Feedback op wetsvoorstel Uitvoeringswet EHDS

Consultatie Uitvoeringswet-EHDS: strijdig met Europees recht

Samenvatting:

1.     De Europese Unie is een hybride rechtsorde. De EHDS is primair gebaseerd op artikel 114 VWEU (harmonisatie van de interne markt) en niet op artikel 168 VWEU (volksgezondheid). Dit betekent dat de Verordening supranationaal recht is ter bevordering van het vrije verkeer van gezondheidsdata, en géén intergouvernementele samenwerking voor goede zorg. Er is derhalve geen ruimte meer voor een geïsoleerde, nationale visie op het gezondheidsinformatiestelsel; de focus moet uitsluitend liggen op het verwezenlijken van de Europese visie op de European Health Data Space. Een afwijkende nationale insteek levert strijd op met het vrij verkeer van zorg- en ICT-diensten (artikel 56 VWEU), het beginsel van gemeenschapstrouw (artikel 4 lid 3 VEU), en is onverenigbaar met vaste rechtspraak zoals het Inter-Environnement Wallonie-arrest (HvJEU, C-129/96).

2.     De EHDS is een integraal onderdeel van het bredere Europese datarecht (waaronder ook de Open Data-richtlijn, Eidas en de Verordening Interoperabel Europa). De verordening adresseert voorts hardnekkig marktfalen op de zorg-ICT-markt, zoals vendor lock-ins, waar het Europese mededingingsrecht vooralsnog onvoldoende soelaas biedt. Omdat het hier fundamenteel gaat om de regulering van digitale datamarkten, sluit dit naadloos aan bij de portefeuille van het Ministerie van Economische Zaken, waar thans vrijwel alle digitale beleidsdossiers worden belegd. Het Kabinet Jetten zou er goed aan doen om ook het EHDS-dossier naar dat ministerie te verplaatsen. In het verlengde daarvan moet serieus worden overwogen om het toezicht op de zorg-ICT niet bij de Inspectie Gezondheidszorg en Jeugd (IGJ) te beleggen (dat toezicht houdt op zorg), maar bij de onafhankelijke marktwaakhond die daadwerkelijk is toegerust op deze complexe marktdynamiek: de Autoriteit Consument & Markt (ACM).

3.     Tot slot is het schrijven van de EHDS mede gebaseerd op artikel 16 VWEU (bescherming van persoonsgegevens). Dit artikel vereist expliciet dat het toezicht op de naleving wordt uitgeoefend door "onafhankelijke autoriteiten." Het onderbrengen van de GezondheidsDataAutoriteit (GDA) als een ZBO zonder eigen rechtspersoonlijkheid, die hiërarchisch onderdeel uitmaakt van dezelfde rechtspersoon (de Staat) als het Ministerie van VWS, het RIVM en de IGJ, schiet tekort qua institutionele onafhankelijkheid. Het op deze wijze inrichten van het toezicht levert een schending van het primaire Unierecht op. Iedere constructie waarbij de mogelijkheid bestaat dat een minister druk uitoefent om voor eigen politiek gewin gezondheidsdata van burgers op te vragen, of juist confronterende data verborgen te houden, is onhoudbaar en fundamenteel in strijd met de EHDS zelf en het primaire Europese recht.

 

1.     De EHDS is Europese strategie, géén hulpmiddel voor nationale strategie

 

