Geïnformeerde toestemming voor gegevensdeling

In het Belgische eHealth-veld heet deze toestemming ook in Nederlandstalige teksten vaak 'informed consent': CoZo gebruikt beide termen naast elkaar^[7] en het protocolakkoord van het Actieplan e-Gezondheid 2022-2024 spreekt van 'Informed Consent voor delen van gegevens'^[8].

Wanneer mag een zorgverlener via het Hubs-metahubsysteem gegevens van een patiënt zien die elders bewaard worden? De toestemming uit het reglement is beperkt tot de registratie en consultatie van verwijzingen in het verwijzingsrepertorium; de gegevensuitwisseling voor zorg zelf steunt op een andere rechtsgrond^[2]. De kernregels over toestemming staan in het hub-metahubreglement (§3.1.1)^[2]; daarnaast publiceert het eHealth-platform een informatieve nota over de geïnformeerde toestemming, goedgekeurd door het Beheerscomité (12 september 2017) en het Sectoraal Comité (3 juli 2018)^[9]. Die nota dateert dus van vóór de wetswijziging van 2023. Toestemmingen worden centraal bijgehouden: elke actor die een toestemming registreert, moet die onmiddellijk meedelen aan de centrale toestemmingsdatabank van het eHealth-platform^[2].

Wetswijziging 2023: opname versus raadpleging. Sinds de wijziging bij wet van 23 november 2023 (BS 6 december 2023; een afzonderlijke ingangsdatum staat niet in de geconsolideerde tekst) mogen verwijzingen in het verwijzingsrepertorium worden opgenomen tenzij de patiënt zich uitdrukkelijk verzet, terwijl raadpleging door anderen dan de patiënt nog altijd diens toestemming vereist^[1]. Dat verzet moet gebeuren via een toepassing die het eHealth-platform ter beschikking stelt^[1]. Technisch biedt het eHealth-platform daarvoor de dienst Patient Data Access - Consent WS - REST, de enige variant met opt-outbeheer voor de referentiëring^[6]; in het cookbook staat het type dataReferencing standaard actief^[10] (details op Consent-dienst van het eHealth-platform (eHealthConsent)). Of patiënten die opt-out al via een eindgebruikerstoepassing registreren en of de hubs het signaal toepassen, is niet gevonden. De memorie van toelichting motiveert dat verwijzingen vooraf moeten klaarstaan zodat ze onmiddellijk beschikbaar zijn zodra de patiënt toestemming geeft^[11]. De ingangsdatum van de praktische uitvoering is niet gevonden (publicatiedatum is geen ingangsdatum).

Regionale en Europese opt-outregels. Ook de Brusselse ordonnantie op het e-gezondheidsplatform voert sinds 14 april 2024 een opt-out in: zorgactoren werken het verwijzingsrepertorium van het platform als hub bij, tenzij de patiënt weigert^[12]; zie Abrumet / Réseau Santé Bruxellois. Het Waalse vaccinatieregister registreert vaccinatiegegevens tenzij de patiënt zich uitdrukkelijk verzet^[13]. Voor toegang via het Réseau Santé Wallon gelden de nationale geïnformeerde toestemming, een therapeutische relatie en de toegangsmatrix^[14]. Op Europees niveau voorziet de EHDS een recht op opt-out voor secundair gebruik^[15], terwijl een opt-out voor primair gebruik een keuze van de lidstaat is^[15].

Vier toegangsvoorwaarden en één uitzondering.

De vragende hub controleert zorgverlener en patiënt (toestemming, therapeutische relatie); de hub die het document bewaart controleert de documentspecifieke toegangsrechten, en elke toegang wordt gelogd^[2]. Logs worden in cascade beheerd: het eHealth-platform voor de metahub-verwijzingen, de hubs voor hun eigen verwijzingen en gegevens^[2].

Uitsluitingen. Uitsluiting van individuele zorgverleners kan in principe enkel door de patiënt of zijn wettelijke vertegenwoordiger; binnen een vaste groep, zoals een ziekenhuisteam, kan een uitsluiting zich tot de groep uitstrekken^[2]. Afwijkend daarvan kan een hub toelaten dat een zorgverlener op vraag van de patiënt een uitsluiting registreert, mits een bewezen voorafgaande therapeutische relatie tussen de patiënt en die zorgverlener^[2]. Burgers beheren toestemmingen en uitsluitingen onder meer via Mijngezondheid^[16].

