EHDS: primair gebruik (hoofdstuk II)

Deze pagina behandelt hoofdstuk II van de EHDS (European Health Data Space) (Verordening (EU) 2025/327): de rechten van burgers, de toegang door gezondheidswerkers, de plichten van zorgaanbieders en de governance. Primair gebruik is de verwerking van elektronische gezondheidsgegevens voor zorgverlening, inclusief voorschrijven, afleveren en verstrekken van geneesmiddelen en medische hulpmiddelen^[1]. Een 'dienst voor toegang tot elektronische gezondheidsgegevens' is een onlinedienst, zoals een portaal of mobiele app, waarmee burgers hun eigen gegevens of die van personen voor wie ze gemachtigd zijn, inzien^[1]. Een 'toegangsdienst voor gezondheidswerkers' is een door een EPD-systeem ondersteunde dienst waarmee gezondheidswerkers gegevens van hun patiënten raadplegen^[1]. Volgens de Nederlandse minister verschuift de EHDS het systeem van toestemming vooraf naar beschikbaarheid van gegevens, tenzij de burger een beperking oplegt (interpretatie)^[4].

Verwante pagina's: het uitwisselingsformaat op EEHRxF (European EHR Exchange Format), de grensoverschrijdende infrastructuur op MyHealth@EU, de EPD-eisen op EHDS-eisen voor EPD-systemen (hoofdstuk III), de uitvoeringshandelingen op EHDS-uitvoeringshandelingen (stand van zaken), secundair gebruik op EHDS: secundair gebruik (hoofdstuk IV) en de Belgische uitvoering op EHDS in België (uitvoering).

Labels: recht (rechtstreeks uit de verordening), optioneel (keuze van de lidstaat), lidstaat (de lidstaat moet regels vastleggen), FAQ (uitleg van de Commissie, geen wettekst).

Aanvullend: - Burgers identificeren zich bij toegangsdiensten met elk onder eIDAS erkend identificatiemiddel^[1]. - Niemand mag de patiënt kosten aanrekenen voor delen of inzage, en ontvangers vergoeden zorgaanbieders niet voor het beschikbaar stellen van gegevens^[1]. - Volgens de Commissie blijven afgeschermde gegevens zichtbaar voor de patiënt zelf^[3], en verandert een opt-out niets aan de registratie door de behandelende zorgverlener: die kan de gegevens alleen niet via de EHDS-diensten delen^[3]. De opt-out voor primair gebruik staat los van die voor secundair gebruik ^[3]. - Volgens de Commissie gelden de rechten ook voor historische gegevens in digitale vorm^[3], maar enkel voor elektronisch verwerkte gegevens: papieren documenten hoeven niet gedigitaliseerd te worden^[3]. - Toegangsdiensten kunnen ook door zorgaanbieders worden aangeboden, bijvoorbeeld als patiëntenportaal of app ^[1]; volgens de Commissie beslist elke lidstaat zelf wie ze aanbiedt^[3]. Zie Patiënttoegang en patiëntportalen.

Gezondheidswerkers die elektronisch werken, krijgen via de toegangsdiensten voor gezondheidswerkers toegang tot de relevante en noodzakelijke gegevens van hun patiënten, ongeacht de lidstaat van aansluiting of behandeling ^[1]. De lidstaten bepalen welke gegevenscategorieën toegankelijk zijn voor welke categorieën gezondheidswerkers of zorgtaken, in België het domein van de Toegangsmatrix (reglement eHealth-platform en Informatieveiligheidscomité)^[2]. Bij behandeling in een andere lidstaat gelden de regels van de lidstaat van behandeling^[1]; volgens de Commissie heeft de gezondheidswerker dan dezelfde rechten als voor een binnenlandse patiënt^[3]. De lidstaten waarborgen kosteloze toegang tot de prioritaire categorieën, ook bij grensoverschrijdende zorg^[2]. Toegang is enkel mogelijk met een onder eIDAS erkend identificatiemiddel of een middel volgens de common specifications van art. 36 ^[1]; volgens de Commissie is bovendien een stap nodig om de beroepskwalificatie te verifiëren ^[3]. Zorgaanbieders passen bij raadpleging dataminimalisatie toe^[1]. Nationaal recht over wie welke gegevens mag verwerken, blijft gelden^[1].