De verkeerde invalshoek van de Uitvoeringswet

De Uitvoeringswet-EHDS heeft primair als naam de "Wet op het GezondheidsInformatie-Stelsel. " Tussen haakjes is toegevoegd: "EHDS tranche 1." What’s in a name, kan men denken, maar het is wel degelijk relevant. Blijkens de Memorie van Toelichting wordt de EHDS door VWS niet echt gezien als een in Nederland rechtstreeks werkende wet. Te lezen is bijvoorbeeld dat de Verordening "niet alleen gericht is op grensoverschrijdende zorg, maar ook een accelerator voor lidstaten om de nationale gezondheids-informatiestelsels te verbeteren." Dat is een onjuiste lezing van de Verordening, die immers de naam draagt "European Health Data Space." Het is geen beleidsinstrument om de vastgelopen Nationale Visie en Strategie aan te jagen, maar dicteert een Europese visie gericht op het tot stand brengen van een vrij verkeer van gezondheidsdata binnen de hele Unie, ter ondersteuning van het bestaande vrije verkeer van personen (inclusief patiënten) en diensten (inclusief zorgverlening). 

De constitutionele grondslag (Art. 114 VWEU & Art. 5 VEU)

De MvT stelt ten onrechte dat het primaire doel van de verordening is dat "elektronische gezondheidsgegevens beter beschikbaar komen voor de verlening van zorg". Hoewel dit een nobel streven is, kan dit juridisch onmogelijk de primaire bestaansreden van de verordening zijn. Op grond van het subsidiariteitsbeginsel (artikel 5 VEU) is de EU immers enkel bevoegd om wetgeving uit te vaardigen wanneer een doel niet op nationaal niveau kan worden bereikt. Het vastleggen van patiëntenrechten en het verbeteren van de lokale zorg kunnen uitstekend via nationale wetgeving worden geregeld. Het wegnemen van belemmeringen voor het vrije verkeer van data vereist daarentegen Europese harmonisatie. Net zoals bij de Algemene Verordening Gegevensbescherming (AVG) het geval was, wordt het recht primair geharmoniseerd ten behoeve van de interne markt, niet louter ter versterking van patiëntenrechten. De werkelijke juridische basis van de EHDS is dus het (supranationale) artikel 114 VWEU (de harmonisatie van de interne markt) en niet artikel 168 VWEU (intergouvernementele samenwerking) betreffende zorg.

Vrij verkeer van (gezondheids)diensten

In Europa kennen wij een vrij verkeer van goederen, diensten, kapitaal en personen. Hoewel de gezondheidszorg is uitgesloten van de materiële reikwijdte van de secundaire Dienstenrichtlijn, is het een misvatting om e contrario te concluderen dat de EU geen vrij verkeer van gezondheidsdiensten beoogt. Het primaire Unierecht (artikel 56 VWEU) is hier onmiskenbaar op van toepassing. Zoals het Hof van Justitie oordeelde in de zaak Geraets-Smits en Peerbooms (C-157/99), geldt het vrij verkeer van diensten evengoed voor medische zorg, en mag dit slechts worden beperkt indien de bescherming van de volksgezondheid dat redelijkerwijs vereist. Om een ziekenhuis in Nieuwegein bijvoorbeeld in staat te stellen om bij een tekort aan radiologen een specialist uit Barcelona in te schakelen — zonder de arts fysiek te verplaatsen — is een grensoverschrijdend vrij verkeer van gezondheidsdata een vereiste.

Volledige doorwerking, niet uitsluitend grensoverschrijdend

Om de EHDS correct te begrijpen, moet deze dus worden gelezen als een integraal onderdeel van de Unierechtelijke vrijverkeersbepalingen en het overige datarecht, dat dit vrije verkeer ondersteunt. Bij de invoering van de AVG werd aanvankelijk ook vaak gedacht dat de regels uitsluitend zagen op grensoverschrijdend dataverkeer. Het Hof van Justitie rekende met arresten als Lindqvist (C-101/01) en Österreichischer Rundfunk e.a. (C-465/00 e.a.) resoluut af met die illusie. Op exact dezelfde wijze moet de EHDS niet worden gelezen als een wet beperkt tot grensoverschrijdende data-uitwisseling, maar als een kader dat altijd en overal binnen de Unie geldt, tenzij de verordening zélf expliciet een uitzondering formuleert. 

