Informatieveiligheidscomité (kamer sociale zekerheid en gezondheid)

Het Informatieveiligheidscomité (IVC; FR: Comité de sécurité de l'information) werd opgericht bij de wet van 5 september 2018 tot oprichting van het informatieveiligheidscomité^[1]. Het eHealth Welcome Pack noemt het IVC het vroegere 'sectoraal comité van de sociale zekerheid en de gezondheid'^[2]. Machtigingen die vroeger bij dat sectoraal comité (of bij het sectoraal comité van het Rijksregister) werden verkregen, blijven geldig^[2]. Zo vermeldt beraadslaging 14/016 dat Vitalink gemachtigd werd bij beraadslaging 12/046 van 19 juni 2012 van het Sectoraal Comité^[14]. De geconsolideerde eHealth-wet verwijst voor het verwijzingsrepertorium naar een beraadslaging van de kamer sociale zekerheid en gezondheid van het IVC^[15]. Een kandidaat-hub moet zijn toetredingsaanvraag indienen bij het Sectoraal Comité, dat nu het Informatieveiligheidscomité is^[5]. Historisch keurde het Sectoraal Comité in 2012-2013 de toetreding goed van de eerste hubs: de Antwerpse Regionale Hub, UZ Leuven, Abrumet/Brussels Gezondheidsnetwerk, FRATEM en vzw Collaboratief Zorgplatform Vlaanderen^[14]. Ook het Waalse Réseau Santé Wallon (RSW) is in productie in het hub-metahubsysteem na toestemming van het Sectoraal Comité^[16]. Zie ook VZN-hub, CoZo (Collaboratief Zorgplatform) en Abrumet / Réseau Santé Bruxellois.

Samenstelling. Over de samenstelling van de kamer sociale zekerheid en gezondheid en over de verhouding tot de Gegevensbeschermingsautoriteit bevat de claimbasis nog geen gebronde informatie (zie Onzekerheden).

Het IVC beslist, via beraadslagingen, onder welke voorwaarden gezondheidsgegevens mogen worden meegedeeld. De implementatie van het verwijzingsrepertorium (de metahub) kan pas na een beraadslaging van de kamer sociale zekerheid en gezondheid^[15]. Die kamer bepaalt ook de concrete toegang tot de categorieën gezondheidsgegevens, per categorie zorgverlener en per project^[5]. Voor andere zorgverleners dan artsen worden de toegangsrechten per toepassing vastgelegd in de daarvoor vereiste beraadslaging^[3]. Wanneer een gegevensmededeling een machtiging van het IVC vereist, mag ze pas na en overeenkomstig die machtiging plaatsvinden^[17].

De kernreglementen worden goedgekeurd door zowel het IVC als het Beheerscomité van het eHealth-platform, en het eHealth-platform publiceert ze met beide goedkeuringsdata^[4]. Interpretatie: dat wijst op een taakverdeling tussen beide organen; de bronnen beschrijven geen hiërarchische verhouding. Een partner die eHealth-basisdiensten wil gebruiken (bv. een ziekenhuis of softwareleverancier; voorbeelden van de Atlas), neemt eerst contact op met de projectcel, waarna het eHealth-platform juridisch onderzoekt of een beraadslaging of advies van het IVC nodig is^[18]. Ook andere overheden verwijzen naar het IVC: de FOD Volksgezondheid verwijst aanvragers van individuele of gekoppelde MZG-gegevens naar het IVC^[19]. Beraadslagingen raken ook Vlaamse stromen: het Agentschap en de zorgkassen van de Vlaamse sociale bescherming (digitaal platform) hebben toegang tot de Kruispuntbankregisters op basis van beraadslaging 22/090 van 3 mei 2022^[20].

Het IVC levert geen technische diensten maar normatieve beslissingen. Indeling (interpretatie van de Atlas, geen officiële typologie): de beraadslagingen in de claimbasis vallen in vier soorten.

