36 825 Wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88)

Nr. 7 NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 24 april 2026

Inhoudsopgave

I.	Algemeen deel		2
1.	Inleiding		2
	1.1.	Aanleiding wetsvoorstel	3
	1.2.	Categorieën van gezondheidsinformatie	6
	1.3.	Doel wetsvoorstel	8
2.	Implementatiewetgeving		9
	2.1.	European Health Data Space	9
3.	Hoofdlijnen van het wetsvoorstel		11
	3.1.	Probleemomschrijving	11
	3.2.	Oplossingsrichting	12
	3.3.	Instrumentkeuze	21
	3.4.	Reikwijdte wetsvoorstel	21
4.	Verhouding tot hoger recht		25
	4.1.	Bescherming persoonlijke levenssfeer en gegevensbescherming	25
	4.2.	EVRM	28
	4.3.	Grondwet (Gw)	28
	4.4.	EHDS-verordening	29
5.	Verhouding tot nationale regelgeving		29
	5.1.	Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)	29
	5.2.	Wet op de geneeskundige behandelingsovereenkomst (WGBO) en Wet op de beroepen in de individuele gezondheidszorg (Wet BIG)	29
	5.3.	Wet aanvullende bepalingen Burgerservicenummer (Wabb)	29
	5.4.	Wet elektronische gegevensuitwisseling in de zorg (Wegiz)	29
	5.5.	Verhouding met andere nationale programma’s en initiatieven	29
6.	Effecten van het Wetsvoorstel		29
	6.1.	Gevolgen voor zorgaanbieders en zorgverleners F	29
	6.2.	Gevolgen voor burgers	30
	6.3.	Gevolgen voor IT-leveranciers en -dienstverleners	31
	6.4.	Gevolgen voor de overheid	31
	6.5.	Gevolgen voor de gegevensbescherming (DPIA)	31
	6.6.	Effecten op de arbeidsmarkt	31
	6.7.	Fraude	32
7.	Financiële gevolgen en regeldruk		32
	7.1.	Overheid	32
	7.2.	Zorgaanbieders	32
	7.3.	Cliënten	32
	7.4.	Effecten regeldruk	32
8.	Uitvoering		33
9.	Toezicht en handhaving		33
10.	Advies en consultatie		33
	10.1.	Internetconsultatie	33
	10.2.	Uitvoeringstoets CIBG	34
	10.3.	Toets Autoriteit Persoonsgegevens	34
	10.4.	Toets Adviescollege toetsing regeldruk (ATR)	34
II.	Artikelsgewijze toelichting		34

Met interesse heb ik kennisgenomen van het verslag van de vaste commissie voor Volksgezondheid, Welzijn en Sport over het onderhavige wetsvoorstel. Ik dank de fracties van VVD, GroenLinks-PvdA, CDA, SGP en SP. Het heeft mij verheugd dat de commissie, onder het voorbehoud dat de gestelde vragen en gemaakte opmerkingen voldoende zullen worden beantwoord, de openbare behandeling van het wetsvoorstel genoegzaam voorbereid acht. Hieronder zal ik nader ingaan op de gestelde vragen. Dit doe ik in de volgorde van het door de commissie uitgebrachte verslag. In deze nota zijn de vragen en opmerkingen uit het verslag integraal opgenomen in cursieve tekst en de beantwoording daarvan in gewone typografie.

I. Algemeen deel

1. Inleiding

De leden van de D66-fractie hebben met interesse kennisgenomen van het wetsvoorstel Wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88). Genoemde leden hebben op dit moment geen vragen aan de regering.

De leden van de VVD-fractie hebben kennisgenomen van voornoemde wetsvoorstel. Genoemde leden hebben daarover nog de volgende opmerking en vragen.

De leden van de GroenLinks-PvdA-fractie hebben kennisgenomen van de Wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88). Deze leden onderschrijven het doel van betere zorggegevensuitwisseling wat ten goede komt aan betere zorg. De huidige situatie waarbij het vaak niet mogelijk is om relevante gezondheidsgegevens uit te wisselen is onwenselijk voor zowel patiënt als zorgverlener. De voorgenoemde leden hebben nog een aantal vragen en opmerkingen.

De leden van de CDA-fractie hebben met interesse kennisgenomen van het wetsvoorstel. Zij hebben nog enkele vragen.

De leden van de JA21-fractie hebben kennisgenomen van de wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88). Deze leden hebben geen verdere vragen of opmerkingen aan de regering.

De leden van de BBB-fractie hebben kennisgenomen van de wijziging van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg in verband met Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (PbEU 2011, L 88). Genoemde leden hebben geen vragen aan de regering.

De leden van de SGP-fractie hebben met belangstelling kennisgenomen van het wetsvoorstel. Zij constateren dat de reikwijdte van de voorgestelde wetswijziging zich beperkt tot de borging van de wettelijke taak en de grondslag voor een rechtmatige verwerking van persoonsgegevens via het nationale contactpunt voor e-health (NCPeH-NL). Deze leden hebben hierover nog een aantal vragen.

De leden van de SP-fractie hebben kennisgenomen van het wetsvoorstel en hebben hier nog enkele vragen en opmerkingen over.

1.1. Aanleiding wetsvoorstel

De leden van de GroenLinks-PvdA-fractie lezen dat het gebrek aan interoperabiliteit tussen lidstaten zorgt voor obstakels. Hoewel zij deze aanname volgen, vragen zij de regering om te kwantificeren of onderbouwen hoe groot het verlies aan productiviteit en gezondheid in de huidige situatie is ten opzichte van de situatie als systemen wel interoperabel zijn.

Het huidige gezondheidsinformatiestelsel schiet tekort in het aanpakken van zowel de huidige als toekomstige uitdagingen binnen de zorg op het terrein van gegevensuitwisseling. Voor het leveren van goede en doelmatige zorg die ook onnodige ziekenhuis opnames voorkomt, is nationale en grensoverschrijdende elektronische gegevensuitwisseling voor zorg en welzijn randvoorwaardelijk.

