen hebben of die natuurlijke personen op vergelijkbare wijze aanmerkelijk treffen;
het nemen van besluiten met betrekking tot een natuurlijke persoon of een groep natuurlijke personen in verband met vacatures, het aanbieden van minder gunstige voorwaarden bij het leveren van goederen of diensten, onder meer om die personen of groepen een verzekerings- of kredietovereenkomst te ontzeggen, hun bijdragen en verzekeringspremies of leningsvoorwaarden te wijzigen, of andere besluiten te nemen met betrekking tot een natuurlijke persoon of een groep natuurlijke personen die ertoe leiden dat zij gediscrimineerd worden op basis van de verkregen gezondheidsgegevens;
het verrichten van reclame- of marketingactiviteiten;
het ontwikkelen van producten of diensten die schadelijk kunnen zijn voor personen, de volksgezondheid of de samenleving in het algemeen, zoals illegale drugs, alcoholhoudende dranken, tabaks- en nicotineproducten, wapens, of producten of diensten die zodanig zijn ontworpen of gewijzigd dat zij tot verslaving leiden, in strijd zijn met de openbare orde of een risico voor de menselijke gezondheid inhouden;
het verrichten van activiteiten die in strijd zijn met ethische bepalingen die zijn neergelegd in het nationale recht.

Laat het tot je doordringen wat hier staat; je mag geen gezondheidsgegevens gebruiken voor het ontwikkelen van verslavende producten. Er is als gezegd onduidelijkheid over de vraag wanneer de EHDS van toepassing is. De lezing van het Ministerie van VWS is dat je kan kiezen of je een vergunning aanvraagt en of je dus onder de EHDS valt. Dan kan de tabaksindustrie dus ook kiezen of ze zich aan de verboden lijst moeten houden. Dat lijkt mij een onhoudbaar standpunt. Er staat in de EHDS: gebruikers van gezondheidsgegevens mogen gezondheidsgegevens voor secundair gebruik alleen raadplegen en verwerken overeenkomstig een gegevensvergunning. Het lijkt mij dat je dan altijd een vergunning nodig hebt (tenzij de EHDS niet van toepassing is op grond van artikel 1; daarin staan enige uitzonderingen). Als mijn lezing juist is, dan zal het effect van de lijst van verboden gebruik aanzienlijk zijn! Want dan zal het voortaan verboden zijn om gezondheidsdata te gebruiken voor het ontwikkelen van welk verslavend product dan ook. Hulde aan de opstellers van deze verordening dus.

De EHDS is dus top!

De komst van de EHDS zorgt voor maatschappelijke onrust. Men vreest bijvoorbeeld dat secundair gebruik ertoe kan leiden dat iemand geen verzekering of baan meer krijgt. Hieruit blijkt dat men de EHDS niet heeft gelezen, want dit staat expliciet in de lijst van verboden gebruik. Omdat de EHDS zeer gunstig is voor medisch wetenschappelijk onderzoek, kan het dus nuttig zijn om te benadrukken dat de EHDS van alles expliciet verbiedt. Het gunstige van de lijst verboden gebruik is bovendien dat de nieuw op te richten HDAB wordt aangewezen als de autoriteit die dit moet handhaven, en waar dus ook handhavingsverzoeken kunnen worden ingediend. Maar bovenal moeten we ons realiseren dat de EU via een omweg ons een juridisch middel in handen lijkt te hebben gegeven tegen de tabaksindustrie. Het is vooralsnog niet gelukt om tabak te verbieden, maar het lijkt wel te zijn gelukt om te verbieden onderzoek te doen naar de vraag hoe tabak nog verslavender kan worden gemaakt. De toekomst zal uitwijzen hoeveel plezier we gaan hebben van deze verboden lijst. Misschien is dit ook in te zetten tegen het verslavend maken van apps? Krijgt de HDAB straks mijn kind van de socials af? Ik kijk met spanning uit naar de fantastische voordelen die de EHDS ons kan brengen.

A persistent EHDS misunderstanding

Een hardnekkig EHDS misverstand

The Dutch Bodily Material Act must be rewritten

Het al bestaande vrije verkeer van gezondheidsgegevens

Posted on 2 juni 202529 januari 2026 by Antoinette

Het (al bestaande) vrije verkeer van gezondheidsgegevens

Mijn data in mijn land?

In de discussies over het hergebruik van gezondheidsgegevens, wordt vaak gepraat over landsgrenzen. Dit secundaire gebruik is iets waarbij de juiste balans moet worden gevonden tussen enerzijds privacy en anderzijds het belang van bijvoorbeeld wetenschappelijk onderzoek of het kunnen toetsen of bepaald beleid werkt. De privacy-aanhangers vinden veelal dat bij hergebruik “onze” data de grens niet over mogen, of dat je in elk geval in het Nationaal Zeggenschapsregister moet kunnen aangeven dat dit met “jouw” data niet mag. Wetenschappers stellen daartegenover dat bijvoorbeeld bij zeldzame ziektes, ze hun werk eigenlijk alleen goed kunnen doen als data uit verschillende landen kunnen worden gebruikt. Daarom verwelkomen ze de EHDS, waarin onder andere staat dat ze data uit heel Europa zullen kunnen opvragen. Wat beide partijen over het hoofd zien, is dat er allang binnen de EU een vrij verkeer van gezondheidsdata bestaat.