1. Kernreglementen voor gegevensdeling tussen zorgverleners

• Hub-metahubreglement (Hubs-metahubsysteem): het IVC keurde, na goedkeuring door het Beheerscomité, gewijzigde versies goed op 5 november 2024 en op 2 september 2025. De laatste wijziging verfijnt de toegang van medewerkers binnen organisaties met een Circle of Trust-contract en regelt de toegang voor een wachtarts die een overlijdensattest opstelt^[14]. De wijzigingen van 2 september 2025 aan beraadslaging 14/016 traden in werking op 17 september 2025^[14]. De reglementenpagina vermeldt een goedkeuring door het Beheerscomité op 11 februari 2025 en door het IVC op 2 september 2025; dezelfde zin staat ook bij het reglement cirkel van vertrouwen^[4].
• Therapeutische relatie (Therapeutische relatie): het reglement over elektronische bewijsmiddelen werd goedgekeurd door het Beheerscomité (13/11/2018) en het IVC (03/03/2020)^[4].
• Toegangsmatrix (Toegangsmatrix (reglement eHealth-platform en Informatieveiligheidscomité)): goedgekeurd door het IVC op 4 december 2018 en gewijzigd op 6 juli 2021^[3]. Volgens beraadslaging 18/190 kadert de matrix uitsluitend binnen de uitwisseling van gezondheidsgegevens^[3]. Elke aanpassing gaat langs het Overlegcomité met de gebruikers, het Beheerscomité en het IVC^[3].
• Cirkel van vertrouwen (Cirkel van vertrouwen (Circle of Trust, COT)): het reglement met 13 criteria^[21] hoort bij IVC-beraadslaging nr. 19/166 van 1 oktober 2019, laatst gewijzigd op 2 september 2025^[4].
• Geïnformeerde toestemming (Geïnformeerde toestemming voor gegevensdeling): hiervoor bestaat geen apart IVC-reglement. Er is wel een informatieve nota, goedgekeurd door het Beheerscomité (12/09/2017) en het Sectoraal Comité (03/07/2018)^[4].

2. Stroomspecifieke beraadslagingen voor zorg en administratie

• BelRAI (BelRAI 2.0 (federale databank en webservice)): beraadslaging 18/026 (20/2/2018, laatst gewijzigd 2/3/2021) regelt de uitwisseling tussen zorgactoren en de BelRAI 2.0-databank via het eHealth-platform^[22].
• Farmaceutisch medicatieschema (bron: FarmaFlux): de gegevensstroom is goedgekeurd in beraadslaging 12/082 van 18 september 2012, laatst gewijzigd op 2 december 2025^[23]. Zie ook Gedeeld medicatieschema.
• Aanvragen bij het RIZIV (RIZIV (Rijksinstituut voor ziekte- en invaliditeitsverzekering)): EEFA (26/080), Colindos (26/124) en het RP-platform (26/060); zie de tabel hieronder.
• Vlaamse sociale bescherming: beraadslaging 22/026 van 11 januari 2022 regelt de mededeling van (gezondheids)gegevens in het kader van de inproductiestelling van de gegevensuitwisselingsstructuur van de Vlaamse sociale bescherming voor de revalidatieziekenhuizen^[20]. De bron geeft alleen de titel van de beraadslaging; of en wanneer die inproductiestelling plaatsvond, blijkt er niet uit.

3. Secundair gebruik: onderzoek, kwaliteit en registers

Beraadslagingen voor onderzoek en registers werken meestal met gepseudonimiseerde gegevens en vertrouwensderden, bv. eHealth en TTP VI in 22/262^[1]. Voorbeelden buiten de tabel: peillaboratoria kunnen vrijwillig deelnemen aan de gegevensinzameling voor de EPILABO-opvolging^[24] onder beraadslaging 17/010 van 21 februari 2017 (toen nog van het Sectoraal Comité), laatst gewijzigd door het IVC op 6 december 2022^[24]. Koppelingen met registers raken ook het Stichting Kankerregister (Belgian Cancer Registry) (24/132, zie tabel) en het secundair gebruik dat de Gezondheids(zorg)Data-Agentschap (Health Data Agency, HDA/GDA) ondersteunt; die laatste link is een verwijzing van de Atlas, geen inhoud van de beraadslagingen. Voor de evaluatie van Thuishospitalisatie moet een onderzoeksprotocol ter goedkeuring aan het IVC worden voorgelegd^[25].