De te verwachten opbrengsten van verbeterde interoperabiliteit voor productiviteit en gezondheid zijn naar verwachting groot, maar lastig te kwantificeren. In een impactanalyse van de Europese Commissie wordt geschat dat MyHealth@EU, in een grensoverschrijdende context, kan leiden tot 1,9 tot 2,8 miljard euro aan besparingen op het gebied van interstatelijke uitwisseling van voorschriften (ePrescriptions) en dat 19 tot 75 miljoen euro extra kan worden bespaard door alleen al de uitwisseling van medische beelden.¹

De leden van de GroenLinks-PvdA-fractie lezen dat het Nederlandse contactpunt, gefaciliteerd vanuit de EU maar zonder Europeesrechtelijke verplichting, sinds 2022 operationeel is en dat op dit moment elektronische recepten, elektronische verstrekkingen en bepaalde patiëntsamenvattingen kunnen worden uitgewisseld. Kan worden toegelicht in hoeverre het systeem functioneel is en in hoeverre het naar behoren functioneert?

De aansluiting en uitwisseling van de categorieën gezondheidsinformatie vindt plaats op basis van de Richtlijn (EU) 2011/24 van het Europees Parlement en de Raad van 9 maart 2011 betreffende de toepassing van de rechten van patiënten bij grensoverschrijdende gezondheidszorg (Richtlijn 2024/11/EU) en is op dit moment nog vrijwillig. Het Nederlandse contactpunt (NCPeH-NL) is sinds 2022 operationeel en in beheer bij het CIBG. Het NCPeH-NL ondersteunt de ontvangst van de patiëntsamenvatting vanuit een andere lidstaat voor verstrekking aan een Nederlandse zorgaanbieder ten behoeve van de zorgverlening aan een uit het buitenland afkomstige patiënt. Deze uitwisseling functioneert naar behoren en kan op dit moment worden gedaan in twee Nederlandse ziekenhuizen die gebruik maken van het NCPeH-NL. Er kan een patiëntsamenvatting worden opgevraagd van een patiënt uit: Cyprus, Tsjechië, Estland, Spanje, Frankrijk, Kroatië, Ierland, Luxemburg, Letland, Malta, Noorwegen en Portugal.

De Verordening betreffende de Europese ruimte voor gezondheidsgegevens (EHDS-verordening)² verplicht het aanwijzen, inrichten en operationeel hebben van een nationaal contactpunt per 26 maart 2029. Per die datum moet het NCPeH-NL patiëntsamenvattingen, elektronische recepten en elektronische verstrekkingen kunnen uitwisselen. Mijn ministerie werkt momenteel aan de uitbreiding van de dienstverlening van het NCPeH-NL, zodat patiëntsamenvattingen van Nederlandse burgers bij huisartsen kunnen worden opgehaald en naar buitenlandse zorgaanbieders kunnen worden verzonden met het oog op zorgverlening aan Nederlanders in het buitenland. Livegang van deze uitwisseling kan plaatsvinden na de inwerkingtreding van dit wetsvoorstel.

Binnen Nederland sluiten huidige informatiesystemen van zorgverleners ook niet altijd goed op elkaar aan wat ten koste gaat van goede gegevensuitwisseling van zorgdossiers. De leden van de GroenLinks-PvdA-fractie vragen of en in hoeverre e-health (NCPeH-NL) ook kan bijdragen aan goede gegevensuitwisseling binnen Nederland? Zo nee, waarom niet? Welke lessen kunnen er worden getrokken uit dit Europese systeem?

Het NCPeH-NL is een organisatorische en technische toegangspoort voor digitale grensoverschrijdende uitwisseling van gezondheidsinformatie en speelt daarom niet direct een rol bij de gegevensuitwisseling tussen zorgverleners in Nederland. Niettemin kan de deelname met het NCPeH-NL aan de MyHealth@EU-infrastructuur bijdragen aan het verbeteren van gegevensuitwisseling binnen Nederland. De uitwisseling van gegevens door het NCPeH-NL via de MyHealth@EU-infrastructuur vindt namelijk plaats op basis van standaarden. Door het gebruik van deze standaarden kan de dataschikbaarheid ook in Nederland worden verbeterd. Daarnaast dienen voor het mogelijk maken van grensoverschrijdende gegevensuitwisseling vanuit Nederland gegevens vanuit verschillende bronnen te worden samengebracht. Inspanningen die in dit kader worden geleverd kunnen bijdragen aan de ontwikkeling van oplossingen ter verdere verbetering van elektronische gegevensuitwisseling in Nederland.

De leden van de CDA-fractie vragen of de regering iets meer kan toelichten hoe de gegevensuitwisseling in internationaal verband nu precies in de praktijk werkt, aangezien zij begrijpen dat het National Contactpoint for Digital Health (NCPeH) al sinds 2022 operationeel is. Ook vragen deze leden hoe vaak gebruik wordt gemaakt van NCPeH-NL door Nederlandse zorgverleners.

De technische implementatie voor het opvragen van gegevens uit het buitenland via het NCPeH-NL door zorgverleners in Nederland is in 2022 voltooid en ondergebracht bij het CIBG. In de praktijk kan vanaf dat moment een patiëntsamenvatting van een cliënt uit een andere lidstaat opgevraagd worden ten behoeve van de zorgverlening in Nederland. De Nederlandse zorgverlener kan hiervoor gebruik maken van het NCPeH-NL portaal. Het NCPeH-NL verstuurt de aanvraag naar het betreffende contactpunt in de andere lidstaat en ontvangt, indien beschikbaar, een patiëntsamenvatting van de cliënt. In paragraaf 3.2.3 van de memorie van toelichting is een uitgebreide toelichting op alle processtappen beschreven.

De aansluiting op MyHealth@EU voor het opvragen van gegevens uit het buitenland vond initieel in een pilot plaats met twee Nederlandse ziekenhuizen (Saxenburgh Medisch Centrum en ZorgSaam Ziekenhuis De Honte). Zorgverleners uit deze ziekenhuizen kunnen via het NCPeH-NL patiëntsamenvattingen opvragen van cliënten uit twaalf lidstaten. De zorgverleners uit deze twee ziekenhuizen hebben het NCPeH-NL tot dusver drie keer bevraagd.

