Hoofdstuk IV van de EHDS-verordening regelt het hergebruik van elektronische gezondheidsgegevens voor zes limitatieve doeleinden (volksgezondheid, beleid, statistiek, onderwijs, wetenschappelijk onderzoek en zorgverbetering) via gegevensvergunningen of gegevensverzoeken bij nationale gezondheidsgegevenstoegangsinstanties. Gegevenshouders, waaronder ziekenhuizen en andere zorgaanbieders die geen micro-onderneming zijn, beschrijven hun datasets voor de nationale catalogus en leveren gevraagde gegevens binnen drie maanden; ze kunnen een kostencompensatie krijgen en riskeren dwangsommen en boetes. Toegang loopt via een beveiligde verwerkingsomgeving, standaard geanonimiseerd; burgers hebben een omkeerbaar opt-outrecht. Hoofdstuk IV geldt vanaf 26 maart 2029, voor gezondheidsdeterminanten, genomische en andere omics-gegevens, klinische proeven en onderzoekscohorten vanaf 26 maart 2031. De Belgische invulling (HDA, IVC, trusted data holders, ziekenhuisdatanetwerken) staat op ehds-belgie.
", "last_verified": "2026-09-30", "verification_outdated": false, "sections": [ { "id": "in-het-kort", "title": "In het kort", "kind": "in-het-kort", "html": "Deze pagina behandelt hoofdstuk IV van de EHDS (European Health Data Space). Secundair gebruik is de verwerking van elektronische\ngezondheidsgegevens voor de doeleinden van hoofdstuk IV, andere dan de oorspronkelijke doeleinden waarvoor ze werden\nverzameld[1]. De EHDS laat de AVG, de Data Governance Act en de Dataverordening onverlet\n[1]. Volgens de Commissie is het hoofdverschil met de Data Governance Act dat de EHDS gegevenshouders\nverplicht de categorieën van art. 51 beschikbaar te stellen[2]. De grensoverschrijdende infrastructuur\nstaat op HealthData@EU, de uitvoeringshandelingen op EHDS-uitvoeringshandelingen (stand van zaken), de Belgische invulling op\nEHDS in België (uitvoering) en Gezondheids(zorg)Data-Agentschap (Health Data Agency, HDA/GDA); primair gebruik staat op EHDS: primair gebruik (hoofdstuk II).
" }, { "id": "categorieen-art-51-en-doeleinden-art-53-54", "title": "Categorieën (art. 51) en doeleinden (art. 53-54)", "kind": "tekst", "html": "Art. 51(1) somt zeventien minimumcategorieën op[1], te beginnen met gegevens uit EPD's (a)\n[1]. Andere categorieën zijn onder meer zorggerelateerde administratieve gegevens (e)[1],\ngegevens die automatisch door medische hulpmiddelen worden gegenereerd (h) en gegevens uit medische en sterfteregisters\n(l)[1]. Vanaf 26 maart 2031 volgen gezondheidsdeterminanten (b)[1], genetische, genomische\nen andere omics-gegevens (f, g)[1], gegevens uit klinische proeven en studies (m)[1] en\nonderzoekscohorten en enquêtes (p)[1]. Optioneel voor de lidstaat: bijkomende categorieën aanwijzen\n[1] en strengere waarborgen voor genetische, omics-, welzijnsapp- en biobankgegevens[1].
\nToegang mag enkel voor zes doeleinden, waaronder wetenschappelijk onderzoek (met training, testen en evaluatie van\nalgoritmen) en verbetering van zorgverlening[1]. Volksgezondheid, beleid en officiële statistiek zijn\nvoorbehouden aan overheidsinstanties en EU-instellingen[1]. Art. 54 verbiedt onder meer nadelige\nbeslissingen over personen, beslissingen over verzekerings- of kredietvoorwaarden en reclame[1]. Volgens de\nCommissie kunnen ook commerciële organisaties wetenschappelijk onderzoek verrichten[2]. TEHDAS2\n(niet bindend) leest art. 53 als exhaustief, zodat elk ander gebruik verboden is (interpretatie)[3], en\nziet AI-training niet als zelfstandig doeleinde maar enkel als onderdeel van wetenschappelijk onderzoek (interpretatie)\n[3].