Art. 105 maakt de artikelen 3 tot 15, art. 23(2)-(6) en de EPD-bepalingen gefaseerd van toepassing per categorie van art. 14(1)^[1][7].

Volgens de Commissie kunnen patiënten hun rechten uitoefenen vanaf 26 maart 2029 voor de eerste groep en vanaf 26 maart 2031 voor de overige categorieën^[3], en moeten de lidstaten tegen 2029 de nationale diensten voor de eerste groep operationeel hebben^[3]. Een lidstaat mag bijkomende categorieën toevoegen (optioneel) ^[1]. De Commissie mag bijlage I via gedelegeerde handelingen wijzigen, met toepassing pas één jaar later ^[1]. Eigen lezing: omdat art. 105 alleen art. 3-15, 23(2)-(6), 25-27 en 47-49 faseert, gelden de overige bepalingen van hoofdstuk II (o.a. identificatie, vergoeding, digitale-gezondheidsautoriteit, klachtrecht) vanaf 26 maart 2027 (interpretatie)^[1].

• Registratie: gegevens die onder de prioritaire categorieën vallen, elektronisch registreren in een EPD-systeem ^[1]; de plicht is geformuleerd als plicht van de lidstaat en geldt waar gegevens elektronisch worden verwerkt^[1].
• Bijwerken: gegevens bijwerken met informatie over de verleende zorg^[1], met vastlegging van zorgverlener, instelling en tijdstip^[1]; voor een patiënt uit een andere lidstaat onder de identificatiegegevens van de lidstaat van aansluiting^[1]. De datakwaliteitseisen volgen uit een uitvoeringshandeling met deadline 26 maart 2027^[1].
• EEHRxF: de prioritaire categorieën worden in het EEHRxF uitgegeven; bij automatische ontvangst moet de ontvanger het formaat aanvaarden en kunnen lezen^[1]. Volgens de Commissie blijven zorgaanbieders vrij in hun interne formaten^[3], via een EPD-upgrade of een vertaalsysteem^[3]; zie EEHRxF (European EHR Exchange Format) en EHDS-eisen voor EPD-systemen (hoofdstuk III).
• Doorgeven op verzoek: onmiddellijk, kosteloos en zonder belemmering^[1]; de ontvangende zorgaanbieder in een andere lidstaat moet de gegevens aanvaarden en kunnen lezen^[1].
• Beperkingen en noodtoegang: beperkingen respecteren zonder dat ze zichtbaar zijn^[1]; toegang bij vitale belangen wordt gelogd en is inzichtelijk voor de patiënt^[1].
• Aansluiting: de lidstaat sluit alle zorgverleners aan op het nationaal contactpunt, met uitwisseling in twee richtingen^[1]. Apotheken moeten e-voorschriften uit andere lidstaten via MyHealth@EU raadplegen en aanvaarden^[1].

Elke lidstaat wijst een of meer digitale-gezondheidsautoriteiten aan en meldt ze uiterlijk 26 maart 2027 ^[1]. Die autoriteit zorgt voor de uitvoering van hoofdstuk II en III via technische oplossingen, regels en mechanismen^[1], verzekert de nationale uitrol van het EEHRxF^[1] en houdt toezicht op het nationaal contactpunt voor digitale gezondheid^[1], dat binnen de autoriteit mag worden aangewezen ^[1]. Ze publiceert om de twee jaar een activiteitenverslag, onder meer over het aantal op MyHealth@EU aangesloten zorgaanbieders per type^[1].

Burgers en rechtspersonen kunnen individueel of collectief klacht indienen bij de digitale-gezondheidsautoriteit ^[1]. Klachten over de rechten van art. 3 en 5 tot 10 gaan door naar de gegevensbeschermingsautoriteit, in België de GBA^[1], die ook boetes tot het maximum van art. 83(5) AVG kan opleggen^[1]. De nationale contactpunten zijn gezamenlijke verwerkingsverantwoordelijken voor gegevens via MyHealth@EU; de Commissie is verwerker^[1]. De eisen voor de technische uitvoering van de rechten komen in een uitvoeringshandeling zonder termijn^[1].