De hiervoor beschreven uitwisseling vindt plaats op basis van toestemming. Allereerst gaat het hier om de toestemming van de cliënt uit een andere lidstaat aan de zorgverlener in Nederland om zijn (gezondheids)gegevens met het NCPeH-NL te delen teneinde een patiëntsamenvatting op te vragen. Dit is de grondslag voor doorbreking van het medisch beroepsgeheim. Daarnaast betreft het de toestemming aan het NCPeH-NL om die gegevens te mogen verwerken en te delen met het nationale contactpunt in de andere lidstaat. Hoewel de grondslag toestemming vanwege de ongelijke machtsverhouding tussen burger en overheid niet de meest ideale is, wordt deze – in afwachting van een wettelijke taak voor het NCPeH-NL en de grondslag om in dat kader (gezondheids)gegevens te mogen verwerken – tijdelijk acceptabel geacht, omdat de uitwisseling via het NCPeH-NL op dit moment in zeer beperkte mate plaatsvindt. Met dit wetsvoorstel worden die wettelijke taak en grondslag voor het NCPeH-NL gecreëerd om (gezondheids)gegevens te mogen verwerken. De hiervoor beschreven toestemming aan het NCPeH-NL is dan dus niet langer vereist. De toestemming van de cliënt aan de Nederlandse zorgaanbieder om gegevens te mogen delen met het NCPeH-NL blijft wel vereist.

Er kunnen op dit moment nog geen gegevens over cliënten uit Nederland via het NCPeH-NL worden verzonden naar het buitenland. Ik werk momenteel aan de technische implementatie hiervan. Voordat daadwerkelijke uitwisseling mogelijk is, is vereist dat de taak tot het beheer van het NCPeH-NL en de grondslagen om in dat verband (gezondheids)gegevens te mogen verwerken bij wet zijn geregeld. Het wetsvoorstel voorziet hierin.

De leden van de CDA-fractie vragen verder hoe ver andere Europese lidstaten hiermee zijn.

Van de dertig lidstaten³ die deel mogen nemen aan het MyHealth@EU-netwerk, zijn dertien andere landen live met een nationaal contactpunt voor één of meer categorieën gezondheidsinformatie. Dat zijn Cyprus, Tsjechië, Estland, Spanje, Frankrijk, Kroatië, Ierland, Luxemburg, Letland, Malta, Noorwegen, Portugal en Griekenland. Van de andere zeventien lidstaten wordt verwacht dat zij in de komende drie jaar live gaan met een nationaal contactpunt. De EHDS-verordening stelt namelijk 26 maart 2029 als deadline voor het aanwijzen, inrichten en operationeel hebben van een nationaal contactpunt. Dan moeten alle lidstaten zijn aangesloten op het MyHealth@EU-netwerk en elektronische recepten, elektronische verstrekkingen en patiëntsamenvattingen grensoverschrijdend kunnen uitwisselen. Het grootste deel van de nog niet aangesloten lidstaten heeft momenteel een programma lopen om een nationaal contactpunt in te richten.

De leden van de SGP-fractie vragen de regering nader toe te lichten wat precies wordt bedoeld met grensoverschrijdende zorg. Zijn dat bijvoorbeeld ook behandelingen door private zorgverleners? De focus van het voorstel lijkt vooral gelegen in acute en spoedeisende zorg. Gaat grensoverschrijdende zorg ook over geplande zorg, zoals een operatie of andere behandeling?

Onder grensoverschrijdende gezondheidszorg wordt verstaan de gezondheidszorg die in een andere lidstaat wordt verleend of voorgeschreven, waarbij als gezondheidszorg worden gezien de diensten die worden verstrekt om de gezondheidstoestand van een cliënt te beoordelen, te behouden of te herstellen, waaronder begrepen het voorschrijven en het verstrekken van geneesmiddelen en medische hulpmiddelen. Het moet dan gaan om dienstverlening door een arts, verpleegkundige, tandarts, verloskundige, apotheker, een andere beroepsbeoefenaar die werkzaamheden in de gezondheidszorg verricht die behoren tot een gereglementeerd beroep⁴ of iemand die krachtens de wetgeving van de lidstaat waar de behandeling plaatsvindt als zorgverlener wordt aangemerkt. Dit betekent dat grensoverschrijdende zorg ziet op zowel geplande als ongeplande zorg en – afhankelijk van de wetgeving in de betrokken lidstaat – tevens betrekking kan hebben op behandelingen bij private zorgverleners.

Gelet op het feit dat het op dit moment mogelijk is via het NCPeH-NL patiëntsamenvattingen uit andere lidstaten op te vragen en er wordt gewerkt aan de mogelijkheid patiëntsamenvattingen naar andere lidstaten te versturen, ligt de nadruk op dit moment en in de nabije toekomst inderdaad op de acute zorg.

1.2. Categorieën van gezondheidsinformatie

De leden van de GroenLinks-PvdA-fractie lezen dat in eerste instantie alleen elektronische recepten, verstrekkingen en patiëntensamenvattingen uitgewisseld worden via het MyHealth@EU-netwerk. Kan de regering duidelijker uitleggen welke informatie in een samenvatting staan?