De juiste implementatie en het beginsel van gemeenschapstrouw

Gezien het bovenstaande had het startpunt voor de nationale wetgever niet de inpassing in de bestaande nationale Wet elektronische gegevensuitwisseling in de zorg (Wegiz) moeten zijn. Bij een rechtstreeks werkende Europese verordening horen de fundamentele vragen te zijn: (i) op welke punten is sprake van maximumharmonisatie (waarbij minder noch méér nationale rechtsbescherming is toegestaan), (ii) waar resteert specifieke beleidsruimte, en (iii) hoe moet dit institutioneel in het nationale systeem worden ingebed? Daarbij dient de wetgever er bovendien ernstig voor te waken dat hij met de Wet-GIS niet beleidsmatig vooruitloopt op, of ingaat tegen, de meer dan twintig uitvoeringshandelingen die de Europese Commissie in de komende 9 maanden zal vaststellen. Een dergelijke nationale doorkruising van Europees beleid levert strijd op met het beginsel van gemeenschapstrouw (artikel 4 lid 3 VEU), zoals door het Hof pregnant geformuleerd in het Inter-Environnement Wallonie-arrest (C-129/96).

 

2.     Kader van het Europese Datarecht en Mededingingsrecht

Reparatie van de AVG ter bevordering van het personenverkeer

De EHDS moet niet in een vacuüm worden gelezen, maar als een onlosmakelijk onderdeel van het bredere secundaire Unierecht. De verordening beoogt onder meer patiënten rechtstreekse en onmiddellijke toegang tot hun medische dossiers te verschaffen. Wanneer een Europese burger tijdens een vakantie in Griekenland acute medische hulp behoeft, is onmiddellijke inzage in allergieën of medicatiegebruik essentieel; dit ondersteunt direct het vrije verkeer van personen. De AVG bleek op dit punt tekort te schieten, nu deze voor inzageverzoeken een responstermijn van "in ieder geval binnen een maand" toestaat. In een acute zorgcontext is een dergelijke termijn volstrekt nutteloos. De EHDS fungeert op dit punt dan ook als een specifieke reparatie van de AVG voor de gezondheidssector.

Marktfalen, vendor lock-in en het Europese mededingingsrecht

Ten aanzien van de zorg-ICT is het de uitdrukkelijke bedoeling van de EHDS om de markt fundamenteel gezonder te maken. In meerdere lidstaten, waaronder Nederland, wordt deze sector gekenmerkt door sterke marktmacht en hardnekkige vendor lock-ins. (Zo bedienen ChipSoft en Epic samen naar schatting 90% van de Nederlandse markt voor ziekenhuis-EPD's.) Het reguliere Europese mededingingsrecht is onvoldoende krachtig gebleken om dergelijke problemen structureel op te lossen. De EHDS repareert dit marktfalen door dwingende, uniforme Europese standaarden voor te schrijven. Het doel is dat Finse of Spaanse ICT-leveranciers probleemloos de Nederlandse markt kunnen betreden, en vice versa. In het licht van dit Europese markt-doel is het volstrekt onbegrijpelijk dat het Ministerie van VWS krampachtig vast blijft houden aan nationale standaarden (zoals in de Wegiz) en nationale ankers (zoals de Kamer van Koophandel). Deze geforceerde nationale inbedding is niet alleen schadelijk voor het doorbreken van de vendor lock-ins, maar is simpelweg niet toegestaan onder het Unierecht.

