Smals

Smals is een vereniging zonder winstoogmerk (vzw); volgens Smals zijn haar leden hoofdzakelijk de openbare instellingen van sociale zekerheid, de Kruispuntbank van de Sociale Zekerheid (KSZ), de federale overheidsdiensten voor sociale zekerheid en de vereniging Egov^[2]; in aantal zijn de leden van categorie B en C wel veel talrijker (zie 'Leden')^[9]. Het statutaire doel is het belangeloos ondersteunen van de leden op het vlak van informatiebeheer, informatieveiligheid en aanverwante materies^[4]. Smals is onderworpen aan het privaatrecht en is zelf geen overheidsinstelling; de medewerkers hebben een arbeidsovereenkomst met Smals^[2]. Volgens Smals levert ze uitsluitend diensten aan haar leden, tegen kostprijs, als 'in-house' ICT-dienst; de leden blijven vrij om zelf of via de privésector in hun ICT-noden te voorzien^[1]. Het Rekenhof nuanceert: Smals sluit raamovereenkomsten voor externe IT-experts voor haar leden en in zeldzame gevallen voor derden^[6], en federale organisaties die geen lid zijn, kunnen niet detacheren maar wel IT-experts inschakelen via een door Smals gesloten overheidsopdracht als de opdrachtdocumenten daarin voorzien^[6]. Sinds 2008 concentreert Smals zich op twee doelgroepen: de sociale sector en de gezondheidszorg^[10].

Smals situeert haar oorsprong in de wettelijke regeling van de KSZ: de wetgever somt de instanties op die zich in een kostendelende vzw mogen verenigen (wet van 15 januari 1990, vooral artikel 17bis)^[3]. Volgens de memorie van toelichting bij een wetsontwerp van april 2026 is Smals momenteel de enige vereniging op grond van dat artikel^[11]. De KBO registreert Smals als vzw sinds 10 februari 1940^[12]; het ondernemingsnummer 0406.798.006 vervangt sinds 5 maart 2013 het nummer 0410.128.866^[12][2].

Geschiedenis

Smals werd opgericht om de kassen voor kinderbijslag toe te laten de toen moderne mechanografische systemen te gebruiken^[13]. Na de Tweede Wereldoorlog werden eerst de RSZ en daarna het RIZIV lid; de focus verschoof daarmee van de kinderbijslag naar de hele sociale zekerheid (interpretatie van de mijlpalen 1945 en 1949)^[10].

Smals beheert aparte dienstenplatformen (webservices) voor de sociale zekerheid en voor de gezondheidszorg^[3]. Voor de gezondheidszorg bundelt ze webtoepassingen via de portaalsites eHealth.fgov.be en MijnGezondheid.be^[3]. Smals beschikt over twee grote datacenters, aangevuld met een derde back-updatacenter bij een van haar leden^[18].

Basisdiensten van het eHealth-platform

Smals beschrijft op de projectfiche van de eHealth-basisdiensten dat het eHealth-platform zelf geen inhoudelijke gegevensbanken of netwerkinfrastructuren beheert, maar basisdiensten aanbiedt die actoren en hun ICT-dienstverleners gratis kunnen gebruiken^[22]. Het eHealth-platform noemt Smals zelf een van zijn voornaamste verwerkers van persoonsgegevens^[23]. Voor zeer kritieke diensten, zoals de basisdiensten van het eHealth-platform, koos Smals voor een volledig autonome High Availability-infrastructuur^[3]. Op vraag van het eHealth-platform zette Smals een statuswebsite op, onafhankelijk van de eigen infrastructuur, voor incidenten en geplande interventies^[3]. Bij de storing van 11 augustus 2026 vermeldde die statuswebsite Smals als lead; onder meer IAM, eHealthBox, Metahub, TherLink, Recip-e en Vitalink FHIR waren getroffen^[24]. Volgens Smals zorgt het eHealth-platform voor meer dan 19 miljard elektronische transacties per jaar^[3].

