EHDS: secundair gebruik (hoofdstuk IV)

Deze pagina behandelt hoofdstuk IV van de EHDS (European Health Data Space). Secundair gebruik is de verwerking van elektronische gezondheidsgegevens voor de doeleinden van hoofdstuk IV, andere dan de oorspronkelijke doeleinden waarvoor ze werden verzameld^[1]. De EHDS laat de AVG, de Data Governance Act en de Dataverordening onverlet ^[1]. Volgens de Commissie is het hoofdverschil met de Data Governance Act dat de EHDS gegevenshouders verplicht de categorieën van art. 51 beschikbaar te stellen^[2]. De grensoverschrijdende infrastructuur staat op HealthData@EU, de uitvoeringshandelingen op EHDS-uitvoeringshandelingen (stand van zaken), de Belgische invulling op EHDS in België (uitvoering) en Gezondheids(zorg)Data-Agentschap (Health Data Agency, HDA/GDA); primair gebruik staat op EHDS: primair gebruik (hoofdstuk II).

Art. 51(1) somt zeventien minimumcategorieën op^[1], te beginnen met gegevens uit EPD's (a) ^[1]. Andere categorieën zijn onder meer zorggerelateerde administratieve gegevens (e)^[1], gegevens die automatisch door medische hulpmiddelen worden gegenereerd (h) en gegevens uit medische en sterfteregisters (l)^[1]. Vanaf 26 maart 2031 volgen gezondheidsdeterminanten (b)^[1], genetische, genomische en andere omics-gegevens (f, g)^[1], gegevens uit klinische proeven en studies (m)^[1] en onderzoekscohorten en enquêtes (p)^[1]. Optioneel voor de lidstaat: bijkomende categorieën aanwijzen ^[1] en strengere waarborgen voor genetische, omics-, welzijnsapp- en biobankgegevens^[1].

Toegang mag enkel voor zes doeleinden, waaronder wetenschappelijk onderzoek (met training, testen en evaluatie van algoritmen) en verbetering van zorgverlening^[1]. Volksgezondheid, beleid en officiële statistiek zijn voorbehouden aan overheidsinstanties en EU-instellingen^[1]. Art. 54 verbiedt onder meer nadelige beslissingen over personen, beslissingen over verzekerings- of kredietvoorwaarden en reclame^[1]. Volgens de Commissie kunnen ook commerciële organisaties wetenschappelijk onderzoek verrichten^[2]. TEHDAS2 (niet bindend) leest art. 53 als exhaustief, zodat elk ander gebruik verboden is (interpretatie)^[3], en ziet AI-training niet als zelfstandig doeleinde maar enkel als onderdeel van wetenschappelijk onderzoek (interpretatie) ^[3].

Wie? Een gegevenshouder is onder meer elke natuurlijke of rechtspersoon of overheidsinstantie in de zorg- of welzijnssector die als verwerkingsverantwoordelijke gezondheidsgegevens verwerkt^[1]. Treedt een EPD-leverancier op als verwerker, dan is de zorgaanbieder de gegevenshouder, niet de leverancier^[2]; bij gezamenlijke verwerkingsverantwoordelijkheid regelen de partijen onderling wie met de toegangsinstantie communiceert ^[2].

Uitzonderingen. Natuurlijke personen en micro-ondernemingen zijn vrijgesteld^[1]; volgens de Commissie valt een zorgaanbieder die die status verliest wel onder de plicht^[2]. Optioneel: een lidstaat mag de plichten uitbreiden naar die groepen^[1] en taken van bepaalde gegevenshouders laten uitvoeren door gezondheidsgegevensintermediairs, te melden tegen 26 maart 2029^[1].

Verplichtingen. - Relevante gegevens uit art. 51 ter beschikking stellen op basis van een vergunning of een goedgekeurd verzoek ^[1], uiterlijk drie maanden na het verzoek, verlengbaar met drie maanden^[1]. Volgens de Commissie geldt dat ook voor bestaande elektronische gegevens, ongeacht de verzameldatum^[2]. - Datasets beschrijven voor de nationale catalogus en de beschrijving minstens jaarlijks controleren^[1]; de minimale metadata volgen HealthDCAT-AP volgens Uitvoeringsverordening (EU) 2026/2098, van toepassing vanaf 26 maart 2029^[4]. Zie HealthDCAT-AP. - Melden welke gegevens door intellectuele-eigendomsrechten of bedrijfsgeheimen beschermd zijn^[1]. - Houders van niet-persoonsgebonden gegevens stellen die ter beschikking via betrouwbare open databanken^[1]. - Bij een significante bevinding over de gezondheid van een persoon informeert de gegevenshouder, onder nationale voorwaarden, de persoon of diens behandelaar^[1]. - Volgens de Commissie steunt de beschikbaarstelling op een wettelijke verplichting (art. 6(1)(c) AVG)^[2]; de gegevenshouder is daarvoor verwerkingsverantwoordelijke^[1].