" }, { "id": "gegevenshouders", "title": "Gegevenshouders", "kind": "tekst", "html": "Wie? Een gegevenshouder is onder meer elke natuurlijke of rechtspersoon of overheidsinstantie in de zorg- of\nwelzijnssector die als verwerkingsverantwoordelijke gezondheidsgegevens verwerkt[1]. Treedt een\nEPD-leverancier op als verwerker, dan is de zorgaanbieder de gegevenshouder, niet de leverancier[2]; bij\ngezamenlijke verwerkingsverantwoordelijkheid regelen de partijen onderling wie met de toegangsinstantie communiceert\n[2].
\nUitzonderingen. Natuurlijke personen en micro-ondernemingen zijn vrijgesteld[1]; volgens de Commissie\nvalt een zorgaanbieder die die status verliest wel onder de plicht[2]. Optioneel: een lidstaat mag de\nplichten uitbreiden naar die groepen[1] en taken van bepaalde gegevenshouders laten uitvoeren door\ngezondheidsgegevensintermediairs, te melden tegen 26 maart 2029[1].
\nVerplichtingen.\n- Relevante gegevens uit art. 51 ter beschikking stellen op basis van een vergunning of een goedgekeurd verzoek\n[1], uiterlijk drie maanden na het verzoek, verlengbaar met drie maanden[1]. Volgens de\n Commissie geldt dat ook voor bestaande elektronische gegevens, ongeacht de verzameldatum[2].\n- Datasets beschrijven voor de nationale catalogus en de beschrijving minstens jaarlijks controleren[1];\n de minimale metadata volgen HealthDCAT-AP volgens Uitvoeringsverordening (EU) 2026/2098, van toepassing vanaf 26 maart\n 2029[4]. Zie HealthDCAT-AP.\n- Melden welke gegevens door intellectuele-eigendomsrechten of bedrijfsgeheimen beschermd zijn[1].\n- Houders van niet-persoonsgebonden gegevens stellen die ter beschikking via betrouwbare open databanken[1].\n- Bij een significante bevinding over de gezondheid van een persoon informeert de gegevenshouder, onder nationale\n voorwaarden, de persoon of diens behandelaar[1].\n- Volgens de Commissie steunt de beschikbaarstelling op een wettelijke verplichting (art. 6(1)(c) AVG)[2];\n de gegevenshouder is daarvoor verwerkingsverantwoordelijke[1].
\nKwaliteits- en bruikbaarheidslabel. Datasets die met publieke financiering werden verzameld, moeten een label\ndragen[1]; volgens de Commissie is het label optioneel voor een ziekenhuis dat enkel publieke financiering\nvoor behandeling krijgt[2]. Het label vraagt documentatie zoals metadata, datawoordenboek en datamodel,\nzonder een model zoals OMOP voor te schrijven[1]. Wie een label meegeeft, bezorgt de\ntoegangsinstantie documentatie om het te controleren[1].
\nVergoeding. De vergoeding van de toegangsinstantie mag een compensatie voor de kosten van de gegevenshouder bevatten,\ndie aan de gegevenshouder wordt betaald[1]. Volgens TEHDAS2 (niet bindend) gelden de tariefbeperkingen\nvan de Data Governance Act daar niet voor[5].
\nSancties. Bij achterhouden of het niet respecteren van de termijnen kan de toegangsinstantie een dwangsom per dag\nopleggen en bij herhaling tot vijf jaar uitsluiting van toegangsaanvragen[1]. De administratieve boete\nbedraagt maximaal 10 miljoen euro of 2 % van de wereldwijde jaaromzet[1]. Optioneel: de lidstaat bepaalt\nof overheidsinstanties en publieke instellingen beboet kunnen worden[1]. Volgens TEHDAS2 beperkt de\nverplichte rol van een gewone gegevenshouder zich hoofdzakelijk tot extraheren en aanleveren[5].