Smals Research, volgens Smals een team van een tiental onderzoekers^[18], werkte de generieke pseudonimiseringsdiensten uit die de hoeksteen vormen van een basisdienst van het eHealth-platform voor de medische sector^[3]; zie Pseudonimiseringsdiensten van het eHealth-platform. Smals stelt dat het pseudonimisering als extra beschermingslaag invoerde en de onderliggende G-Cloudinfrastructuur permanent beschikbaar helpt houden^[25].

Voor de eHealthBox meldt Smals dat het aantal berichten tussen 2013 en 2020 vertienvoudigde tot meer dan 600.000 per dag, waarna een nieuwe architectuur, eHealthBox HC, in productie ging^[19]. Die oplossing is opgesplitst in microservices, met zware bijlagen apart opgeslagen^[19].

Elektronisch voorschrift en medicatie

Smals host Recip-e sinds eind 2022 op een hoogbeschikbaar platform en is sinds midden 2024 ook verantwoordelijk voor de applicatie zelf^[5]; volgens de Recip-e-roadmap ging het applicatieteam op 14 oktober 2024 over naar Smals^[16]. In 2025 werkte Smals voor het RIZIV aan de omzetting van Recip-e naar FHIR, met het oog op Europese interoperabiliteit^[3].

Op zijn eigen projectfiche beschrijft Smals UHMEP als een gecentraliseerde oplossing voor het beheer van zorgvoorschriften en -voorstellen, met het RIZIV als instelling^[20]. Smals rekent op ongeveer 300 miljoen voorschriften per jaar in UHMEP; dat is een verwachting, geen gemeten volume^[20]. Het Smals-project eReferral (digitaal verwijsvoorschrift) stond in 2025 in pilootfase, met een eerste fase voor voorschriften voor thuisverpleging^[3]; zie eReferral: uitrol, pilots en registratie. Voor Prescription Search Support bouwde Smals in 2025 webcomponenten en een FHIR-API, die volgens het activiteitenverslag vanaf 2026 aan zorgverleners worden aangeboden en in het EPD geïntegreerd (aankondiging)^[3].

In 2025 werd de SAM-databank, een Smals-project voor het RIZIV, gemigreerd van de High Availability-omgeving naar de publieke cloud (Microsoft Azure)^[3]; zie SAM v2 – Authentieke Bron Geneesmiddelen. De Smals-infrastructuur HavanaH, met het RIZIV als opdrachtgever, is volgens de projectfiche bedoeld om hoogkritische systemen zoals SAMv2, VIDIS en (aangekondigd) UHMEP te hosten^[8]. Sinds 2025 kunnen partners VIDIS via webcomponents integreren, een Smals-project voor het RIZIV^[3].

Vlaamse zorg en zorgbehoefte

Voor het Departement Zorg staat Vitalink FHIR in het activiteitenverslag 2025 als live project: de migratie naar FHIR laat Zorg Vlaanderen de gegevens beter exploiteren^[3]. Volgens Smals bevat Vitalink informatie over ruim 4,5 miljoen Vlaamse patiënten, met pieken van 8000 transacties per minuut^[3]. Een oudere Smals-fiche, met cijfers van begin 2018, situeerde Vitalink op G-Cloud PAAS Greenshift^[26]. Smals ontwikkelde Vaccinnet 2.0, het bestel- en registratiesysteem voor vaccins van de Vlaamse overheid, met opslag in de Vitalink-databank^[3]. De Zorgteam-toepassing van Smals ondersteunt het Vlaamse platform ALIVIA^[3]. Smals herwerkte het Gemeenschappelijk Klantenbestand (status 'In acceptatie'), met ongeveer 40.000 zorgvoorzieningen, een centrale bron voor CoBRHA en CoBRHA+^[3].

Voor de FOD Volksgezondheid ontwikkelt Smals BelRAI 2.0; in 2025 startte een studie om BelRAI-gegevens 'vanuit alle federale entiteiten uit te wisselen voor elke Belgische burger'^[3].

