Zorgorganisaties in heel Europa hebben een wettelijke verplichting op het gebied van gegevensportabiliteit van patiënten; dit is geen louter technische ambitie. Minder bekend is dat deze verplichting niet overal hetzelfde is. Een particuliere kliniek in Amsterdam, een openbaar ziekenhuis in Madrid en een aanbieder met een gemengd model in Berlijn kunnen allemaal hetzelfde type patiëntendossier verwerken, maar toch aanzienlijk verschillende wettelijke vereisten hebben wanneer een patiënt vraagt om zijn gegevens elders mee te nemen. De oorzaak ligt in een structureel kenmerk van EU-wetgeving: regels voor gegevensbescherming worden op supranationaal niveau vastgesteld, maar de zorgverlening blijft een nationale bevoegdheid. De rechtmatige grondslag waarop een aanbieder patiëntgegevens verwerkt, bepaalt welke portabiliteitsrechten daadwerkelijk van toepassing zijn. Voor besluitvormers in de gezondheidszorg die verantwoordelijk zijn voor compliance, IT-infrastructuur of klinische operaties, is het begrijpen van dit onderscheid essentieel voorbereidend werk voordat de implementatietijdlijnen van de European Health Data Space gaan knellen. Inzicht in verplichtingen op het gebied van gegevensbeveiliging en privacy is een voorwaarde voor deze analyse.

Het juridische kader: wat EU-wetgeving daadwerkelijk vereist

Drie verschillende regelgevende lagen bepalen de gegevensportabiliteit van patiënten in Europa. Ze werken op verschillende manieren samen, afhankelijk van het type aanbieder.

De eerste is de Algemene Verordening Gegevensbescherming (AVG), die het basisrecht op gegevensportabiliteit vastlegt onder artikel 20, maar een belangrijke beperking bevat die de toepassing ervan in de openbare gezondheidszorg aanzienlijk inperkt. De tweede is de Verordening Europese Gezondheidsgegevensruimte (EHDS), Verordening (EU) 2025/327, die op 26 maart 2025 in werking is getreden en de meest ingrijpende structurele verandering in het beheer van gezondheidsgegevens in de EU-geschiedenis vormt. De derde laag is nationale implementatiewetgeving, die regelt hoe openbare gezondheidszorgstelsels toegang tot en overdracht van dossiers beheren, vaak via sectorspecifieke gezondheidswetgeving in plaats van wetgeving inzake gegevensbescherming.

Deze lagen werken niet los van elkaar. De AVG blijft het primaire kader voor gegevensbescherming. EHDS introduceert sectorspecifieke verplichtingen die daarnaast bestaan. Zoals Taylor Wessings analyse van de EHDS-AVG-relatie opmerkt, vervangt EHDS de AVG niet maar bouwt een sectoraal kader erbovenop, met gefaseerde implementatie vanaf maart 2027 voor algemene bepalingen en maart 2029 voor regels voor primair en secundair gebruik. Besluitvormers moeten alle drie de lagen begrijpen om hun verplichtingen nauwkeurig te kunnen beoordelen. Alleen op de AVG vertrouwen geeft een onvolledig beeld.

AVG artikel 20: waar het onderscheid openbaar/particulier voor het eerst zichtbaar wordt

AVG artikel 20 geeft individuen het recht om hun persoonsgegevens te ontvangen in een gestructureerd, algemeen gebruikt, machinaal leesbaar formaat en om deze over te dragen aan een andere verwerkingsverantwoordelijke. Dit recht is niet universeel. Het geldt alleen wanneer de verwerking is gebaseerd op toestemming (artikel 6(1)(a) of artikel 9(2)(a)) of op een overeenkomst (artikel 6(1)(b)). Wanneer de verwerking is gebaseerd op een wettelijke verplichting of de uitvoering van een publieke taak, respectievelijk artikelen 6(1)(c) en 6(1)(e), is artikel 20 niet van toepassing.

Hier wordt het onderscheid tussen openbaar en particulier voor het eerst operationeel relevant. De meeste openbare zorgaanbieders verwerken patiëntgegevens op basis van een wettelijk mandaat. Een nationale gezondheidsdienst die een patiënt behandelt, doet dit niet op basis van een overeenkomst met die patiënt, noch doorgaans op basis van toestemming. Het vervult een wettelijk vastgelegde publieke functie. Dit betekent dat het AVG-portabiliteitsrecht niet direct van toepassing is op het merendeel van de gegevensverwerking in openbare gezondheidszorgstelsels in de EU.