4. Machtigingen voor pseudonimiseringsdiensten

Voor pseudonimisering via het eHealth-platform (o.a. WS Seals, batch codage, Blinded pseudo) is volgens het eHealth-platform een voorafgaande machtiging van het IVC absoluut noodzakelijk, en het IVC legt het beveiligingsniveau op^{[2][2][2][2][2]}. Voor WS SEALS, Batch codage, Blinded pseudo en anonimisering is een akkoord van het IVC verplicht^[2][26].

De tabel bevat de negen beraadslagingen die op 27 september 2026 op de eerste pagina van het beraadslagingenregister stonden; het is geen volledige inventaris. De kolom 'Oorspronkelijk besluit' geeft de datum van de oorspronkelijke beraadslaging en eventuele wijzigingen (uit de titel van het besluit); de kolom 'Inwerkingtreding' geeft de datum uit het slot van het besluit. Bij gewijzigde beraadslagingen geldt die datum enkel voor de wijziging, niet voor het oorspronkelijke besluit. De stromen staan in het uitwisselingsregister met status onbekend, omdat een beraadslaging niet bewijst dat de stroom operationeel is.

Elk van deze negen besluiten staat de mededeling uitsluitend toe mits de vastgestelde maatregelen voor doelbinding, minimale gegevensverwerking, opslagbeperking en informatieveiligheid worden nageleefd^{[1][6][7][8][9][10][11][12][13]}.

Opvallende voorwaarden per beraadslaging

• Pseudonimisering en toegang: onder 24/132 krijgen onderzoekers uitsluitend gepseudonimiseerde identificatienummers; het INSZ wordt alleen bij aanlevering en koppeling gebruikt^[7]. De gegevens blijven op de IMA-infrastructuur tot het projecteinde, geraamd op acht jaar na terbeschikkingstelling^[7]. Onder 22/262 krijgen alleen aangeduide VIKZ-onderzoekers toegang tot de analyse-dataset^[1].
• Niet-gepseudonimiseerde gegevens met toestemming: Colindos verwerkt niet-gepseudonimiseerde gezondheidsgegevens; de aanvragende partij moet vooraf toestemming van de patiënt of het lid verkrijgen^[12]. In het Telehealth-project wordt toestemming voor het datakoppelingsonderdeel gevraagd via een aan te vinken optie^[13]. BRBDR stuurt enkel het INSZ door van patiënten die toestemming gaven^[6].
• Voorbehoud voor andere machtigingen: 23/202 maakt voorbehoud voor de machtigingen voor toegang tot Rijksregister- en KSZ-registergegevens^[6], 26/060 voor een ministeriële machtiging voor het Rijksregister^[10]. Voor Statbel geldt in 24/132 het voorbehoud van een mededelingsprotocol of, bij ontbreken daarvan, een beraadslaging van de kamer federale overheid^[7].
• Periode: voor 25/224 worden gegevens per jaar gevraagd over 2024 tot en met 2028^[8].
• Verantwoordelijkheid bij inzage: voor EUROCAT gebeurt de inzage in ziekenhuis- en Kind & Gezin-dossiers onder verantwoordelijkheid van die instellingen, telkens met een overeenkomst^[9].