Integratie en softwareregistratie

Volgens het activiteitenverslag 2025 heeft medische software die oplossingen van het RIZIV, de FOD Volksgezondheid of het eHealth-platform integreert, sinds eind 2024 een validatie van het Healthcare Registration-team nodig om een officiële certificering te krijgen^[3]. Voor de VIDIS-registratie loopt het traject via Smals of via Vitalink, afhankelijk van de regionale kluis waarmee het pakket integreert^[27]; software die het Vitalink-audittraject doorliep, hoeft voor VIDIS geen afzonderlijke audit meer af te leggen^[27]. Voor de registratietests van eReferral en PSS Radiologie bezorgt Smals, door het RIZIV 'onze partner' genoemd, na inschrijving de praktische informatie^[28]. Naast de connectoren van het eHealth-platform publiceert Smals op GitHub open-sourcebibliotheken, zoals pseudonimiseringshulpen voor Java en .NET en webcomponenten^[29]; zie eHealth-connectoren (eHealth platform services connectors). De pseudonimiseringsbibliotheek verblindt het identificatienummer vóór de aanroep van de pseudonimiseringsdienst, zodat die dienst zelf nooit een patiëntidentificator ziet^[30].

Stand per programma volgens de meest recente bron.

Wie beheert het

De statuten die gelden, zijn die van de buitengewone algemene vergadering van 15 juni 2022, met een wijziging van artikel 4:4 (intern reglement) door het bestuursorgaan op 21 februari 2024^[4]. In de Bijlagen bij het Belgisch Staatsblad verschenen statutenwijzigingen op 5 augustus en 29 december 2022^[33]. Voor al wat de statuten niet regelen, verwijzen ze naar het Wetboek van vennootschappen en verenigingen (WVV)^[4]; dat de statuten van 2022 de vzw aan het WVV aanpasten, is een interpretatie^[4]. De statuten laten Smals toe samen te werken met of deel te nemen in verenigingen of vennootschappen die haar doel bevorderen^[4].

Leden. Het lidmaatschap is gratis, onverminderd een bijdrage in de kosten naargelang de geleverde diensten^[4]. Aanvragen gaan naar de gedelegeerd bestuurder, die voorlopig beslist in afwachting van de bekrachtiging door de algemene vergadering^[34]. In de algemene vergadering heeft elk lid één stem, maar de stemmen wegen per categorie; bij staking van stemmen beslist de voorzitter^[4].

Een eigen telling van de ledenlijst op de website komt op 15 leden in categorie A, ongeveer 134 in B en ongeveer 197 in C^[9]. Volgens het Rekenhof hebben in de praktijk enkel leden van categorie A en B toegang tot alle Smals-diensten; leden van categorie C gebruiken Smals alleen voor informatieveiligheid, volgens Smals een strategische keuze^[6].

Organen. Volgens Smals houden de leden toezicht op Smals via de algemene vergadering, het bestuursorgaan, het strategisch comité en het auditcomité^[35]. Het bestuursorgaan, voorheen de Raad van Bestuur, handelt collegiaal^[36].

Zetelverdeling in het bestuursorgaan. De statuten verdelen de maximaal 25 zetels naar voordragende partij^[4].

De bestuurderslijst op de website vermeldt per bestuurder de instelling, niet de voordragende partij; welke bestuurder op welke zetel zit, is er dus niet uit af te lezen. Het voorzitterschap ligt bij een bestuurder uit de RSZ^[36], de gedelegeerd bestuurder komt uit de KSZ^[36] en het Departement Zorg heeft een eigen bestuurder^[36]. Volgens een eigen lezing van de lijst komen de bestuurders uit de RSZ (drie, onder wie voorzitter en ondervoorzitter), de KSZ, de HZIV, de RJV, de HVW, het RIZIV, Sigedis, Fedris, de FPD, het Departement Zorg, het RSVZ, de RVA, de POD Maatschappelijke Integratie en Egov Select, plus een bestuurder voorgedragen door de minister van Sociale Zaken en Volksgezondheid; het eHealth-platform en de FOD Volksgezondheid hebben er geen eigen bestuurder^[36]. Dat zijn 17 mandaten; het activiteitenverslag 2025 vermeldt daarnaast een bestuurder voorgedragen door de minister van Begroting^[3].