De praktische consequentie: patiënten die hun dossiers willen overdragen van een openbaar ziekenhuis naar een particuliere specialist, of van het ene nationale gezondheidszorgstelsel naar het andere, kunnen niet terugvallen op AVG artikel 20 om die overdracht af te dwingen. Zij zijn in plaats daarvan aangewezen op nationale gezondheidswetgeving, die aanzienlijk verschilt tussen lidstaten.

Hoe openbare zorgaanbieders worden behandeld onder EU- en nationale wetgeving

Openbare zorgaanbieders in de hele EU implementeren rechten op toegang tot en overdracht van patiëntendossiers via sectorspecifieke wetgeving, niet via de portabiliteitsbepalingen van de AVG. De verplichtingen bestaan wel, maar zijn verankerd in gezondheidswetgeving die per jurisdictie sterk kan verschillen.

In belangrijke Europese markten is het beeld gefragmenteerd:

• Noordse modellen (Denemarken, Finland, Zweden) beschikken over relatief volwassen nationale infrastructuur voor patiëntendossiersystemen en patiëntenportalen, met wettelijke rechten op inzage in dossiers verankerd in gezondheidswetgeving. Het Finse Kanta-systeem biedt patiënten bijvoorbeeld een gecentraliseerd digitaal toegangspunt tot dossiers die bij openbare aanbieders worden bewaard.

• Duitsland heeft een wettelijk recht voor patiënten ingevoerd om kopieën van hun dossiers te ontvangen onder het Patientenrechtegesetz (Wet op de patiëntenrechten), waarbij aanbieders verplicht zijn zonder onnodige vertraging te reageren. Het land heeft ook de Telematikinfrastruktur (TI) ontwikkeld als nationale interoperabiliteitsruggengraat.

• Frankrijk heeft het platform Mon Espace Santé geïmplementeerd als een patiëntgerichte gezondheidsgegevensruimte, die toegang biedt tot dossiers van openbare aanbieders onder het kader van nationale wetgeving voor digitale gezondheidszorg.

• Zuid-Europese openbare stelsels (Spanje, Italië, Portugal) kennen wettelijke toegangsrechten, maar er is meer variatie op regionaal niveau, waarbij de kwaliteit van de implementatie sterk samenhangt met de capaciteit van regionale gezondheidsautoriteiten.

Het belangrijkste punt voor besluitvormers: deze verplichtingen zijn reëel en afdwingbaar, maar worden beheerd via kaders van ministeries van volksgezondheid, niet via autoriteiten voor gegevensbescherming. Dit betekent dat het toezichthoudende orgaan, het handhavingsmechanisme en de toepasselijke tijdlijn allemaal kunnen verschillen van die welke gelden voor particuliere aanbieders onder de AVG.

Hoe particuliere zorgaanbieders worden behandeld onder de AVG

Particuliere zorgaanbieders die patiëntgegevens verwerken op basis van toestemming of overeenkomst vallen direct onder AVG artikel 20. Dit geldt voor het merendeel van de particuliere klinieken, specialistische praktijken en onafhankelijke diagnostische diensten die in de EU opereren waar geen wettelijk mandaat de verwerkingsrelatie regelt.

Onder artikel 20 kunnen patiënten het volgende verzoeken:

• Hun persoonsgegevens in een gestructureerd, algemeen gebruikt, machinaal leesbaar formaat

• Directe overdracht van die gegevens aan een andere verwerkingsverantwoordelijke, waar technisch haalbaar

• Een reactie binnen één maand na het verzoek, verlengbaar met nog eens twee maanden wanneer verzoeken complex of talrijk zijn (met kennisgeving aan de patiënt binnen de eerste maand)

Wat als "persoonsgegevens" telt voor portabiliteitsdoeleinden in een klinische context is breder dan veel particuliere aanbieders denken. Het omvat gegevens die actief door de patiënt zijn verstrekt (registratie-informatie, medische voorgeschiedenis bij intake) en gegevens die zijn gegenereerd via de dienstverleningsrelatie (afspraakgegevens, consultverslagen, testresultaten). Het omvat geen gegevens die door de aanbieder zijn afgeleid of geïnterpreteerd, een onderscheid dat relevant wordt bij het overwegen van AI-gegenereerde klinische codes of risicoscores.