De patiëntsamenvatting is een set gegevens met essentiële en begrijpelijke informatie over de gezondheid van de cliënt die nodig is om veilige en betrouwbare gezondheidszorg te geven. De informatie in de patiëntsamenvatting is vooral bedoeld om zorgverleners te ondersteunen bij het verlenen van ongeplande (spoed)zorg, maar kan ook worden gebruikt voor geplande zorg. De specificaties van de patiëntsamenvatting zijn op Europees niveau vastgesteld in de Patient Summary Guidelines (meest actuele versie, 3.4 van november 2024).⁵

De richtlijnen geven een opsomming van de essentiële patiëntgegevens die in een patiëntsamenvatting kunnen worden opgenomen, waarbij een aantal gegevens verplicht is. Voor het samenstellen van de Nederlandse patiëntsamenvatting heb ik aansluiting gezocht bij de gegevens uit een bestaande informatiestandaard, te weten de Spoedsamenvatting uit de informatiestandaard Acute Zorg. De gegevens uit de Spoedsamenvatting komen voor een groot deel overeen met de gegevens uit de Patient Summary Guidelines. Parallel hieraan werk ik toe naar een volledige patiëntsamenvatting die voldoet aan de Europese vereisten. In de informatiestandaard voor de Spoedsamenvatting staan de volgende gegevens opgenomen:

• allergieën en intoleranties;

• contra-indicaties voor medicatie;

• medische aandoeningen: lijst van actuele aandoeningen en diagnoses en overige relevante aandoeningen;

• voorgeschreven medicatie: actuele voorgeschreven medicatie en overige relevante medicatie;

• gegevens patiënt: burgerservicenummer, voornamen, achternaam, geboortedatum, geslacht, adres;

• gegevens zorgverlener: voornamen, achternaam, adres, telefoonnummer, e-mailadres;

• laboratoriumuitslagen en meet-uitslagen.

De leden van de GroenLinks-PvdA-fractie vragen hoe in de samenvattingen de principes van dataminimalisatie en doelbinding worden toegepast, zodat alleen de puur noodzakelijke informatie wordt uitgewisseld voor een helder afgekaderd doel? Krijgt een tandarts bijvoorbeeld alleen de informatie te zien die relevant is voor het werk binnen diens specifieke behandelrelatie, zoals gegevens over eerder verleende mondzorg?

De bestaande wettelijke kaders, zoals de Algemene Verordening Gegevensbescherming (AVG), blijven onverkort gelden. Dit betekent dat zorgaanbieders en zorgverleners in alle lidstaten zich moeten houden aan de AVG-beginselen zoals doelbinding en dataminimalisatie. Een zorgverlener mag op basis hiervan gezondheidsgegevens alleen verwerken voor zover dat noodzakelijk is voor de behandeling van de cliënt. Daarnaast moet de informatie die wordt verwerkt voor dit doel beperkt blijven tot alleen die informatie die nodig is voor de behandeling. Dit wetsvoorstel verandert niets aan deze bestaande waarborgen.

De patiëntsamenvatting bevat basisinformatie die essentieel is voor zorgaanbieders in een andere lidstaat om veilig en verantwoorde zorg te kunnen bieden. Zoals eerder vermeld wordt voor de Nederlandse patiëntsamenvatting aansluiting gezocht bij een bestaande informatiestandaard, te weten de Spoedsamenvatting uit de informatiestandaard Acute Zorg. Deze standaard bevat gegevens waarvan door betrokkenen uit het Nederlandse zorgveld wordt geacht dat dit noodzakelijke gegevens zijn in geval van een ongeplande (spoed)behandeling. Daarmee wordt aangesloten bij het beginsel van dataminimalisatie. De gegevens uit de Spoedsamenvatting komen voor een groot deel overeen met de gegevens uit de Europese patiëntsamenvatting.

In het door de leden geschetste voorbeeld zal de tandarts dus een patiëntsamenvatting ontvangen waarin gegevens staan die noodzakelijk worden geacht ingeval van een ongeplande (spoed)behandeling, hetgeen meer zal omvatten dan enkel gegevens aangaande mondzorg.

De leden van de CDA-fractie vragen met welke categorieën gezondheidsgegevens het MyHealth@EU-netwerk wordt uitgebreid en wanneer. Ook vragen zij wat precies het stappenplan hierin is voor Nederland. Deze leden vragen verder waarom ePrescription/eDispensation nog niet door Nederland is geïmplementeerd en wanneer dit naar verwachting wel is geregeld.

Het MyHealth@EU-netwerk ondersteunt de uitwisseling van de categorieën gezondheidsinformatie patiëntsamenvattingen (Patient summary), elektronische recepten (ePrescription) en elektronische verstrekkingen (eDispensation) en lab uitslagen (Lab Results). Vanaf oktober 2026 zullen ook de categorieën ontslagverslagen (Hospital Discharge Report) en beeld (Image Reports) worden opgenomen.

In 2018 is bij het inrichten van het NCPeH-NL besloten om in eerste instantie alleen aan te sluiten voor het ontvangen van de patiëntsamenvatting vanuit een andere lidstaat voor verzending naar een Nederlandse zorgaanbieder. Hierna is in 2020 is met een behoeftepeiling in het zorgveld onderzocht aan welke categorie gezondheidsinformatie voor grensoverschrijdende gegevensuitwisseling het meest expliciete behoefte was. Het verzenden van de patiëntsamenvatting van Nederlandse burgers aan zorgaanbieders in het buitenland kwam hieruit naar voren. Dit vanwege het belang van de daarin opgenomen gegevens voor de kwaliteit in een groot aantal situaties. Daarom is gekozen eerst de verzending van patiëntsamenvattingen naar andere lidstaten te implementeren. Binnen mijn ministerie wordt gewerkt aan de realisatie hiervan. Livegang van deze uitwisseling kan plaatsvinden na inwerkingtreding van dit wetsvoorstel.

Daarnaast ben ik bezig met een verkenning voor wat er nodig is om de elektronische recepten en elektronische verstrekkingen (ePrescription/eDispensation) te realiseren. Deze categorieën wil ik bij het nationaal contactpunt gerealiseerd hebben voor de deadline van de EHDS-verordening op 26 maart 2029. Per die datum moeten patiëntsamenvattingen, elektronische recepten en verstrekking verplicht via het NCPeH-NL kunnen worden uitgewisseld. De verplichtingen om ook labuitslagen, medische beelden en ontslagverslagen via het NCPeH-NL uit te kunnen wisselen treedt op 26 maart 2031 in werking.

1.3. Doel wetsvoorstel

De leden van de GroenLinks-PvdA-fractie lezen dat het wetsvoorstel grensoverschrijdende zorg omvat. Kan nader worden toegelicht wat onder grensoverschrijdende zorg valt? Vallen bijvoorbeeld privéklinieken daar ook onder?