Europees recht over data

Een van de doelstellingen van de EHDS is: het vrije verkeer van gezondheidsgegevens ondersteunen. Er staat “ondersteunen” want dit vrije verkeer is er al. Volkomen onopgemerkt, is hetgeen bepaald is in artikel 1 van de AVG: “Het vrije verkeer van persoonsgegevens in de Unie wordt noch beperkt noch verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.” De AVG is alleen van toepassing op persoonsgegevens (waarbij men redelijkerwijs kan achterhalen over welke personen het gaat). Daarom bestaat hiernaast de volstrekt onbekende Verordening 2018/1807 betreffende “het vrije verkeer van niet-persoonsgebonden gegevens in de Europese Unie.” De Open Datarichtlijn 2019/1024 bepaalt verder: “De voorwaarden voor het hergebruik van documenten mogen niet discriminerend zijn voor vergelijkbare categorieën van hergebruik, met inbegrip van hergebruik over de landsgrenzen heen.”

Wetenschappers kunnen dit nu al gebruiken

Het vrije verkeer van diensten en goederen in de EU ontstond in 1993, met de invoering van de interne markt. Al snel daarna realiseerde men zich dat de interne markt niet mogelijk was zonder ook een vrij verkeer van data. Gegevensbescherming kan prima in de wet van een losse lidstaat geregeld worden, maar voor het vrije verkeer was het harmoniseren (gelijktrekken) van wetgeving nodig. Juist het vrije verkeer van data was dus een belangrijk doel van de AVG, vandaar dat het in artikel 1 staat. Dit alles houdt in dat men ook nu al rechtstreeks data kan aanvragen bij bijvoorbeeld FinData. Dit verzoek mag niet anders behandeld worden dan het verzoek van Finse onderzoekers, want er geldt bovendien een discriminatieverbod tussen Europeanen. Er mag dus bij een aanvraag geen onderscheid gemaakt worden tussen Nederlandse of Finse wetenschappers. De EHDS maakt het straks mogelijk dat men met een enkele aanvraag bij de Nederlandse HDAB data opvraagt uit heel Europa. Maar het zou goed zijn als wetenschappers en statistici zouden weten dat het ook nu al verboden is om data bij een binnengrens (een grens tussen EU-landen) tegen te houden. Zij kunnen dus per direct in heel Europa verzoeken indienen om met gezondheidsdata te werken.

Zeggenschap hetzelfde voor de hele EU

En patiënten kunnen straks via een Nationaal Zeggenschapsregister bezwaar maken tegen bepaald hergebruik van data die over hen gaan. Het Ministerie van VWS moet nu uitdokteren hoe dit register er precies uit gaat zien. Maar het is dus op grond van Europees recht verboden om dit register zo in te richten dat Nederlandse wetenschappers wel kunnen werken met “onze” data, maar Belgische wetenschappers niet. Als je bedenkt dat die wetenschappers proberen om een medicijn te vinden tegen bijvoorbeeld kanker, een medicijn dat vervolgens internationaal beschikbaar zal komen, dan is het bijzonder logisch dat een wetgever ervoor zorgt dat elke wetenschapper in de EU toegang krijgt tot data, en niet alleen die van onze eigen academische ziekenhuizen. Overigens mogen op grond van de AVG data nu ook al stromen naar landen ten aanzien waarvan een adequaatheidsbesluit is genomen door de EU. Dat houdt in dat men in Brussel vindt dat de privacy afdoende beschermd wordt in bijvoorbeeld Japan. Landen als Japan kunnen zich op termijn aansluiten bij de EHDS, maar omdat ze geen onderdeel zijn van de EU, mag er wel in het Nationale Zeggenschapsregister worden gevraagd of je er bezwaar tegen hebt dat data over jou ook stromen richting dergelijke niet-EU landen.

Dus het BSN mag ook niet tegengehouden worden

Nota bene: dit vrije verkeer van data was dus bedoeld om het vrije verkeer van goederen en diensten binnen de EU te ondersteunen. En de gedachte daarvan was; hoe groter de markt, hoe meer concurrentie, wat zal leiden tot hogere kwaliteit tegen lagere grenzen. Brussel wil dat een goede wijnboer in Italië rechtstreeks kan verkopen aan mensen in Wassenaar. Op gelijke wijze moet een goede radioloog rechtstreeks MRI’s in Griekenland kunnen beoordelen. Daardoor komt in Europa betere zorg beschikbaar tegen een lagere prijs. Het dataverkeer dat daaronder ligt, mag zoiets niet in de weg staan. In Nederland zijn er mensen die denken dat het BSN niet over de grens gebruikt mag worden, omdat er nergens in de wet staat dat dit mag. Maar dat lijkt mij dus typisch iets dat, als ons Nederlandse recht dat inderdaad zou meebrengen, onverbindend is op grond van artikel 1 AVG. Persoonsgegevens mogen niet worden tegengehouden aan een EU binnengrens en dat geldt ook voor het BSN.