Deze punten beslist de lidstaat zelf; de verordening legt ze niet op: - een opt-out voor primair gebruik (art. 10(1))^[2], met of zonder doorbreking bij vitale belangen ^[1]; - uitstel van inzage tot een toelichting (art. 3(3))^[1]; - beperking van toegangsinformatie in uitzonderlijke omstandigheden (art. 9(3))^[1]; - bijkomende categorieën voor primair gebruik (art. 14(1))^[1]; - nadere regels over aansprakelijkheid bij afgeschermde gegevens (overweging 17)^[1].

Verplicht, maar met nationale invulling: regels over wie welke gegevens ziet (art. 11(3))^[2], over het beperkingsmechanisme (art. 8)^[1] en over machtigingen (art. 4(2))^[1]. De Belgische stand staat op EHDS in België (uitvoering): volgens de regering noopt de EHDS tot een evaluatie van de toestemmingsregel van art. 36 Kwaliteitswet^[8]; zie ook Geïnformeerde toestemming voor gegevensdeling.

• Xt-EHR D5.1 bevat enkel aanbevelingen; de bindende eisen komen in de common specifications van de Commissie ^[9]. D5.1 behandelt lokale, onvervalsbare logging als plicht van het EPD-systeem en het centraal tonen van logs als keuze van de lidstaat^[9].
• Xt-EHR D4.2 wijst erop dat een opt-out grensoverschrijdende en instellingsoverstijgende toegang volledig blokkeert, en dat nationale regels de verhouding tot 'break the glass' moeten regelen^[10]. Volgens een bevraging hadden in mei 2025 23 landen een toegangsdienst met proxyfunctie^[10], maar zijn beperken per gegevenstype en klachten indienen nog weinig ontwikkeld^[10].
• De Commissie verwacht dat de EEHRxF-specificaties voortbouwen op het werk van Xt-EHR^[3].
• Planning van de Commissie (maart 2026): het MyHealth@EU-werkplan 2026 omvat proxydiensten en een 'break the glass'-scenario, onder voorbehoud van de uitvoeringshandelingen^[11].

Niet gevonden (30/09/2026): een primaire Franse of Estse bron over de keuze onder art. 10, een formeel Oostenrijks besluit en een Nederlands wetsvoorstel met de uitgewerkte opt-out.

Geldt voor ziekenhuizen, huisartsen, labo's, apotheken en andere zorgaanbieders die elektronisch werken. Labels: verplichting, verplichting (lidstaat) (plicht van België met gevolg voor zorgaanbieders), FAQ, planning.

Grensoverschrijdende identificatie en de betrouwbaarheidsniveaus van 2030 en 2032 staan op EHDS-uitvoeringshandelingen (stand van zaken); de EPD-eisen en fabrikantverplichtingen op EHDS-eisen voor EPD-systemen (hoofdstuk III).

Aanbeveling: ga per EPD- en portaaltoepassing na of beperkingen (art. 8), 'break the glass'-logging en toegangsinformatie (art. 9) technisch kunnen worden ondersteund, en volg de Belgische keuze over opt-out en toegangsdiensten op EHDS in België (uitvoering) vóór u ontwerpbeslissingen vastlegt.

• Governance 2027 of fasering? Dat de governancebepalingen van hoofdstuk II vanaf 26 maart 2027 gelden, is een eigen lezing van art. 105, geen uitspraak van de Commissie (interpretatie)^[1].
• Beeldvorming 2031 geldt voor primair gebruik: voor secundair gebruik vallen beelden onder EPD-gegevens (art. 51(1)(a)) en gelden ze vanaf 2029 (interpretatie, zie EHDS: secundair gebruik (hoofdstuk IV))^[1].
• Uitvoeringshandelingen zonder termijn: art. 4(4) en art. 17 noemen geen termijn^[1]; de Commissie plant proxydiensten wel in het MyHealth@EU-werkplan 2026^[11].
• Opt-out en noodtoegang: de verordening laat zowel een opt-out met doorbreking als een absolute opt-out toe ^[1]; Xt-EHR waarschuwt dat een opt-out grensoverschrijdende toegang volledig blokkeert ^[10], terwijl de Nederlandse minister stelt dat gegevens bij de bron beschikbaar blijven ^[4]. Beide passen bij de Commissie-uitleg dat de registratie ongewijzigd blijft (interpretatie) ^[3].
• Status van Xt-EHR: de deliverables zijn aanbevelingen van een Joint Action, geen wettelijke specificatie ^[9].