Onder grensoverschrijdende gezondheidszorg wordt verstaan de gezondheidszorg die in een andere lidstaat wordt verleend of voorgeschreven, waarbij als gezondheidszorg worden gezien de diensten die worden verstrekt om de gezondheidstoestand van een cliënt te beoordelen, te behouden of te herstellen, waaronder begrepen het voorschrijven en het verstrekken van geneesmiddelen en medische hulpmiddelen. Het moet dan gaan om dienstverlening door een arts, verpleegkundige, tandarts, verloskundige, apotheker, een andere beroepsbeoefenaar die werkzaamheden in de gezondheidszorg verricht die behoren tot een gereglementeerd beroep⁶ of iemand die krachtens de wetgeving van de lidstaat waar de behandeling plaatsvindt als zorgverlener wordt aangemerkt. Een behandeling bij een privékliniek in een andere lidstaat kan daar – afhankelijk van de wetgeving in die lidstaat – dus ook onder vallen.

Dit wetsvoorstel kan in potentie leiden tot betere zorg en tot lagere zorgkosten van patiënt en zorgverlener. De leden van de GroenLinks-PvdA-fractie vragen of er een grondslag voor zorgverleners is om zorg te weigeren dan wel extra kosten in rekening te brengen voor een patiënt die weigert zorggegevens te delen. Deze vorm van impliciete dwang/nudging achten de leden van de GroenLinks-PvdA-fractie onwenselijk. Hoe kijkt de regering hier tegenaan?

Als dit mogelijk is, wordt hier dan transparant over gecommuniceerd zodat patiënten dit in overweging kunnen nemen bij het eventueel kiezen voor een opt-out?

Net als bij gegevensuitwisseling tussen zorgaanbieders binnen de eigen landsgrenzen, hebben zorgaanbieders geen mogelijkheid om zorg te weigeren of extra kosten in rekening te brengen wanneer een cliënt geen toestemming heeft gegeven om zijn gegevens over de grens te delen. Voor de zorgaanbieder zal daartoe ook geen aanleiding bestaan, omdat de met de zorg gemoeide kosten ingevolge Richtlijn 2011/24/EU door de zorgverzekeraar van de cliënt dienen te worden vergoed.

Onder de EHDS-verordening is toestemming voor het delen van gegevens via het NCPeH-NL in principe niet langer vereist. Deze verordening voorziet echter in een mogelijkheid voor lidstaten om op dit punt in nationale wetgeving een opt-out te regelen. Bij de uitwerking in nationale regelgeving zullen burgers goed worden geïnformeerd over de mogelijkheid van een opt-out gebruik te maken en welke gevolgen dat heeft. Aldus kan iedereen die een opt-out overweegt een weloverwogen keuze maken. Ook in dat geval geldt dat het inroepen van een opt-out geen consequenties heeft voor de toegang tot zorg.

2. Implementatiewetgeving

De leden van de CDA-fractie lezen dat de dienstverlening door NCPeH-NL op dit moment beperkt is. Zij vragen wat dit precies betekent.

Dit betekent dat het momenteel alleen mogelijk is om patiëntsamenvattingen op te halen voor EU-burgers die in Nederland zorg nodig hebben waarvan de lidstaat ook is aangesloten op MyHealth@EU. Dit betreft dus 13 lidstaten. Verder is de dienstverlening beperkt omdat momenteel slechts twee Nederlandse ziekenhuizen toegang hebben tot het NCPeH-NL. De Nederlandse aansluiting op MyHealth@EU vond namelijk initieel plaats met twee Nederlandse ziekenhuizen in een pilot.

2.1. European Health Data Space

De leden van de GroenLinks-PvdA-fractie begrijpen dat aansluiting op het NCPeH-NL via de EHDS pas later verplicht wordt. Acht de regering dit wetsvoorstel dan niet prematuur? Kan worden toegelicht in hoeverre dit wetsvoorstel een noodzakelijke tussenstap is voor de EHDS-verordening?

De regering acht dit wetsvoorstel niet prematuur. Het voldoen aan de verplichtingen uit de EHDS-verordening is een omvangrijke en complexe opgave voor de komende jaren. Juist daarom hebben mijn ambtsvoorgangers en ik hier nu op ingezet, zodat er voldoende tijd is om noodzakelijke voorbereidingen te treffen en tot een zorgvuldige uitvoering te komen per 2029.

Het realiseren van uitwisselingen van categorieën gezondheidsinformatie via het NCPeH-NL en het doorlopen van de benodigde test- en toelatingsprocedures bij MyHealth@EU neemt meerdere jaren in beslag. Nederland heeft zich daarom onder Richtlijn 2011/24/EU al in 2018 gecommitteerd aan de vrijwillige aansluiting op het MyHealth@EU-netwerk en het inrichten van een nationaal NCPeH voor het ontvangen van gegevens uit het buitenland. Daarnaast is in 2023 gecommitteerd aan uitbreiding van de dienstverlening van het NCPeH-NL met het versturen van de patiëntsamenvatting van Nederlandse burgers aan andere lidstaten. Voor de grensoverschrijdende gegevensuitwisseling via het NCPeH-NL zijn grondslagen in nationale wetgeving nodig. Door zich te in 2018 en 2023 committeren aan het MyHealth@EU-netwerk kon Nederland bovendien profiteren van een financiële bijdrage van de Europese Commissie aan de totstandkoming van het NCPeH-NL. Als voorwaarde voor toekenning van deze financiële middelen moet reeds vóór de inwerkingtreding van de verplichtingen uit de EHDS-verordening worden voldaan aan specifieke (contractuele) verplichtingen rondom interoperabiliteit en de dienstverlening van het NCPeH-NL. Dit wetsvoorstel is noodzakelijk om aan deze verplichtingen te kunnen voldoen.