Systeemfout in het toezicht: IGJ in plaats van de ACM

Hoewel de EHDS materieel een reparatie van het mededingingsrecht behelst, wordt dit in de Memorie van Toelichting (MvT) volledig genegeerd. De MvT verwijst wel naar de Dataverordening (Data Act) en de Datagovernanceverordening (DGA), verordeningen waarop in Nederland de Autoriteit Consument en Markt (ACM) toezicht houdt. In de concept-Wet GIS krijgt de ACM echter geen enkele nieuwe of formele rol toebedeeld bij de handhaving van de EHDS; zij behoudt louter haar reeds bestaande bevoegdheden onder de Mededingingswet. In plaats daarvan legt de Wet GIS de handhavingsplichten voor de EPD-markt bij de Inspectie Gezondheidszorg en Jeugd (IGJ). De IGJ is van oudsher ingericht op het bewaken van de medische zorgkwaliteit en patiëntveiligheid. Dit is derhalve de logische autoriteit voor het handhaven van de MDR betreffende medische hulpmiddelen voor diagnose en behandeling: dit betreft immers zorg. Ook haar AI-bevoegdheden betreffen patiëntveiligheid. Maar de IGJ ontbeert de specifieke economische en juridische expertise om ICT-marktdynamiek en API-koppelvlakken te doorgronden. Het Ministerie van Economische Zaken (EZ), waar de ACM onder valt, is bij uitstek wél toegerust om dergelijke gesloten markten open te breken en verdienmodellen van tech-giganten te ontleden. Door de bevoegdheid desondanks bij de IGJ te beleggen, voorkomt VWS dat EZ een stempel kan drukken op de Nederlandse zorginfrastructuur. Het resultaat is een inefficiënte versnippering van het toezicht: de IGJ moet straks de Europese spelregels voor de EPD-markt handhaven, terwijl de ACM exact dezelfde marktpartijen via het mededingingsrecht in toom moet houden. 

De blinde vlek voor aanpalend Europees datarecht

De koker-visie van VWS blijkt voorts uit het feit dat allerlei aanpalend Europees datarecht in de MvT onbenoemd blijft:

• De eIDAS 2.0-Verordening: Deze wetgeving verplicht spoedig het gebruik van de Europese Digitale Identiteitswallet, waarmee burgers altijd en overal moeten kunnen inloggen op hun EPD's. Daar waar het ene ministerie organiseert er EPD’s komen, moet een ander ministerie dus zorg dragen dat we daar ook toegang toe krijgen.
• De Open Data Richtlijn (die wordt opgenomen in de Dataverordening): Deze regelgeving ziet specifiek op onderzoeksgegevens en verplicht de inzet van API's en bulk-downloads. Dit is wezenlijk voor secundair datagebruik (bijvoorbeeld wanneer het RIVM tijdens een pandemie urgent data nodig heeft). Nederland heeft deze richtlijn overigens onjuist geïmplementeerd door te stellen dat deze niet van toepassing is op persoonsgegevens, terwijl de richtlijn enkel gegevens uitzondert die op grond van de AVG niet mogen worden verwerkt.
• De Verordening Interoperabel Europa (2024/903): Deze verordening is van toepassing op trans-Europese digitale diensten zoals MyHealth@EU en HealthData@EU, en raakt ook de directe samenwerking tussen bijvoorbeeld het RIVM en het ECDC.

Binnen het zittende kabinet is afgesproken dat vrijwel alle digitale dossiers worden samengebracht onder het Ministerie van Economische Zaken. Gezien het feit dat de EHDS primair draait om het vrije verkeer van data, digitale markten en interoperabiliteit — en niet over zorgverlening gaat — is het onbegrijpelijk dat EZ in de MvT nergens wordt genoemd. Het Kabinet zou er goed aan doen om het gehele dossier EHDS ook over te dragen aan Economische Zaken, inclusief het toedelen van de markttoezichttaken aan de ACM.