Kwaliteits- en bruikbaarheidslabel. Datasets die met publieke financiering werden verzameld, moeten een label dragen^[1]; volgens de Commissie is het label optioneel voor een ziekenhuis dat enkel publieke financiering voor behandeling krijgt^[2]. Het label vraagt documentatie zoals metadata, datawoordenboek en datamodel, zonder een model zoals OMOP voor te schrijven^[1]. Wie een label meegeeft, bezorgt de toegangsinstantie documentatie om het te controleren^[1].

Vergoeding. De vergoeding van de toegangsinstantie mag een compensatie voor de kosten van de gegevenshouder bevatten, die aan de gegevenshouder wordt betaald^[1]. Volgens TEHDAS2 (niet bindend) gelden de tariefbeperkingen van de Data Governance Act daar niet voor^[5].

Sancties. Bij achterhouden of het niet respecteren van de termijnen kan de toegangsinstantie een dwangsom per dag opleggen en bij herhaling tot vijf jaar uitsluiting van toegangsaanvragen^[1]. De administratieve boete bedraagt maximaal 10 miljoen euro of 2 % van de wereldwijde jaaromzet^[1]. Optioneel: de lidstaat bepaalt of overheidsinstanties en publieke instellingen beboet kunnen worden^[1]. Volgens TEHDAS2 beperkt de verplichte rol van een gewone gegevenshouder zich hoofdzakelijk tot extraheren en aanleveren^[5].

Volgens de Commissie kunnen gegevenshouder en toegangsinstantie beide pseudonimiseren, met de eindverantwoordelijkheid bij de toegangsinstantie; ziekenhuizen kunnen gehashte patiëntidentificatoren meegeven voor koppeling ^[2]. De sleutel blijft bij de toegangsinstantie of een vertrouwde derde volgens nationaal recht ^[1]; zie Pseudonimiseringsdiensten van het eHealth-platform. Vergoedingen moeten evenredig zijn met de kosten; lidstaten mogen verlaagde tarieven invoeren (optioneel)^[1]. Zonder akkoord binnen een maand kan de toegangsinstantie de vergoeding vaststellen^[1]. TEHDAS2 beveelt één factuur en gefaseerde betalingen aan (niet bindend) ^[6]. Heridentificatie is verboden^[1]; voor gebruikers gelden boetes tot 20 miljoen euro of 4 % van de jaaromzet^[1].

Iedereen krijgt een recht op opt-out, op elk moment, zonder motivering en omkeerbaar^[1]. Na opt-out worden de gegevens niet meer gebruikt voor later goedgekeurde vergunningen of verzoeken, maar eerdere vergunningen blijven onaangetast^[1]. Optioneel: een nationale uitzondering voor publieke opdrachten in volksgezondheid of onderzoek van zwaarwegend algemeen belang^[1], onder cumulatieve voorwaarden^[1], onverwijld te melden aan de Commissie^[1]. Een gegevenshouder hoeft geen extra identificerende informatie bij te houden enkel voor de opt-out^[1]. Volgens de Commissie geldt de opt-out niet voor een gegevenshouder die de persoon niet kan identificeren^[2], laat hij meldingsplichten zoals meldingsplichtige ziekten onverlet ^[2] en staat hij los van de opt-out voor primair gebruik^[2]. TEHDAS2 leest dat lidstaten ook fijnmazigere opt-outs mogen invoeren (interpretatie)^[7]. Toezicht ligt bij de AVG-toezichthouders, in België de GBA^[1].

Optioneel: lidstaten mogen gegevenshouders met een conforme beveiligde verwerkingsomgeving als 'trusted health data holder' aanwijzen^[1]. Die beoordeelt de aanvraag en bezorgt binnen twee maanden een voorstel; de toegangsinstantie beslist binnen twee maanden en is er niet door gebonden^[1]. Volgens de Commissie kan een lidstaat bijvoorbeeld een overheidsinstantie die een gecentraliseerd patiëntendossier beheert als intermediair aanwijzen die namens ziekenhuizen werkt, maar zo'n intermediair kan geen trusted data holder zijn^[2]. EHDS-intermediairs verschillen van de gegevensbemiddelingsdiensten uit de Data Governance Act^[2]. In België zijn trusted data holders en ziekenhuisdatanetwerken als intermediair in voorbereiding^[8][9]; zie EHDS in België (uitvoering).