" }, { "id": "toegangsprocedure", "title": "Toegangsprocedure", "kind": "tekst", "html": "| Stap | \nRegel | \nTermijn | \n
|---|---|---|
| Aanvraag | \nElke natuurlijke of rechtspersoon mag een aanvraag indienen voor de doeleinden van art. 53(1)[1] | \nOnvolledig en niet binnen vier weken aangevuld: geen vergunning[1] | \n
| Beslissing vergunning | \nDoor de toegangsinstantie[1]; wederzijdse erkenning bij grensoverschrijdende aanvragen mogelijk[1] | \nDrie maanden, verlengbaar met drie[1]; overheden met volksgezondheidsmandaat twee maanden plus één[1] | \n
| Levering | \nDe toegangsinstantie vraagt de gegevens onmiddellijk op bij de gegevenshouder[1] | \nHouder: drie maanden[1]; toegangsinstantie: twee maanden na ontvangst[1] | \n
| Gegevensverzoek | \nEnkel een antwoord in geanonimiseerd statistisch formaat[1] | \nBeoordeling drie maanden, antwoord waar mogelijk binnen nog eens drie[1] | \n
| Gebruik | \nStandaard geanonimiseerd; gepseudonimiseerd enkel als het doel het vereist[1]; in een beveiligde verwerkingsomgeving met toegangslogs[1]; enkel niet-persoonsgebonden gegevens downloaden[1] | \nVergunning maximaal tien jaar, eenmaal verlengbaar; wissen binnen zes maanden na afloop[1] | \n
| Publicatie | \nDe toegangsinstantie publiceert aanvragen, vergunningen en weigeringen[1]; de gebruiker publiceert de resultaten[1] | \nBeslissingen binnen 30 werkdagen[1]; resultaten binnen 18 maanden[1] | \n
Volgens de Commissie kunnen gegevenshouder en toegangsinstantie beide pseudonimiseren, met de eindverantwoordelijkheid\nbij de toegangsinstantie; ziekenhuizen kunnen gehashte patiëntidentificatoren meegeven voor koppeling\n[2]. De sleutel blijft bij de toegangsinstantie of een vertrouwde derde volgens nationaal recht\n[1]; zie Pseudonimiseringsdiensten van het eHealth-platform. Vergoedingen moeten evenredig zijn met de kosten; lidstaten mogen\nverlaagde tarieven invoeren (optioneel)[1]. Zonder akkoord binnen een maand kan de toegangsinstantie de\nvergoeding vaststellen[1]. TEHDAS2 beveelt één factuur en gefaseerde betalingen aan (niet bindend)\n[6]. Heridentificatie is verboden[1]; voor gebruikers gelden boetes tot 20 miljoen euro of 4\n% van de jaaromzet[1].
" }, { "id": "opt-out-art-71", "title": "Opt-out (art. 71)", "kind": "tekst", "html": "Iedereen krijgt een recht op opt-out, op elk moment, zonder motivering en omkeerbaar[1]. Na opt-out worden\nde gegevens niet meer gebruikt voor later goedgekeurde vergunningen of verzoeken, maar eerdere vergunningen blijven\nonaangetast[1]. Optioneel: een nationale uitzondering voor publieke opdrachten in volksgezondheid of\nonderzoek van zwaarwegend algemeen belang[1], onder cumulatieve voorwaarden[1], onverwijld\nte melden aan de Commissie[1]. Een gegevenshouder hoeft geen extra identificerende informatie bij te\nhouden enkel voor de opt-out[1]. Volgens de Commissie geldt de opt-out niet voor een gegevenshouder die de\npersoon niet kan identificeren[2], laat hij meldingsplichten zoals meldingsplichtige ziekten onverlet\n[2] en staat hij los van de opt-out voor primair gebruik[2]. TEHDAS2 leest dat lidstaten ook\nfijnmazigere opt-outs mogen invoeren (interpretatie)[7]. Toezicht ligt bij de AVG-toezichthouders, in\nBelgië de GBA[1].