3. De illusoire onafhankelijkheid van de GezondheidsData-Autoriteit

De constitutionele eis van onafhankelijkheid (Art. 16 VWEU)

De EHDS is mede verankerd in artikel 16 VWEU, dat de Unie de bevoegdheid geeft om voorschriften vast te stellen ten aanzien van de verwerking van persoonsgegevens, "alsmede de voorschriften betreffende het vrije verkeer van die gegevens". Dit beginsel van vrij dataverkeer is reeds jaren dwingend vastgelegd in artikel 1 van de AVG en in Verordening 2018/1807 inzake het vrije verkeer van niet-persoonsgebonden gegevens (iets waar de Autoriteit Persoonsgegevens in de praktijk helaas zelden op handhaaft). Cruciaal is echter dat artikel 16 VWEU tevens expliciet bepaalt: "Op de naleving van deze voorschriften wordt toezicht uitgeoefend door onafhankelijke autoriteiten." In de Uitvoeringswet AVG (UAVG), is dit correct vertaald: "Er is een Autoriteit Persoonsgegevens. De Autoriteit Persoonsgegevens bezit rechtspersoonlijkheid." Het voorstel voor de Wet GIS stelt daarentegen louter: "Er is een Gezondheidsdata-autoriteit." De GDA krijgt blijkens het voorstel dus géén eigen rechtspersoonlijkheid, maar wordt opgetuigd als een zelfstandig bestuursorgaan (zbo) binnen de rechtspersoon De Staat. Hoewel zo'n constructie onder het Nederlandse bestuursrecht mogelijk is, is dit in het licht van het Europese recht uiterst problematisch. De Memorie van Toelichting stelt hieromtrent uitsluitend dat wordt vastgehouden aan wat reeds bestond onder de Wegiz en de Wabvpz, maar dit is net als ons bestuursrecht nationale wetgeving, wat niet in strijd mag zijn met het VWEU.

Kaderwet-ZBO illusie

VWS schrijft in de MvT: "Op de Gezondheidsdata Autoriteit is de Kaderwet zbo's van toepassing. De Gezondheidsdata Autoriteit wordt (...) ingesteld als zbo omdat er behoefte is aan onafhankelijke oordeelsvorming op grond van specifieke deskundigheid." VWS stelt ook dat de Minister weliswaar personeel ter beschikking stelt, maar dat het personeel verantwoording verschuldigd is aan de GDA en niet aan de Minister. Dit is een klassiek Haags, formeel-juridisch verweer. VWS schermt met het formele ZBO-statuut om de onafhankelijkheid te claimen. Dat de onafhankelijkheid in de Wet GIS een illusie is, blijkt pijnlijk duidelijk uit artikel 2.2.3 (lid 3 tot en met 5). Dit artikel bepaalt dat de Minister de mandaatregeling (de interne werkverdeling van het GDA-personeel) moet goedkeuren, deze goedkeuring kan onthouden, én de GDA zelfs dwingend kan opdragen de regeling aan te passen. In de MvT erkent VWS dit ronduit, maar beargumenteert dit paradoxaal genoeg als een 'waarborg' om een goede taakuitoefening te garanderen. Dat Nederland tevens de Aanwijzingen inzake de rijksinspecties kent — die inspecties juist meer de facto zelfstandigheid moeten bieden — wordt in de MvT opvallend genoeg geheel verzwegen.

Belangenverstrengeling en strijd met artikel 55 EHDS

De constructie in de Wet GIS is tevens in strijd met de EHDS zelf, nu de GDA ook de taken gaat uitvoeren die voortvloeien uit hoofdstuk IV van de EHDS (secundair gebruik). Artikel 55 lid 3 EHDS eist dwingend dat lidstaten belangenconflicten tussen de organisatorische onderdelen van de HDAB voorkomen. Lid 5 voegt daaraan toe: "Het personeel van de instanties voor toegang tot gezondheidsgegevens handelt in het algemeen belang en op onafhankelijke wijze." In weerwil van hetgeen de Memorie van Toelichting betoogt, maakt dit het juridisch en feitelijk onmogelijk dat de HDAB een onlosmakelijk onderdeel blijft van het Ministerie van VWS. VWS is via instituten zoals het RIVM zélf immers een van de grootste datahouders. Wanneer een onderzoeker tijdens een pandemie bij de HDAB een datavergunning aanvraagt om de berekeningen van het RIVM onafhankelijk na te rekenen, ontstaat er een direct belangenconflict voor de medewerkers van het ministerie. Het is in zo'n scenario voor een zittend minister verleidelijk om een dergelijk pijnlijk onderzoek op politieke gronden te frustreren, terwijl de EHDS dergelijke data-toegang nu juist dwingend garandeert. Nog erger zou het zijn als in de toekomst een Minister voor eigen politiek gewin, druk zou uitoefenen om aan te tonen met gezondheidsdata dat er iets mis is met specifieke bevolkingsgroepen.