Lidstaten wijzen een of meer toegangsinstanties aan, met één coördinator bij meerdere^[1], en melden ze uiterlijk 26 maart 2027^[1]. Volgens de Commissie is hun aantal onbeperkt en kunnen taken territoriaal, per functie of per categorie verdeeld worden^[2]. Belangenconflicten tussen aanvraagbeoordeling, datasetvoorbereiding en verwerkingsomgeving moeten worden vermeden^[1]. Toegangsinstanties houden een publieke datasetcatalogus bij^[1] en publiceren om de twee jaar een activiteitenverslag met onder meer de gemiddelde doorlooptijd^[1]. De toegangsinstantie is verwerkingsverantwoordelijke voor haar eigen taken en verwerker voor de gebruiker^[1].

Het nationaal contactpunt voor secundair gebruik wordt tegen 26 maart 2027 gemeld^[1] en sluit aan op HealthData@EU^[1]. De Commissie beheert het centrale platform als verwerker en kan een eigen beveiligde verwerkingsomgeving aanbieden^[1]. De EHDS-raad telt per lidstaat een vertegenwoordiger voor primair en een voor secundair gebruik^[1].

Verhouding tot andere regels. Toegangsinstanties werken samen met onder meer de bevoegde autoriteiten onder de Dataverordening, de MDR/IVDR en de AI-verordening^[1]; het kwaliteitslabel houdt rekening met de datakwaliteitseisen voor hoogrisico-AI^[1]. Voorstel (nog niet aangenomen): het Digital Omnibus-voorstel zou de Data Governance Act intrekken, waardoor de EHDS-verwijzingen ernaar mogelijk moeten worden aangepast^[2].

De Commissie steunt secundair gebruik onder meer via de EHDS2-pilot, de joint action TEHDAS2 en subsidies voor toegangsinstanties^[14]. Het TEHDAS2-richtsnoer D6.1 voor gegevenshouders is niet bindend en onderscheidt verplichtingen van aanbevolen praktijken^[5]. Andere richtsnoeren gaan over vergoedingen^[6], doeleinden^[3] en opt-out^[7]. De laatste consultatie over zeven ontwerprichtsnoeren liep van 5 mei tot 29 juni 2026; de definitieve teksten zijn gepland voor het najaar van 2026^[15]. Op de implementatiedialoog van 10 juni 2026 wezen zorgaanbieders op beperkte middelen en een gebrek aan urgentie ^[16] en vroegen deelnemers een geharmoniseerde uitvoering^[16].

Geldt voor ziekenhuizen, labo's, huisartsenpraktijken, apotheken en andere gegevenshouders die geen micro-onderneming zijn^[1][2].

Aanbeveling: inventariseer welke datasets onder art. 51 vallen en wie er verwerkingsverantwoordelijke voor is, bereid metadata volgens HealthDCAT-AP voor en volg op EHDS in België (uitvoering) of België trusted data holders en ziekenhuisdatanetwerken als intermediair aanwijst, omdat dat bepaalt welke taken bij de individuele zorgaanbieder blijven.

• 2031 geldt niet voor beelden in hoofdstuk IV: 2031 geldt in hoofdstuk IV enkel voor art. 51(1)(b), (f), (g), (m) en (p)^[1]; medische beelden vallen als EPD-gegevens onder art. 51(1)(a) en dus vanaf 2029 onder de regels (interpretatie)^[1]. De datum 2031 voor beeldvorming hoort bij het primair gebruik^[1]; zie EHDS: primair gebruik (hoofdstuk II). Een samenvatting van de Commissie noemt voor 2031 beelden (primair) en 'de overige categorieën' (secundair) in één zin^[22].
• Label: uitvoerings- of gedelegeerde handeling? Art. 78(6) legt de specificaties van het kwaliteitslabel via uitvoeringshandelingen vast^[1] en initiatief 18853 is een uitvoeringshandeling ^[13]. Dezelfde FAQ-vraag over het label (vraag 42) zegt echter dat de details, met de niveaus, in 'a delegated act' komen^[2]. Art. 78(5) voorziet gedelegeerde handelingen enkel om de elementen van het label te wijzigen, dus de verordening en het lopende initiatief zijn hier leidend (interpretatie)^[1].
• Digital Omnibus is een voorstel; de gevolgen voor de verwijzingen naar de Data Governance Act zijn onzeker ^[2].
• Belgische aanwijzingen: het HDA meldde dat zijn aanstelling als coördinerende toegangsinstantie en contactpunt nog politiek goedgekeurd moest worden^[8]; een formele aanwijzing werd niet gevonden.
• Nederlandse termen op deze pagina zijn werkvertalingen; de Nederlandse Publicatiebladtekst kon niet worden geverifieerd.