"Machinaal leesbaar" onder de AVG betekent een formaat dat een computer automatisch kan verwerken, zoals JSON, XML of CSV, en dus niet een gescande PDF of een afgedrukt document. In de praktijk kunnen veel particuliere patiëntendossiersystemen gegevens in deze formaten exporteren, maar het produceren van een klinisch zinvolle, gestructureerde export die codering, terminologie en dossierrelaties behoudt, is een aparte technische uitdaging.

De European Health Data Space: het dichten van de kloof tussen sectoren

De EHDS-verordening is de belangrijkste ontwikkeling op dit gebied voor besluitvormers in de gezondheidszorg. De centrale ambitie is om een consistent kader te creëren voor toegang tot en portabiliteit van gezondheidsgegevens dat geldt voor zowel openbare als particuliere aanbieders, en zo de kloof te dichten die is ontstaan door de afhankelijkheid van de AVG van de rechtmatige grondslag.

De EHDS introduceert verschillende mechanismen die direct relevant zijn voor portabiliteit:

• Een versterkt portabiliteitsrecht voor primair gebruik onder artikel 3(8), dat verder gaat dan AVG artikel 20 door de beperking op de rechtmatige grondslag te verwijderen en gegevens te dekken die zijn verwerkt op elke rechtmatige grondslag onder artikel 9 AVG, niet alleen toestemming of overeenkomst. Dit recht geldt echter alleen voor gegevenshouders uit de gezondheids- en sociale zekerheidssector. Dit betekent dat patiënten portabiliteit van hun gezondheidsgegevens kunnen aanvragen bij openbare aanbieders in deze sector die eerder buiten het bereik van AVG artikel 20 vielen.

• De MyHealth@EU-infrastructuur, die grensoverschrijdende toegang tot patiëntgezondheidsgegevens mogelijk maakt in deelnemende lidstaten, met nationale contactpunten die de interoperabiliteit coördineren.

• Gestandaardiseerde gegevensformaten, waarbij HL7 FHIR naar voren komt als de interoperabiliteitsbasis voor patiëntendossiersystemen onder de EHDS-vereisten.

• Health Data Access Bodies (HDAB's), die het secundaire gebruik van gezondheidsgegevens door onderzoekers, industrie en overheidsinstanties zullen reguleren, onderworpen aan een vergunningensysteem in plaats van individuele toestemming.

Zoals Skaddens juridische briefing over de EHDS bevestigt, zijn alle in de EU gevestigde zorgaanbieders, inclusief ziekenhuizen, klinieken en particuliere praktijken, onderworpen aan dezelfde EHDS-complianceverplichtingen voor het delen van gegevens, interoperabiliteit en patiënttoegang. Niet-naleving brengt boetes met zich mee die vergelijkbaar zijn met die onder de AVG.

De academische literatuur wijst op belangrijke onduidelijkheden in de EHDS-tekst. Een peer-reviewed analyse in Computer Law & Security Review wijst op een spanning tussen overweging 12, die oproept tot portabiliteit die geldt voor elke particuliere of openbare verwerkingsverantwoordelijke, en artikel 3(8) zelf, dat verplichtingen beperkt tot gegevenshouders "uit de gezondheids- en sociale zekerheidssector." De precieze reikwijdte van wie kwalificeert als gezondheidsgegevenshouder in grensgevallen (wellness-apps, bedrijfsgezondheidszorgaanbieders, telegeneeskundeplatforms) blijft onderwerp van interpretatie.

Tijdlijnen voor dossieroverdracht: een vergelijking per type aanbieder en markt

Reactietermijnen voor portabiliteits- en dossieroverdrachtverzoeken verschillen aanzienlijk, afhankelijk van het type aanbieder, het toepasselijke recht en de jurisdictie.

Van de EHDS wordt verwacht dat deze meer geharmoniseerde deadlines tussen lidstaten zal introduceren, maar de specifieke termijnen voor patiëntgerichte portabiliteitsverzoeken onder het EHDS-kader voor primair gebruik zullen worden vastgesteld via uitvoeringshandelingen en omzetting door lidstaten. Besluitvormers moeten de nationale EHDS-omzettingsprocessen nauwlettend volgen, aangezien deze de operationele parameters voor complianceprogramma's zullen bepalen.