In maart 2029 moet ingevolge de EHDS-verordening het Nederlandse contactpunt operationeel zijn en moet het contactpunt patiëntsamenvattingen, elektronische recepten en elektronische verstrekkingen kunnen uitwisselen. Dat vraagt om inspanning de komende jaren. Ik wil daarom blijven inzetten op de implementatie van de Richtlijn 2011/24/EU door met dit wetsvoorstel een wettelijke taak en een verwerkingsgrondslag voor het Nederlandse contactpunt te creëren. Zonder dit wetsvoorstel kan het contactpunt namelijk niet voorafgaand aan de verplichtingen uit de EHDS-verordening operationeel zijn voor de gegevensuitwisseling richting andere lidstaten. Juist door dit wetsvoorstel krijgen veldpartijen alvast de mogelijkheid om ervaring op te doen met grensoverschrijdende gegevensuitwisseling via het NCPeH-NL wat vervolgens weer bijdraagt aan een correcte toepassing van de EHDS en het voldoen aan de daaruit voortvloeiende verplichtingen. Tevens biedt het veldpartijen meer tijd om zich voor te bereiden op de verplichtingen uit de EHDS-verordening. Wanneer niet tijdig aan de verplichtingen uit de EHDS-verordening wordt voldaan, kan dat leiden tot sancties en boetes vanuit de Europese Commissie.

De leden van de GroenLinks-PvdA-fractie vragen of een tijdspad kan worden geschetst inclusief informatiemomenten en besluitvormingsmomenten ten aanzien van de EHDS-verordening?

Ik heb uw Kamer bij brief van 20 januari 2026 hierover geïnformeerd.⁷ Deze brief heeft uw vragen gekruist.

De verplichtingen uit de EHDS-verordening zijn op verschillende momenten van toepassing, te weten 26 maart 2027, 26 maart 2029 en 26 maart 2031. Er is gekozen voor een stapsgewijze invoering van de EHDS-verordening die aansluit op de momenten waarop de onderdelen uit de verordening ook daadwerkelijk van toepassing zullen zijn. Ik heb besloten om middels een stelselwet een geheel nieuw wettelijk kader in te richten waarin alle verplichte onderdelen van de EHDS-verordening nader worden ingevuld en uitgevoerd, beleidsruimte rondom de opt-out het primaire gebruik wordt ingevuld en de bestaande nationale elementen zoals uit de Wet elektronische gegevensuitwisseling in de zorg (Wegiz) en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg wordt opgenomen. Op deze manier verbind ik de Europeesrechtelijke verplichtingen aan de nationale visie en strategie en de nationale vereisten voor het nationale gezondheidsinformatiestelsel.

In het eerste deel van de uitvoeringwetgeving voor de EHDS-verordening (tranche 1) zal hoofdzakelijk de aanwijzing van autoriteiten worden geregeld. Daarnaast is ervoor gekozen om in de eerste tranche ook het systeem van derdencertificering van elektronische patiëntendossiersystemen (EPD-systemen), zoals nu vastgelegd in de Wegiz, te vervangen door een systeem van zelfbeoordeling, zodat lopende Wegiz-trajecten beter aansluiten op de komende EHDS verplichtingen. Momenteel wordt gewerkt aan een wetsvoorstel waarvan het voornemen is dat deze in de eerste helft van 2026 in internetconsultatie gaat.

Parallel aan het uitwerken van tranche 1 ben ik ook al gestart met de voorbereidingen voor het tweede deel van de uitvoeringswet EHDS-verordening (tranche 2). Momenteel vindt er een inventarisatie plaats van de onderwerpen die zullen worden meegenomen in tranche 2. De betreffende bepalingen van de EHDS-verordening worden vanaf 26 maart 2029 van toepassing, zodat de noodzakelijke uitvoeringswetgeving ook op dat moment in werking moet treden.

Parallel aan de uitwerking in tranches zal in voorbereidingswetgeving gewerkt worden aan onder meer grondslagen voor gegevensuitwisseling die vóór inwerkingtreding van de EHDS-verordening nodig zijn om de randvoorwaardelijke elementen op tijd gereed te hebben.

3. Hoofdlijnen van het wetsvoorstel

3.1. Probleemomschrijving

De leden van de GroenLinks-PvdA-fractie hebben vragen over de aannames die worden gemaakt over de verwachte voordelen van betere gegevensuitwisseling. Zo stelt de regering dat zorgkosten onnodig oplopen door gebrekkige informatievoorziening over een patiënt en dat er veel tijd wordt verloren met administratieve handelingen. Kan de regering deze aannames onderbouwen? Hoe veel onnodige kosten en werkdruk worden nu geleverd door het gebrek aan goede gegevensuitwisseling, en wat zijn de verwachte opbrengsten als deze wetgeving nationaal en Europees worden ingevoerd?

Het huidige gezondheidsinformatiestelsel schiet tekort in het aanpakken van zowel de huidige als toekomstige uitdagingen binnen de zorg. Voor het leveren van goede en doelmatige zorg, die ook onnodige ziekenhuis opnames voorkomt, is landelijke elektronische gegevensuitwisseling voor zorg en welzijn randvoorwaardelijk.

Hiermee wordt bereikt dat er minder vermijdbare fouten worden gemaakt. Zo belanden in Nederland elke dag ongeveer 75 mensen in het ziekenhuis door een medicatie-incident dat voorkomen had kunnen worden door goede landelijke gegevensuitwisseling.⁸

Daarom is een goed ingericht, landelijk gezondheidsinformatiestelsel noodzakelijk voor het aanpakken van zowel de huidige als toekomstige uitdagingen binnen de zorg. In 2023 heef mijn ministerie samen met veldpartijen, de Nationale Visie en Strategie op het gezondheidsinformatiestelsel opgesteld. Hiermee neemt VWS de regie op de totstandkoming van een toekomstbestendig gezondheidsinformatiestelsel in Nederland.