Toegangsmatrix. De matrix werd goedgekeurd door het Informatieveiligheidscomité op 4 december 2018 en gewijzigd op 6 juli 2021^[4]. Op 4 juni 2024 volgde een nieuwe wijziging; wanneer die in werking treedt, bepaalt het IVC later, nadat de toepassingen zijn aangepast^[5]. De wijzigingen voegen onder meer toegang tot 'problem & treatment' toe voor tandartsen, apothekers en kinesitherapeuten^[5]. Ze is evolutief; elke aanpassing gaat langs het Overlegcomité, het Beheerscomité en het Informatieveiligheidscomité^[4]. Daarnaast kan de patiënt zijn matrix zelf laten registreren via PADAC, dat in mei 2025 in productie ging; de integratie in hubs en gezondheidskluizen is gepland voor 2026^[17] (zie Toegangsmatrix (reglement eHealth-platform en Informatieveiligheidscomité) en Toegangsmatrixdienst van het eHealth-platform (WS Matrix, PADAC)).

Minderjarigen. Vanaf 16 jaar kan een minderjarige zelf zijn toestemming registreren; daaronder komt dat recht toe aan de wettelijke vertegenwoordigers^[2].

Cirkel van vertrouwen. Een cirkel van vertrouwen is een groep gebruikers van een organisatie, zoals een ziekenhuis, waarvoor die organisatie zelf informatieveiligheidsmaatregelen organiseert en bewaakt^[18]. Zorgverleners in zo'n organisatie mogen medewerkers onder hun verantwoordelijkheid toegang laten zoeken tot de uitwisselingssystemen, mits het lokale systeem logt welke medewerker de opvraging deed^[2]. De wijziging van september 2025 verfijnde precies die toegang van medewerkers^[19]. Los daarvan eist Vlaanderen een Circle of Trust-verklaring voor aansluiting op Vitalink^[20]; de 13 criteria staan in een reglement van het Beheerscomité en het Informatieveiligheidscomité^[21]. De wijziging van 5 november 2024 voegde aan het hubs-metahubreglement een hyperlink naar die 13 criteria van een cirkel van vertrouwen toe^[19].

Voor raadpleging blijft toestemming de regel; voor de opname van verwijzingen is de wet naar opt-out verschoven^[1], maar het reglement (versie 2 september 2025) koppelt de toestemming nog aan de registratie én consultatie van de referenties^[2] (zie onzekerheden). Technisch staat de opt-out klaar op dienstniveau: Patient Data Access - Consent WS - REST beheert ze en documenteert een productie-endpoint^[6][10]. Of patiënten en hubs die opt-out al gebruiken, is niet gevonden.

• Reglementaire plicht: registreert het ziekenhuis een toestemming, dan meldt het die onmiddellijk aan de centrale databank^[2]. Registratie gebeurt enkel na correcte informatie van de patiënt^[2].
• Mogelijkheid (geen plicht): de toestemming geldt nationaal en kan door de opnamedienst worden geregistreerd, doorgaans met de eID^[7]; volgens de dienstpagina van eHealthConsent kan ook administratief personeel van ziekenhuizen dit onder verantwoordelijkheid van een arts op verzoek van de patiënt doen^[22]. Een hub mag in ziekenhuissetting registratie louter met het INSZ toelaten, mits de aanwezigheid van de patiënt en de informatieverstrekking op een andere manier gegarandeerd zijn^[2]. Een hub kan ook toelaten dat een zorgverlener met een bewezen therapeutische relatie op vraag van de patiënt een uitsluiting registreert^[2].
• Reglementair: zorgverlener en patiënt kunnen beslissen een gegeven niet te publiceren; bij vertrek van een ziekenhuisarts gaat de publicatieverantwoordelijkheid naar de hoofdarts^[2]. Een uitsluiting van één teamlid kan het hele ziekenhuisteam treffen^[2].
• Financieringsvoorwaarde (geldend: KB van 10 april 2025, bijlage 19): kernfunctionaliteit 9 ('Automatische communicatie met hub's') telt ontslagen patiënten voor wie minstens één document tijdens de opname of tot 30 dagen na ontslag in de eHealth-diensten beschikbaar is^[23], met als noemer de ontslagen patiënten die geïnformeerde toestemming gaven voor het delen van hun gezondheidsgegevens^[23]. Volgens Frank Robben (persoonlijke website, stand niet expliciet gedateerd; dezelfde alinea geeft cijfers over 2025) gaven meer dan 11,6 miljoen Belgen (97,8%) hun geïnformeerde toestemming^[24]. Let op: kernfunctionaliteit 7 ('Geïnformeerde toestemming van de patiënt') gaat in dat KB over toestemming voor behandelingen, niet over toestemming voor gegevensdeling^[23]; daarvoor geldt een scan van een ondertekend document als bewijs, bij voorkeur met een verwijzing in het EPD^[25]. Daarnaast moeten documenten toegankelijk zijn volgens de toegangsmatrix^[23]. Zie BMUC: financiering van het geïntegreerd EPD.
• Historisch (BMUC v0.1, 22/08/2016, uitgefaseerd): de oude kernfunctionaliteit 12 koppelde de registratie van de toestemming in het EPD aan het ontstaan van een therapeutische relatie^[26] en kernfunctionaliteit 15 vroeg het online opvragen van het toestemmingsstatuut^[26]; die nummering geldt niet meer in bijlage 19 van het KB van 2025.
• Aanbeveling: laat het EPD vóór raadpleging het toestemmingsstatuut tonen, registreer bij break-the-glass de reden, en beleg wie de publicatieverantwoordelijkheid van vertrokken artsen opneemt.