Formaateisen: gestructureerde gegevens, interoperabiliteit en wat systemen moeten ondersteunen

De AVG vereist dat overdraagbare gegevens worden verstrekt in een machinaal leesbaar formaat, maar schrijft geen specifieke technische standaard voor. Dit heeft geleid tot aanzienlijke variatie in de praktijk, waarbij sommige aanbieders JSON- of XML-exports leveren en anderen CSV-bestanden aanbieden die gestructureerde notities of terminologiecontext missen.

De EHDS pakt dit direct aan. Zoals bevestigd door A&O Shearmans analyse van EHDS-vereisten voor patiëntendossiersystemen, vereist de verordening dat gezondheidsgegevenshouders gestructureerde, interoperabele gegevens bijhouden in formaten die compatibel zijn met het technische EHDS-kader, waarbij HL7 FHIR naar voren komt als de standaard voor klinische gegevensuitwisseling.

Voor patiëntendossiersystemen die in zowel openbare als particuliere omgevingen worden gebruikt, creëert dit verschillende praktische vereisten:

• Het vermogen om gestructureerde klinische gegevens te exporteren in HL7 FHIR-compatibele formaten, waarbij SNOMED CT-codes, ICD-classificaties en medicatieterminologie behouden blijven

• Patiëntgerichte toegangsportalen waarmee individuen hun dossiers kunnen bekijken, downloaden en overdragen zonder administratieve tussenkomst

• Auditlogboeken van alle gegevenstoegangs- en exportgebeurtenissen, om naleving van zowel AVG-verantwoordingsverplichtingen als EHDS-toegangscontroles aan te tonen

• Interoperabiliteit met nationale infrastructuur voor patiëntendossiersystemen (zoals de Duitse TI, het Franse Mon Espace Santé of het Finse Kanta) waar van toepassing

Legacy-systemen in openbare instellingen vormen een bijzondere uitdaging. Veel nationale gezondheidszorgstelsels werken met patiëntendossiersystemen die niet zijn ontworpen met gestructureerde gegevensexport in gedachten. De kosten en complexiteit van het upgraden of vervangen van deze systemen zijn aanzienlijk. Onderzoek naar EHDS-compatibele veilige infrastructuur benadrukt dat het voldoen aan de vereisten van artikel 50 voor veilige verwerkingsomgevingen en interoperabiliteitsnormen aanzienlijke technische investeringen vereist, met name in instellingen die historisch geïsoleerde, niet-interoperabele systemen gebruiken.

Toestemmingsvoorwaarden en rechtmatige grondslag: waarom ze alles bepalen

De rechtmatige grondslag waarop een aanbieder vertrouwt voor het verwerken van patiëntgegevens is de meest bepalende factor bij het vaststellen welke portabiliteitsverplichtingen van toepassing zijn. Dit is geen technisch detail, maar de basis van de hele complianceanalyse.

Voor openbare zorgaanbieders zijn de relevante grondslagen doorgaans artikel 6(1)(c) (wettelijke verplichting) en artikel 6(1)(e) (publieke taak), gecombineerd met artikel 9(2)(h) (gezondheids- of sociale zorgdoeleinden) voor bijzondere categorieën gegevens. Deze grondslagen sluiten de aanbieder uit van AVG artikel 20, maar nemen niet alle portabiliteitsverplichtingen weg. Nationale gezondheidswetgeving regelt nog steeds toegang tot en overdracht van dossiers.

Voor particuliere zorgaanbieders is de situatie complexer. Velen verwerken gegevens op basis van een combinatie van grondslagen: toestemming voor optioneel gegevensgebruik (zoals marketing of onderzoeksdeelname), overeenkomst voor de kernbehandelingsrelatie, en in sommige gevallen wettelijke verplichting voor verplichte rapportage. Het portabiliteitsrecht onder AVG artikel 20 geldt alleen voor gegevens die zijn verwerkt op basis van toestemming of overeenkomst. Dit betekent dat een particuliere aanbieder op dossierniveau moet kunnen identificeren welke gegevens op welke grondslag zijn verwerkt.