Opdrachten van leden worden vastgelegd in Algemene Samenwerkingsmodaliteiten (ASM) en, per project, dienst of detachering, in Bijzondere Samenwerkingsmodaliteiten (BSM)^[3]. Op de eigen toegevoegde waarde, vooral prestaties van eigen personeel, rekent Smals geen btw aan; op aankopen betaalt ze niet-aftrekbare btw^[3]. Smals en Egov Select werven IT-medewerkers met een arbeidsovereenkomst aan die ze ter beschikking stellen van hun leden (detachering)^[7].

Cijfers met Smals als bron zijn eigen opgaven van de organisatie. Het aandeel van de gezondheidszorg in de omzet staat niet in de geraadpleegde bronnen: het Rekenhof splitst enkel naar socialezekerheidsinstellingen, federale administraties en andere leden^[6].

Wettelijke basis

Leden van een vereniging volgens artikel 17bis kunnen haar werken inzake informatiebeheer en informatieveiligheid toevertrouwen, en haar gespecialiseerd personeel kan bij de leden worden tewerkgesteld^[14]. De wet van 21 augustus 2008 tot oprichting van het eHealth-platform voegde dat platform toe aan de instanties die zich zo mogen verenigen^[14]; ook het KCE staat in de opsomming^[14].

Smals beschrijft het in-house-principe als het toevertrouwen van werk aan een eigen afdeling binnen één grote organisatie, zonder aanbesteding, met verwijzing naar artikel 12 van Richtlijn 2014/24/EU^[39]. Dat artikel laat gunning zonder toepassing van de richtlijn toe als aan elk van drie voorwaarden is voldaan^[40]: de aanbestedende diensten oefenen samen toezicht uit op de rechtspersoon zoals op hun eigen diensten^[40], meer dan 80 procent van haar activiteiten bestaat uit taken die die diensten haar toewijzen^[40], en er is geen directe participatie van privékapitaal in de rechtspersoon^[40]. Volgens Smals valt de dienstverlening daardoor onder artikel 30 van de wet overheidsopdrachten van 17 juni 2016^[35]. Omgekeerd is Smals zelf een aanbestedende overheid en plaatst ze een overheidsopdracht voor elke behoefte die ze niet intern kan invullen^[35]. Een samenwerkingsprotocol met de Inspectie van Financiën over bestellingen via de aankoopcentrale werd in december 2021 positief geëvalueerd en voor onbepaalde duur verlengd^[3].

Het Grondwettelijk Hof oordeelde op 30 oktober 2012, op een prejudiciële vraag in een geschil van een inschrijver tegen Smals over een overheidsopdracht, dat artikel 14 van de wetten op de Raad van State samen gelezen met artikel 17bis van de KSZ-wet de artikelen 10 en 11 van de Grondwet niet schendt^[14].

Het wetsontwerp DOC 56 1449 vulde artikel 17bis, § 3, aan zodat de vereniging opleidingen mag organiseren voor haar eigen personeel en dat van de leden^[11]; de Kamer nam het op 11 juni 2026 aan, de wet dateert van 28 juni 2026^[17]. In haar advies stelde de Gegevensbeschermingsautoriteit (GBA) Smals tegenover de vzw EGov, die gericht lijkt op rekrutering en terbeschikkingstelling van technisch personeel: Smals ontplooit veel ruimere activiteiten^[11]. De GBA vond het vanuit gegevensbescherming coherenter om alle activiteiten van de verenigingen op het vlak van informatiebeheer en -veiligheid te preciseren^[11].

Toezicht en kritiek van het Rekenhof

Smals is geen instelling van publiek recht, maar wordt volgens Smals wel door het Rekenhof gecontroleerd^[38]; het Rekenhof staat zelf op de ledenlijst in categorie C^[9].

In juli 2009 onderzocht het Rekenhof of er een afdoende juridische grondslag is voor opdrachten van de openbare instellingen van sociale zekerheid aan Smals en hoe het toezicht georganiseerd is, en formuleerde het aanbevelingen over toezicht en transparantie^[15]. Het verslag werd op 17 november 2009 in de Kamercommissie Sociale Zaken behandeld en leidde tot 25 parlementaire vragen^[15].