Op basis van verschillende Maatschappelijke Kosten en Baten-analyses (MKBA’s)⁹ die in 2021 en 2022 zijn uitgevoerd worden potentiële besparingen als minder zorgkosten en tijdsbesparingen geïdentificeerd. Denk hierbij aan:

• meermaals overtypen van dezelfde gegevens overbodig wordt;

• cliënten niet steeds hun klachten opnieuw hoeven uit te leggen;

• medische onderzoeken niet onnodig herhaald hoeven te worden;

• zorgverleners meer tijd overhouden om zorg te verlenen en minder administratieve taken hoeven uit te voeren, waardoor het bijdraagt aan het terugdringen van het arbeidstekort.

Op basis van deze MKBA’s, gericht op een aantal specifieke uitwisselingen onder de Wegiz, lijken de totale besparingen op te lopen tot € 340 miljoen per jaar, structureel vanaf 2029. De verwachting is dat deze besparingen verder oplopen zodra dit onder de EHDS-verordening breder wordt toegepast.

Daarnaast dragen verbeterde gegevensuitwisseling en databeschikbaarheid, naast besparingen, bij aan een verbetering van werkplezier, een vermindering van werkdruk en bovenal tot betere kwaliteit van zorg.

3.2. Oplossingsrichting

De leden van de VVD-fractie lezen dat grensoverschrijdende uitwisseling van medische gegevens, waar beschikbaar, vaak leidt tot verwarring omdat zorgverleners verschillende taalstandaarden gebruiken. Kan de regering aangeven wat de stand van zaken is van de Europese standaardisering van taal? Is de gegevensuitwisseling zoals beoogd door NCPeH-NL in dit licht bruikbaar voor zorgverleners?

Ondanks de verschillen tussen lidstaten op het gebied van taal en techniek, is de gegevensuitwisseling zoals beoogd door het NCPeH-NL bruikbaar voor zorgverleners. De uitwisseling tussen contactpunten van lidstaten vindt plaats via een Europees uitwisselformat conform de richtlijnen en waarvan de documentopmaak is gebaseerd op overeengekomen standaarden. Voor de patiëntsamenvatting zijn dit de Patient Summary Guidelines (meest actuele versie, 3.4 van november 2024). Zorgaanbieders kunnen de gegevens aanleveren aan het contactpunt zoals zij dat ook voor nationale uitwisseling doen. Het nationaal contactpunt van het land waar de gegevens zijn opgeslagen vertaalt indien nodig de gegevens naar dit uitwisselformaat. Wanneer het NCPeH-NL elektronische gezondheidsgegevens uit een andere lidstaat ontvangt, vertaalt het NCPeH-NL dit vervolgens op eenzelfde wijze naar het Nederlandse coderingen zodat de gegevens bruikbaar zijn voor Nederlandse zorgaanbieders. De gehele verwerking neemt enkele seconden in beslag.

Met de EHDS-verordening wordt gewerkt aan Europese standaardisering van taal door het verplichtstellen van gestandaardiseerde uitwisseling van enkele categorieën gezondheidsgegevens. De vrijwillige richtlijnen die nu worden gebruikt voor uitwisseling via MyHealth@EU worden herschreven en zullen als verplichte technische specificaties meegenomen worden in de EHDS-verordening. Deze verplichtingen zullen gefaseerd in werking treden. Vanaf maart 2029 gelden de verplichtingen voor patiëntsamenvattingen, elektronische recepten elektronische verstrekkingen. De verplichtingen om ook lab uitslagen, medische beelden en ontslagverslagen via het NCPeH-NL uit te kunnen wisselen treedt op 26 maart 2031 in werking.

De leden van de GroenLinks-PvdA-fractie hebben, naar aanleiding van de paragraaf 3.2.1. «Werking MyHealth@EU», vragen over de gegevens die nodig zijn om unieke cliënten te identificeren. Deze worden per lidstaat bepaald, omdat er verscheidenheid is in hoe burgers tussen landen worden geïdentificeerd. Zijn er, naast dat het een wettelijk identificatienummer moet zijn, minimumeisen waar dergelijke identificerende gegevens aan moeten voldoen? Is het Burgerservicenummer (BSN) voor Nederland de enige mogelijkheid of zijn er ook andere gegevens die hadden kunnen voldoen?

Op basis van de MyHealth@EU-vereisten dient een cliënt geïdentificeerd te worden aan de hand van een persoonlijk identificatienummer om toegang te kunnen krijgen tot de medische gegevens van de cliënt. Verschillende identificatienummers kunnen hiervoor worden gebruikt, bijvoorbeeld het nummer van de nationale identiteitskaart, het paspoortnummer, het nummer van de zorgverzekeringskaart of het social security number. Welk nummer wordt gebruikt is afhankelijk van de nationale wet- en regelgeving van een lidstaat. In Nederland wordt hiervoor het Burgerservicenummer (BSN) gebruikt. Op basis van de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg is het binnen Nederland een verplichting om cliënten in de zorg te identificeren aan de hand van BSN. Ingevolge die wet wordt ook voor het uitwisselen van patiëntgegevens tussen zorgaanbieders het BSN van de patiënt gebruikt. Voor het ophalen van gegevens bij zorgaanbieders in Nederland, dient het NCPeH-NL daarom het BSN te gebruiken en zijn andere identificerende nummers geen optie.

Naar aanleiding van paragraaf 3.2.2. «Scenario A. Opvragen gezondheidsinformatie door zorgaanbieder in een andere lidstaat», stellen de leden van de GroenLinks-PvdA-fractie de volgende vragen. Genoemde leden lezen dat er een patient information notice (PIN) is opgesteld, een formulier ter informatie voor patiënten van wie de gegevens worden geraadpleegd. Is deze PIN gecontroleerd op (digitale) toegankelijkheid en leesbaarheid voor verschillende doelgroepen? Zijn hiervoor toegankelijkheidsexperts en ervaringsdeskundigen geraadpleegd?