Aanbieders met een gemengd model, zoals particuliere klinieken die contracten hebben om diensten te leveren binnen een openbaar gezondheidszorgstelsel, of openbare ziekenhuizen met particuliere patiëntenvleugels, hebben te maken met de meest complexe analyse. Arnold & Porters advies over de EHDS merkt op dat de EHDS-definitie van "gezondheidsgegevenshouder" van toepassing is op elke rechtspersoon met het recht of de verplichting om persoonlijke gezondheidsgegevens te verwerken, ongeacht of deze nominaal openbaar of particulier is. Natuurlijke personen en micro-ondernemingen (minder dan 10 werknemers en een jaaromzet of balanstotaal van niet meer dan € 2 miljoen) zijn standaard uitgesloten van verplichtingen voor gezondheidsgegevenshouders, hoewel lidstaten verplichtingen aan hen kunnen uitbreiden.

Een PubMed-geïndexeerde analyse van het EHDS-kader voor secundair gebruik merkt op dat het ontwerp van de verordening een bewuste beleidskeuze weerspiegelt om af te stappen van toestemming als het primaire mechanisme voor het beheer van gezondheidsgegevens, en het te vervangen door een vergunningensysteem dat wordt beheerd door Health Data Access Bodies voor secundair gebruik. Voor primair gebruik omzeilt het versterkte portabiliteitsrecht onder artikel 3(8) de afhankelijkheid van de rechtmatige grondslag, maar pas zodra de relevante EHDS-bepalingen in maart 2029 in werking treden.

Grensoverschrijdende portabiliteit: wat gebeurt er wanneer patiënten tussen lidstaten verhuizen

Grensoverschrijdende dossierportabiliteit is het gebied waar fragmentatie het meest acuut is en waar de EHDS naar verwachting de grootste praktische impact zal hebben. Momenteel heeft een patiënt die van Frankrijk naar Nederland verhuist, of een grensarbeider die zorg ontvangt in een andere lidstaat, geen betrouwbaar mechanisme om ervoor te zorgen dat hun gezondheidsdossiers meeverhuizen. Nationale patiëntendossiersystemen gebruiken verschillende gegevensmodellen, coderingssystemen en toegangsprotocollen.

De EHDS pakt dit aan via de MyHealth@EU-infrastructuur, die lidstaten verplicht om deel te nemen aan grensoverschrijdende uitwisseling van gezondheidsgegevens via nationale contactpunten. De infrastructuur bouwt voort op het bestaande epSOS/eHealth Digital Service Infrastructure (eHDSI)-kader, maar breidt de reikwijdte en het juridische mandaat aanzienlijk uit.

Onderzoek naar de implementatie van EHDS Health Data Access Body identificeert verschillende aanhoudende uitdagingen voor grensoverschrijdend secundair gebruik van gezondheidsgegevens: inconsistente digitale volwassenheid van gezondheidszorgstelsels in lidstaten, variërende normen voor gegevenskwaliteit en het ontbreken van geharmoniseerde governancekaders voor Health Data Access Bodies. Deze uitdagingen gelden evenzeer of zelfs sterker voor grensoverschrijdende portabiliteit voor primair gebruik, waar de technische en juridische infrastructuur voor naadloze dossieroverdracht in de meeste lidstaten nog onderontwikkeld is.

Voor aanbieders die actief zijn in grensregio's, zoals de Duits-Franse grens, de Benelux-corridor of de Noordse grensoverschrijdende arbeidsmarkt, of die internationaal mobiele patiëntengroepen bedienen, bestaat de huidige praktische aanpak uit door patiënten zelf bijgehouden dossiers (papier of digitaal) als tijdelijke oplossing totdat de EHDS-infrastructuur operationeel is.

Praktische implicaties voor IT-infrastructuur in gemengde openbaar-particuliere omgevingen

Voor besluitvormers die IT beheren in zowel openbare als particuliere zorginstellingen, vertaalt de juridische analyse hierboven zich in een reeks concrete operationele vereisten.