De Rekenhofaudit over consultancy bij de federale overheid (november 2025) analyseerde ook Smals en Egov als terbeschikkingstellers van IT-specialisten en de IT-raamakkoorden die Smals als aankoopcentrale plaatste^[7]. De bevindingen zijn deels positief en deels kritisch; de kritiek op strategie en omkadering richt zich op de federale organisaties die Smals inschakelen^[6].

Volgens het activiteitenverslag 2025 zette Smals in 2025 in op minder externe IT-specialisten, om twee redenen: het federale regeerakkoord legt de leden budgettaire beperkingen op met een striktere controle op het gebruik van externe consultancy^[3], en het strategisch comité van Smals besliste dat IT-kerncompetenties zoveel mogelijk gecentraliseerd en geïnternaliseerd moeten worden^[3]. Voor 2025 werd die vermindering verankerd in de strategische doelstellingen van Smals^[3].

• Geen rechtstreekse klantrelatie: volgens Smals levert ze uitsluitend aan haar leden^[1]; een ziekenhuis gebruikt Smals-diensten onrechtstreeks via het eHealth-platform, het RIZIV, de FOD Volksgezondheid of het Departement Zorg (interpretatie op basis van de ledenregel).
• Beschikbaarheid: storingen en geplande interventies verschijnen op de statuswebsite die Smals voor het eHealth-platform opzette^[3]; één Smals-incident kan basisdiensten, Recip-e en Vitalink FHIR tegelijk raken^[24].
• Softwarecertificering: wie eigen software of een EPD met RIZIV-, FOD- of eHealth-oplossingen integreert, heeft volgens het activiteitenverslag 2025 een validatie van Healthcare Registration nodig om een officiële certificering te krijgen^[3]; voor de registratietests van eReferral en PSS Radiologie bezorgt Smals de praktische informatie^[28].
• Voorschrijven en medicatie: Recip-e, UHMEP, PSS en de SAM-databank, die ook ziekenhuisvoorschrijvers raken, worden door Smals gebouwd of gehost^[5][20][3].
• Vlaamse ziekenhuizen: Vitalink FHIR en Vaccinnet 2.0 zijn Smals-projecten voor het Departement Zorg^[3].
• Aanbeveling (eigen): volg de GitHub-releases en de statuswebsite van Smals als vroege signalen voor wijzigingen aan voorschrift- en medicatiediensten.

• Oprichtingsdatum: Smals noemt 12 april 1939 (voorlopige vereniging)^[10], de KBO 10 februari 1940 als begindatum van de vzw^[12]; vermoedelijk feitelijke start tegenover rechtspersoonlijkheid, maar een oprichtingsakte werd niet gevonden.
• Auditcomité: de website noemt zes leden van het bestuursorgaan en drie externe leden^[38], het activiteitenverslag 2025 vier en drie^[3].
• Aantal bestuurders: het activiteitenverslag noemt twee door ministers voorgedragen bestuurders (Sociale Zaken en Volksgezondheid, Begroting)^[3], de bestuurderslijst op de website maar één, voor Sociale Zaken en Volksgezondheid^[36]; de lijsten tellen zo 18 tegenover 17 mandaten.
• SAM en HavanaH: de HavanaH-fiche noemt SAMv2 als gehost systeem en UHMEP als aangekondigd^[8], terwijl SAM in 2025 naar Azure migreerde^[3] en eReferral in pilootfase stond^[3]; de fiche lijkt verouderd.
• Healthcare Registration en het software-register: of het Smals-team dezelfde dienst is als het Software Register (eHealth-platform) van het eHealth-platform, is niet bevestigd^[3].
• MyCareNet: een rol van Smals bij MyCareNet werd niet gevonden; de statuswebsite vermeldt bij MyCareNet-incidenten CIN-NIC als lead^[41].
• Eigen cijfers: de 19 miljard transacties van het eHealth-platform^[3], de G-Cloudbesparing^[13] en het Vitalink-volume^[3] zijn cijfers van Smals zelf, zonder externe controle.