• Regelgeving: de toegangsregels voor hubdocumenten (therapeutische relatie, toegangsmatrix, cirkel van vertrouwen) zijn door het IVC goedgekeurd^[4][3]. Zo verfijnde de wijziging van 2 september 2025 de toegang van medewerkers^[14]. Interpretatie: zulke wijzigingen kunnen de toegangsconfiguratie in EPD's raken.
• Bestaande machtigingen: machtigingen die vroeger van het sectoraal comité werden verkregen (bv. voor RR Consult), blijven geldig^[2].
• Ziekenhuis als afzender: in recente beraadslagingen treden ziekenhuizen op als aanvrager bij het RIZIV (EEFA, Colindos)^[11][12] en als bron voor registers zoals BRBDR en EUROCAT^[6][9]. De beraadslaging beperkt de stroom tot het beschreven doel en de vastgestelde maatregelen^[11][12].
• Voorwaarde voor nieuwe projecten: een nieuwe gegevensstroom via eHealth-basisdiensten, of een pseudonimiseringstoepassing voor onderzoek, kan een voorafgaande beraadslaging of machtiging vereisen^[18][2].
• Aanbeveling (eigen): laat de DPO de IVC-beraadslagingen opvolgen die het ziekenhuis als afzender of ontvanger raken (kernreglementen en projectstromen zoals EEFA en Colindos), toets bij deelname aan een register of studie welke beraadslaging de stroom dekt, en betrek het eHealth-platform vroeg bij projecten met pseudonimisering.

De concrete toegang wordt per categorie zorgverlener en per project bepaald^[5]. Een beraadslaging staat de mededeling enkel toe onder de vastgestelde maatregelen^[8], en kan afhankelijk zijn van andere machtigingen of protocollen^[6][7]. Interpretatie: het IVC keurt kaders en stromen goed, terwijl de technische afdwinging bij het eHealth-platform, de hubs, de vertrouwensderden en de EPD's ligt; nieuwe use cases (bv. CareSets) hebben daardoor mogelijk nieuwe beraadslagingen nodig. De generieke actortypes in het uitwisselingsregister (bv. 'ziekenhuis', 'onderzoeksinstelling') verruimen de toegestane kring niet: enkel de in het besluit aangewezen partijen vallen eronder.

• Naamgeving. De pdf-versie van het Welcome Pack noemt bij de projectvoorwaarden nog een goedkeuring door het "Sectoraal Comité"^[2], maar gebruikt elders ook de naam Informatieveiligheidscomité^[2]; de webversie spreekt van het IVC^[18]. De pdf gebruikt beide benamingen dus door elkaar. De bronnen noemen het IVC de opvolger^[5][2]. Het gaat dus om verouderde terminologie, niet om twee actieve organen.
• Goedkeuringsdata reglementen. De reglementenpagina van het eHealth-platform vermeldt dezelfde goedkeuringsdata bij het hub-metahubreglement en bij het reglement cirkel van vertrouwen^[4]. Voor de IVC-datum is dat consistent met beraadslagingen 14/016 en 19/166, die allebei op 2 september 2025 gewijzigd werden^[14][4]. De Beheerscomité-datum (11 februari 2025) is voor het hub-metahubreglement niet onafhankelijk bevestigd.
• Operationele status. Een beraadslaging, aanvraagbeschrijving of verstreken lanceringsdatum bewijst geen productiegebruik; alle stromen uit de tabel staan daarom op onbekend in het register (hiaat).
• Volledigheid. Slechts de eerste registerpagina is verwerkt; de historische lijst, het KSZ-register en de Franstalige publicaties zijn niet vergeleken (hiaat). De nota 26/116 op dezelfde registerpagina is geen beraadslaging en werd niet onderzocht.
• Datums. Publicatiedatum, besluitdatum en inwerkingtreding verschillen. De tabel toont daarom zowel de oorspronkelijke besluitdatum als de inwerkingtreding; bij een gewijzigde beraadslaging betreft de inwerkingtreding alleen de wijziging. De publicatiedatum op het register is niet vastgelegd.
• Samenstelling en werking. De samenstelling van het IVC en de verhouding tot de Gegevensbeschermingsautoriteit zijn nog niet met bronnen vastgelegd (hiaat).