Het ondersteunen van meerdere rechtmatige grondslagen binnen één platform is de meest directe uitdaging. Een patiëntendossiersysteem dat wordt gebruikt in een omgeving met een gemengd model moet in staat zijn om verschillende verwerkingsgrondslagen voor verschillende gegevenscategorieën en patiëntengroepen te registreren en daarop te kunnen handelen. Het moet portabiliteitsexports genereren die correct weergeven welke gegevens in aanmerking komen onder AVG artikel 20 en welke onder EHDS artikel 3(8) zodra dit van kracht is.

Audit- en logboekverplichtingen gelden voor beide kaders. AVG-verantwoordingsvereisten (artikel 5(2)) vereisen dat verwerkingsverantwoordelijken naleving aantonen, wat in de praktijk betekent dat alle gegevenstoegang, export- en overdrachtsgebeurtenissen worden gelogd. EHDS voegt verdere logboekverplichtingen toe voor interacties met health data access bodies en grensoverschrijdende uitwisselingen.

Beslissingen over interoperabiliteitsarchitectuur die nu worden genomen, bepalen de compliancegereedheid in 2027 tot 2029. De EU Data Act (Verordening (EU) 2023/2854), die op 12 september 2025 van toepassing werd, voegt verdere verplichtingen voor het delen van gegevens toe voor verbonden medische hulpmiddelen en digitale gezondheidstools, waardoor een extra compliancelaag ontstaat voor particuliere aanbieders die IoT-ondersteunde klinische apparatuur of draagbare gezondheidsmonitoringapparaten gebruiken. Voor een breder overzicht van het regelgevingslandschap, zie onze gids over EU-regelgeving voor AI in de gezondheidszorg.

Patiëntgerichte toegangsportalen worden steeds meer een compliancevereiste. Zowel de AVG (via het recht op inzage onder artikel 15) als de EHDS (via het toegangsrecht voor primair gebruik) vereisen dat patiënten tijdig en toegankelijk toegang hebben tot hun gegevens. Aanbieders die nog werken met handmatige aanvraagprocessen, zoals papieren formulieren, administratieve teams of postbezorging, lopen zowel compliancerisico als operationele inefficiëntie naarmate het aantal verzoeken toeneemt.

Belangrijkste compliancehiaten om te beoordelen vóór EHDS-implementatie

De meest voorkomende gebieden waar openbare en particuliere aanbieders momenteel tekortschieten ten opzichte van de opkomende compliancestandaard zijn te herkennen uit de juridische en technische analyse hierboven. Voor IT- en complianceteams die roadmaps opstellen voorafgaand aan de gefaseerde EHDS-deadlines, zijn de volgende hiaten het meest urgent:

• Niet-machinaal leesbare dossierformaten: Veel aanbieders, met name in openbare systemen, genereren nog steeds klinische documentatie in formaten zoals gescande PDF's of propriëtaire legacy-formaten die niet automatisch kunnen worden verwerkt. Voldoen aan de EHDS-formaateisen zal systeemvervanging of middleware-oplossingen vereisen die legacy-outputs kunnen omzetten naar HL7 FHIR-compatibele exports.

• Afwezigheid van patiëntgerichte gegevenstoegangsportalen: Aanbieders die nog geen zelfbedieningspatiëntenportalen hebben geïmplementeerd, zullen deze capaciteit moeten ontwikkelen of aanschaffen. Het EHDS-kader voor primair gebruik gaat uit van digitale toegang als standaard.

• Onduidelijke toestemmingsdocumentatie in particuliere settings: Particuliere aanbieders die vertrouwen op toestemming als rechtmatige grondslag voor sommige verwerkingen, moeten kunnen aantonen dat toestemming vrijelijk, specifiek, geïnformeerd en ondubbelzinnig is gegeven. Ze moeten toestemmingsregistraties kunnen koppelen aan specifieke gegevenscategorieën voor portabiliteitsdoeleinden.

• Legacy patiëntendossiersystemen die geen gestructureerde gegevens kunnen exporteren: Dit is de meest significante infrastructuurkloof in openbare gezondheidszorgstelsels. IMPaCT-Data-onderzoek naar EHDS-compatibele infrastructuur toont aan dat het voldoen aan de EHDS artikel 50-vereisten voor beveiliging en interoperabiliteit aanzienlijke technische investeringen vereist. Veel bestaande implementaties van patiëntendossiersystemen in de publieke sector beschikken niet over de architectuur om dit te ondersteunen zonder aanzienlijke aanpassingen.