" }, { "id": "trusted-data-holders-en-intermediairs-art-50-en-72", "title": "Trusted data holders en intermediairs (art. 50 en 72)", "kind": "tekst", "html": "Optioneel: lidstaten mogen gegevenshouders met een conforme beveiligde verwerkingsomgeving als 'trusted health data\nholder' aanwijzen[1]. Die beoordeelt de aanvraag en bezorgt binnen twee maanden een voorstel; de\ntoegangsinstantie beslist binnen twee maanden en is er niet door gebonden[1]. Volgens de Commissie kan\neen lidstaat bijvoorbeeld een overheidsinstantie die een gecentraliseerd patiëntendossier beheert als intermediair\naanwijzen die namens ziekenhuizen werkt, maar zo'n intermediair kan geen trusted data holder zijn[2].\nEHDS-intermediairs verschillen van de gegevensbemiddelingsdiensten uit de Data Governance Act[2]. In\nBelgië zijn trusted data holders en ziekenhuisdatanetwerken als intermediair in voorbereiding[8][9];\nzie EHDS in België (uitvoering).
" }, { "id": "governance", "title": "Governance", "kind": "tekst", "html": "Lidstaten wijzen een of meer toegangsinstanties aan, met één coördinator bij meerdere[1], en melden ze\nuiterlijk 26 maart 2027[1]. Volgens de Commissie is hun aantal onbeperkt en kunnen taken territoriaal, per\nfunctie of per categorie verdeeld worden[2]. Belangenconflicten tussen aanvraagbeoordeling,\ndatasetvoorbereiding en verwerkingsomgeving moeten worden vermeden[1]. Toegangsinstanties houden een\npublieke datasetcatalogus bij[1] en publiceren om de twee jaar een activiteitenverslag met onder meer de\ngemiddelde doorlooptijd[1]. De toegangsinstantie is verwerkingsverantwoordelijke voor haar eigen taken en\nverwerker voor de gebruiker[1].
\nHet nationaal contactpunt voor secundair gebruik wordt tegen 26 maart 2027 gemeld[1] en sluit aan op\nHealthData@EU[1]. De Commissie beheert het centrale platform als verwerker en kan een eigen\nbeveiligde verwerkingsomgeving aanbieden[1]. De EHDS-raad telt per lidstaat een vertegenwoordiger voor\nprimair en een voor secundair gebruik[1].
\nVerhouding tot andere regels. Toegangsinstanties werken samen met onder meer de bevoegde autoriteiten onder de\nDataverordening, de MDR/IVDR en de AI-verordening[1]; het kwaliteitslabel houdt rekening met\nde datakwaliteitseisen voor hoogrisico-AI[1]. Voorstel (nog niet aangenomen): het Digital\nOmnibus-voorstel zou de Data Governance Act intrekken, waardoor de EHDS-verwijzingen ernaar mogelijk moeten worden\naangepast[2].
" }, { "id": "tijdlijn", "title": "Tijdlijn", "kind": "tekst", "html": "| Datum | \nWat | \nBron | \n
|---|---|---|
| 26 maart 2027 | \nMelding van toegangsinstantie(s) en nationaal contactpunt | \n[1] | \n
| Q4 2026 - Q1 2027 | \nPlanning: HealthData@EU (ontwerp, feedback tot 29/09/2026), sjablonen, beveiligde verwerkingsomgevingen, kwaliteitslabel | \n[10][11][12][13] | \n
| 26 maart 2029 | \nHoofdstuk IV van toepassing; uitvoeringshandelingen over sjablonen, verwerkingsomgevingen, HealthData@EU, datasetbeschrijvingen en label van toepassing | \n[1] | \n
| 26 maart 2029 | \nDatasetbeschrijvingen bij de toegangsinstantie (voor de categorieën van 2029) | \n[2] | \n
| 26 maart 2029 | \nMelding van nationale regels over intermediairs en uitbreiding van plichten, en van een alternatief voor administratieve boetes | \n[1] | \n
| 26 maart 2031 | \nEnkel art. 51(1)(b), (f), (g), (m) en (p) | \n[1] | \n
| 26 maart 2032 | \nRichtsnoeren van de Commissie over handhavingsmaatregelen | \n[1] | \n
| 26 maart 2035 | \nDerde landen kunnen aansluiting op HealthData@EU aanvragen | \n[1] | \n
De Commissie steunt secundair gebruik onder meer via de EHDS2-pilot, de joint action TEHDAS2 en subsidies voor\ntoegangsinstanties[14]. Het TEHDAS2-richtsnoer D6.1 voor gegevenshouders is niet bindend en onderscheidt\nverplichtingen van aanbevolen praktijken[5]. Andere richtsnoeren gaan over vergoedingen[6],\ndoeleinden[3] en opt-out[7]. De laatste consultatie over zeven ontwerprichtsnoeren liep van\n5 mei tot 29 juni 2026; de definitieve teksten zijn gepland voor het najaar van 2026[15]. Op de\nimplementatiedialoog van 10 juni 2026 wezen zorgaanbieders op beperkte middelen en een gebrek aan urgentie\n[16] en vroegen deelnemers een geharmoniseerde uitvoering[16].