De implementatie van het verwijzingsrepertorium vereist een beraadslaging van de kamer sociale zekerheid en gezondheid van het Informatieveiligheidscomité, dat de rol van het Sectoraal Comité overnam^[1]. Medewerkers die een zorgverlener bijstaan (bv. secretariaat of verpleegkundige) mogen enkel binnen een organisatie die het reglement cirkel van vertrouwen naleeft en onder verantwoordelijkheid van die zorgverlener opvragen, met lokale logging per medewerker^[2]. De technische dienst voor toestemming staat op Consent-dienst van het eHealth-platform (eHealthConsent): er zijn drie versies^[6], waarvan enkel Patient Data Access - Consent WS - REST ook de opt-out voor referentiëring beheert^[6].

• Opt-out niet in het reglement. De wet laat opname toe tenzij de patiënt zich verzet^[1], maar het reglement (versie 2 september 2025) beperkt de toestemming nog tot 'de registratie en consultatie van de referenties'^[2] en spreekt in zijn statuut van toestemming 'met de opname van de referenties'^[2]. Voor raadpleging stemmen beide overeen: toestemming is nodig vóór consultatie^[2]. Op dienstniveau bestaat het opt-outbeheer wel: enkel Patient Data Access - Consent WS - REST ondersteunt het^[6], met dataReferencing standaard actief^[10]. De technische dienst loopt dus voor op het reglement. Of patiënten de opt-out al via een eindgebruikerstoepassing registreren en of de hubs het signaal toepassen, is niet bevestigd; niet gevonden betekent niet dat het niet gebeurt.
• Voorstellen in voorbereiding (geen geldend recht). Het ontwerp-samenwerkingsakkoord eHealth/BelRAI formuleert eigen basisregels voor toegang: geen opt-out, geïnformeerde toestemming, een zorgrelatie of lidmaatschap van een zorgteam, en geen uitsluiting^[27]. Het federale regeerakkoord van 2025 noemt toestemming en een opt-outmogelijkheid als beleidsintentie^[28]. Hoe die zich verhouden tot het opt-outregime van 2023, is niet gevonden.
• Inwerkingtreding toegangsmatrix 2024. De wijziging van 4 juni 2024 is beslist, maar de inwerkingtreding hangt af van een latere beslissing van het IVC^[5]; een besluitdatum is dus geen operationele ingangsdatum.
• Twee betekenissen van 'Circle of Trust'. Het federale reglement regelt de toegang van medewerkers tot de uitwisselingssystemen^[2]; de Vlaamse verklaring op eer is een aansluitvoorwaarde voor Vlaamse toepassingen en wordt voor ziekenhuizen ingediend door een wettelijke vertegenwoordiger van de inrichtende macht^[21]. Beide verwijzen naar 13 criteria van een cirkel van vertrouwen^[19][21], wat erop wijst dat ze op hetzelfde criteriareglement steunen; een uitdrukkelijke bevestiging dat het om exact hetzelfde document gaat, is niet gevonden.
• BMUC-nummering. Oudere bronnen en het BMUC-document van 2016 spreken van kernfunctionaliteiten 12 en 15^[26]; in bijlage 19 van het KB van 10 april 2025 heeft 'geïnformeerde toestemming' (nr. 7) een andere betekenis (behandelingen)^[23]. Wie BMUC-teksten leest, moet dus nagaan welke versie bedoeld is.