• Onduidelijke classificatie van verwerking met gemengd model: Aanbieders die actief zijn in zowel openbare als particuliere modaliteiten zonder een duidelijke mapping van welke activiteiten op welke rechtmatige grondslag steunen, lopen zowel AVG- als EHDS-compliancerisico. Een gedocumenteerde mapping van verwerkingsactiviteiten, bijgewerkt om EHDS-verplichtingen voor gezondheidsgegevenshouders te weerspiegelen, is een fundamentele vereiste.

Een wezenlijke beperking in de huidige stand van het bewijs is het vermelden waard. Academische analyse van de EHDS-portabiliteitsbepalingen identificeert onopgeloste onduidelijkheden in de tekst van de verordening die alleen zullen worden opgehelderd door uitvoeringshandelingen, omzetting door lidstaten en uiteindelijk richtlijnen van toezichthoudende autoriteiten of jurisprudentie. Besluitvormers moeten huidige compliancebeoordelingen zien als werkhypothesen die onderhevig zijn aan herziening naarmate het regelgevingskader zich verder ontwikkelt, in plaats van als vaststaande conclusies.

De evolutie van het concept gezondheidsgegevens in de AVG, de Data Governance Act en de EHDS weerspiegelt een bewuste beleidsrichting naar grotere gegevenstoegang en cross-sectorale portabiliteit. Het tempo van implementatie, en de mate van harmonisatie die in de praktijk wordt bereikt, zal sterk afhangen van nationale omzettingskeuzes die nog steeds worden gemaakt in EU-lidstaten.

Veelgestelde vragen

▶ Geeft de AVG patiënten het recht om hun gezondheidsgegevens van elke aanbieder over te dragen?

Nee. Het recht op gegevensportabiliteit van de Algemene Verordening Gegevensbescherming onder artikel 20 is alleen van toepassing wanneer de verwerking is gebaseerd op toestemming of overeenkomst. De meeste openbare zorgaanbieders verwerken patiëntgegevens op basis van een wettelijk mandaat, wat betekent dat artikel 20 niet op hen van toepassing is. Patiënten die dossiers willen overdragen van een openbaar ziekenhuis moeten in plaats daarvan vertrouwen op nationale gezondheidswetgeving, die aanzienlijk verschilt tussen EU-lidstaten.

▶ Wat is de European Health Data Space en wanneer is deze van toepassing?

De European Health Data Space (EHDS) is een EU-verordening (Verordening (EU) 2025/327) die op 26 maart 2025 in werking is getreden. Het introduceert een sectorspecifiek kader voor toegang tot en portabiliteit van gezondheidsgegevens dat naast de Algemene Verordening Gegevensbescherming bestaat, in plaats van deze te vervangen. Algemene bepalingen zijn van toepassing vanaf maart 2027, met regels voor primair en secundair gebruik die volgen in maart 2029. De verordening geldt voor alle in de EU gevestigde zorgaanbieders, inclusief zowel openbare ziekenhuizen als particuliere klinieken.

▶ Hoe verandert de EHDS portabiliteitsrechten in vergelijking met de AVG?

De EHDS introduceert een versterkt portabiliteitsrecht onder artikel 3(8) dat de beperking op de rechtmatige grondslag uit AVG artikel 20 opheft. Dit betekent dat patiënten portabiliteit van hun gezondheidsgegevens kunnen aanvragen bij openbare aanbieders die eerder buiten het bereik van de AVG vielen. Dit recht geldt echter alleen voor gegevenshouders uit de gezondheids- en sociale zekerheidssector, en treedt pas in werking in maart 2029.

▶ Welk formaat moeten aanbieders gebruiken bij het reageren op een portabiliteitsverzoek?

Onder de AVG moeten overdraagbare gegevens worden verstrekt in een gestructureerd, algemeen gebruikt, machinaal leesbaar formaat zoals JSON, XML of CSV. Een gescande PDF of afgedrukt document voldoet niet aan deze eis. De EHDS gaat verder door te vereisen dat gezondheidsgegevenshouders gestructureerde, interoperabele gegevens bijhouden die compatibel zijn met het technische EHDS-kader, waarbij HL7 FHIR naar voren komt als de standaard voor klinische gegevensuitwisseling.