" }, { "id": "vergelijking-met-andere-lidstaten", "title": "Vergelijking met andere lidstaten", "kind": "tekst", "html": "| Land (bron, datum) | \nStand | \n
|---|---|
| Finland (ministerie, stand 30/09/2026) | \nFindata verleent al vergunningen; wetsvoorstel gepland in het najaar van 2026[17]; Findata krijgt een belangrijke rol[17] | \n
| Duitsland (ministeriepagina, datum niet eenduidig) | \nCentrale toegangs- en coördinatiedienst voor gezondheidsgegevens bij het BfArM, ook technisch knooppunt voor HealthData@EU[18]; het Forschungsdatenzentrum Gesundheit stelt ePA- en facturatiegegevens beschikbaar[18] | \n
| Nederland (brief 29 april 2026) | \nEén nieuw zbo (Gezondheidsdata-autoriteit) voor digitale-gezondheidsautoriteit en HDAB, in voorbereiding[19], klaar tegen 26 maart 2029 (planning)[19] | \n
| Oostenrijk (projectpagina, geraadpleegd 30/09/2026) | \nHealthData@AT bereidt een HDAB voor met vier capaciteiten tegen eind 2027[20] | \n
| Frankrijk (persbericht 13 september 2023) | \nEU-subsidie voor de Health Data Hub om zich aan te passen aan de EHDS; geen formele aanwijzing gevonden[21] | \n
Geldt voor ziekenhuizen, labo's, huisartsenpraktijken, apotheken en andere gegevenshouders die geen micro-onderneming\nzijn[1][2].
\n| Wanneer | \nWat | \nLabel | \nBron | \n
|---|---|---|---|
| 26 maart 2029 | \nDatasetbeschrijvingen (HealthDCAT-AP) aanleveren en jaarlijks controleren | \nverplichting | \n[1][4][2] | \n
| 26 maart 2029 | \nEPD-gegevens en andere categorieën leveren binnen drie maanden na verzoek | \nverplichting | \n[1] | \n
| 26 maart 2029 | \nBeschermde gegevens (intellectuele eigendom, bedrijfsgeheimen) melden | \nverplichting | \n[1] | \n
| 26 maart 2029 | \nZorgaanbieder, niet de leverancier-verwerker, is gegevenshouder | \nFAQ | \n[2] | \n
| 26 maart 2031 | \nIdem voor determinanten, omics, klinische proeven en cohorten | \nverplichting | \n[1] | \n
Aanbeveling: inventariseer welke datasets onder art. 51 vallen en wie er verwerkingsverantwoordelijke voor is, bereid\nmetadata volgens HealthDCAT-AP voor en volg op EHDS in België (uitvoering) of België trusted data holders en ziekenhuisdatanetwerken\nals intermediair aanwijst, omdat dat bepaalt welke taken bij de individuele zorgaanbieder blijven.
" }, { "id": "onzekerheden-en-tegenstrijdige-informatie", "title": "Onzekerheden en tegenstrijdige informatie", "kind": "tekst", "html": "