Systeemfout in de handhaving: de Minister als toezichthouder (Art. 43 EHDS)

Een vergelijkbare fundamentele weeffout bevindt zich in de handhavingsconstructie voor het markttoezicht. Artikel 7.1.1 van de Wet GIS wijst de IGJ formeel aan voor het markttoezicht op EPD-systemen. Kijken we echter naar de daadwerkelijke bestuursrechtelijke handhavingsbevoegdheden — zoals het opleggen van een last onder dwangsom of een schriftelijke aanwijzing (artikel 7.4.1) — dan liggen deze níet bij de IGJ, maar exclusief bij Onze Minister. Dit hangt vermoedelijk samen met de dogmatische vraag of de IGJ wel een zelfstandig bestuursorgaan is dat in eigen naam handhavingsbesluiten kan nemen, waardoor men de bevoegdheid bij de Minister legt (die dit in de praktijk weer aan de IGJ zal mandateren). Hoe dan ook: deze constructie is in strijd met artikel 43 lid 2 van de EHDS. Dit artikel vereist namelijk: "De lidstaten verlenen aan hún markttoezichtautoriteiten de noodzakelijke bevoegdheden (...) De markttoezichtautoriteiten zijn bevoegd om de in artikel 16 van Verordening (EU) 2019/1020 bedoelde markttoezichtmaatregelen te nemen". De IGJ kán deze bevoegdheden in de huidige opzet simpelweg niet in onafhankelijkheid uitoefenen. De autoriteit die deze bevoegdheden wel degelijk en in volledige onafhankelijkheid bezit, is de Autoriteit Consument en Markt (ACM).

Conclusie: Noodzaak tot verplaatsing naar een onafhankelijk domein

Het voorstel leidt feitelijk tot een situatie waarin het Ministerie van VWS zichzelf als toezichthoudende autoriteit aanwijst. Dit is, gezien de sterke politieke kleuring van de minister, volstrekt onhoudbaar. Deze institutionele spagaat is uiteraard niet nieuw en ligt momenteel tevens ten grondslag aan de lopende discussies rondom de Concept-Kaderwet Rijksinspecties. Het zou de wetgever sieren om in het kader van de inrichting van de GDA de lessen uit dat dossier ter harte te nemen. Er is in Nederland een merkbaar streven om toezichthouders minder vaak als eigen rechtspersoon in te richten, en vaker te kiezen voor een zbo binnen de Staat. Echter, om in die constructie de Europeesrechtelijke onafhankelijkheid te borgen, móét een dergelijk zbo worden ondergebracht bij een ministerie zonder tegenstrijdige (zorginhoudelijke of datahoudende) belangen. Als men de GDA en de toezichthouder per se als een zbo zonder eigen rechtspersoonlijkheid wil inrichten, mag dit orgaan niet ondergeschikt worden gemaakt aan juist díé minister die zelf een zeer grote houder van gezondheidsdata is. De toezichts- en handhavingstaken inzake de EHDS horen op grond van hun aard (Europees mededingings- en datarecht), thuis bij het Ministerie van Economische Zaken en de ACM. Dat deze transitie vraagt om een overplaatsing van gespecialiseerde ambtenaren van VWS naar EZ of de ACM, is daarbij geen beletsel, maar veeleer een noodzakelijke organisatorische consequentie.