▶ Hoeveel tijd heeft een particuliere aanbieder om te reageren op een verzoek om gegevensportabiliteit?

Onder AVG artikel 20 moet een particuliere aanbieder die gegevens verwerkt op basis van toestemming of overeenkomst binnen één maand na ontvangst van het verzoek reageren. Wanneer verzoeken complex of talrijk zijn, kan deze termijn met nog eens twee maanden worden verlengd, mits de aanbieder de patiënt binnen de eerste maand op de hoogte stelt. Openbare aanbieders vallen onder nationale gezondheidswetgeving, en termijnen verschillen per lidstaat.

▶ Welke portabiliteitsverplichtingen gelden voor aanbieders met een gemengd model?

Aanbieders met een gemengd model, zoals particuliere klinieken die contracten hebben om diensten te leveren binnen een openbaar gezondheidszorgstelsel, hebben te maken met de meest complexe complianceanalyse. De EHDS definieert een "gezondheidsgegevenshouder" als elke rechtspersoon met het recht of de verplichting om persoonlijke gezondheidsgegevens te verwerken, ongeacht of deze nominaal openbaar of particulier is. Dit betekent dat aanbieders met een gemengd model een duidelijke mapping nodig hebben van welke activiteiten op welke rechtmatige grondslag steunen om hun verplichtingen nauwkeurig te beoordelen onder zowel de AVG als de EHDS.

▶ Hoe werkt grensoverschrijdende portabiliteit voor patiënten die tussen EU-lidstaten verhuizen?

Momenteel is er geen betrouwbaar mechanisme voor patiënten die tussen lidstaten verhuizen om ervoor te zorgen dat hun gezondheidsdossiers meeverhuizen. Nationale patiëntendossiersystemen gebruiken verschillende gegevensmodellen, coderingssystemen en toegangsprotocollen. De EHDS pakt dit aan via de MyHealth@EU-infrastructuur, die lidstaten verplicht om deel te nemen aan grensoverschrijdende uitwisseling van gezondheidsgegevens via nationale contactpunten. Totdat die infrastructuur operationeel is, blijven door patiënten zelf bijgehouden dossiers de praktische overbruggingsoplossing voor internationaal mobiele patiënten.

▶ Wat zijn de meest voorkomende compliancehiaten die aanbieders moeten aanpakken vóór EHDS-deadlines?

De hiaten met de hoogste prioriteit die in het artikel worden genoemd zijn: klinische documentatie opgeslagen in niet-machinaal leesbare formaten zoals gescande PDF's, het ontbreken van patiëntgerichte zelfbedieningsportalen voor gegevenstoegang, onduidelijke toestemmingsdocumentatie in particuliere settings, legacy patiëntendossiersystemen die geen gestructureerde gegevens kunnen exporteren in HL7 FHIR-compatibele formaten, en het ontbreken van een gedocumenteerde mapping van verwerkingsactiviteiten die publieke taakverwerking onderscheidt van verwerking op basis van toestemming of overeenkomst.

▶ Is de EHDS van toepassing op kleine particuliere praktijken en micro-ondernemingen?

Natuurlijke personen en micro-ondernemingen, gedefinieerd als organisaties met minder dan 10 werknemers en een jaaromzet of balanstotaal van niet meer dan € 2 miljoen, zijn standaard uitgesloten van verplichtingen voor gezondheidsgegevenshouders onder de EHDS. Lidstaten kunnen deze verplichtingen echter via nationale omzettingswetgeving aan hen uitbreiden, dus aanbieders in deze categorie moeten de implementatie in hun eigen jurisdictie nauwlettend volgen.

▶ Wat betekent de EHDS voor patiëntendossiersystemen in openbare instellingen?

Openbare instellingen staan voor een aanzienlijke infrastructuuruitdaging. Veel nationale gezondheidszorgstelsels werken met patiëntendossiersystemen die niet zijn ontworpen met gestructureerde gegevensexport in gedachten. Het voldoen aan de EHDS artikel 50-vereisten voor veilige verwerkingsomgevingen en interoperabiliteitsnormen vereist aanzienlijke technische investeringen. Onderzoek dat in het artikel wordt aangehaald bevestigt dat veel bestaande implementaties in de publieke sector niet over de architectuur beschikken om EHDS-compliance te ondersteunen zonder ingrijpende aanpassingen.