Het Patient Information Notice (PIN)-formulier geeft een toelichting op de nationale wet- en regelgeving inzake gegevensverwerking in het land waar de behandeling plaatsvindt. Voordat een zorgverlener gegevens via MyHealth@EU raadpleegt, ontvangt een cliënt dit formulier. Voordat een zorgverlener gegevens via MyHealth@EU raadpleegt, ontvangt een cliënt dit formulier. Iedere lidstaat stelt een dergelijk formulier in alle talen beschikbaar, gebaseerd op een gestandaardiseerd format vanuit MyHealth@EU. Het CIBG is als beheerder van het NCPeH-NL verantwoordelijk voor het opstellen van het PIN-formulier over de gegevensverwerking in Nederland. Bij het opstellen hiervan is rekening gehouden met zowel de juridische correctheid als de toegankelijkheid en begrijpelijkheid voor verschillende doelgroepen. Voor publicatie wordt het formulier getoetst op digitale toegankelijkheid. De formulieren die beschikbaar zijn worden door Europese Commissie gepubliceerd.¹⁰

Tevens hebben de leden van de GroenLinks-PvdA-fractie vragen over de organisatie van de online toestemmingsvoorziening. Deze moet controleren of patiënten toestemming hebben gegeven of dat zij de opt-out hebben gekozen. Hoe wordt het gegeven of iemand voor de opt-out heeft gekozen bijgehouden? Bestaat er geen risico dat er een register wordt bijgehouden waarvanuit alle mensen die een opt-out hebben gekozen herleidbaar zijn?

In de huidige situatie moeten burgers uitdrukkelijk toestemming geven voor het beschikbaar stellen van gezondheidsgegevens voor de Europese uitwisseling. Er is momenteel dus nog geen sprake van een opt-out.

Onder de EHDS-verordening zal toestemming niet langer een vereiste zijn. Wel hebben lidstaten de mogelijkheid om in hun nationale wetgeving te regelen dat hun burgers op dit punt gebruik kunnen maken van een opt-out, alsook van het recht op beperking van toegang. Mijn ambtsvoorganger heeft uw Kamer in juli 2024 laten weten gebruik te willen maken van deze mogelijkheid.¹¹ Zoals nader toegelicht aan uw Kamer in de brief van januari 2026, wordt op dit moment gewerkt aan de uitwerking van de opt-out en het recht op beperking van toegang¹², met inachtneming van de noodzakelijke waarborgen. Uw Kamer wordt hierover na de zomer nader geïnformeerd.

De leden van de GroenLinks-PvdA-fractie lezen dat er per algemene maatregel van bestuur (AMvB) nader wordt uitgewerkt welke gegevens worden bewaard (zoals die noodzakelijk zijn voor logging) en welke bewaartermijnen hiervoor gelden. Kan hier nader op in worden gegaan?

Op basis van het voorgestelde artikel 15s, eerste lid, van het wetsvoorstel bewaart het NCPeH-NL de persoonsgegevens die het verwerkt niet langer dan de duur van de sessie waarin het verzoek om gegevens en de verwerking en verstrekking van gegevens plaatsvindt. De loggegevens worden op basis van het tweede lid van die bepaling voor vijf jaar bewaard. In een algemene maatregel van bestuur (AMvB) bij het wetsvoorstel wordt nader geconcretiseerd welke gegevens de logging omvat. De voor de logging noodzakelijke gegevens worden bewaard ten behoeve van de onweerlegbaarheid van gegevensuitwisseling en voor beveiligingsdoeleinden (zoals het voorkomen en opsporen van misbruik). Door vast te leggen wie, wanneer en welke soort informatie heeft opgevraagd, kan later

worden gecontroleerd wie de gegevens heeft verwerkt. Dit versterkt de transparantie en integriteit van het systeem en waarborgt verantwoording, zonder dat medisch inhoudelijke gegevens zelf worden opgeslagen.

In de conceptversie van de AMvB is uitgewerkt dat de volgende gegevens vijf jaar worden bewaard:

• a. het burgerservicenummer van de cliënt uit Nederland dan wel het nationale identificatienummer van de cliënt uit een andere lidstaat;

• b. een indicatie van de behandelrelatie;

• c. de datum en de tijd van de opvraging;

• d. de identificatiegegevens van de opvragende zorgverlener;

• e. de uitwisselingsgebeurtenis;¹³

• f. welk nationaal contactpunt in de andere lidstaat het betreft;

• g. de technische verkeersgegevens van de uitwisseling.¹⁴

De leden van de GroenLinks-PvdA-fractie vragen of deze regels gaan gelden voor zorggegevens van Nederlanders in andere landen?

De in het wetsvoorstel opgenomen verplichtingen rondom het bewaren van gegevens gelden uitsluitend voor het NCPeH-NL. Het is niet mogelijk om bij nationale wetgeving bewaartermijnen vast te stellen voor de verwerking van (gezondheids)gegevens door nationale contactpunten in andere lidstaten. Desalniettemin geldt op basis van de AVG dat persoonsgegevens niet langer dan noodzakelijk mogen worden bewaard. Nu de AVG rechtstreeks van toepassing is in de andere lidstaten, zijn de andere lidstaten ook gehouden om ervoor zorgen dat hun nationale contactpunt aan deze eis voldoet. De cliënt wordt door de behandelend zorgverlener geïnformeerd over de nationale wetgeving met behulp van een formulier, bekend als de patiënt information notice (PIN). De behandelend zorgverlener vraagt als de patiënt bij bewustzijn is eerst toestemming om gegevens op te vragen via de MyHealth@EU infrastructuur.

De leden van de GroenLinks-PvdA-fractie vragen wat de waarborgen zijn dat deze regels in andere landen ook echt worden uitgevoerd? De leden benadrukken het belang van transparante besluitvorming over de gekozen bewaartermijn.

De AVG biedt waarborgen om er onder andere voor te zorgen dat alleen noodzakelijke persoonsgegevens worden verwerkt en niet langer worden bewaard dan strikt nodig. Voorbeelden hiervan zijn onder meer de beginselen van dataminimalisatie, doelbinding en opslagbeperking.

De AVG is rechtstreeks van toepassing in alle EU-lidstaten, waardoor een uniform juridisch kader geldt voor de verwerking van persoonsgegevens, ook bij grensoverschrijdende uitwisseling. Lidstaten moeten daarom hun nationale contactpunten zo inrichten dat deze verwerking in overeenstemming is met de AVG. Op juiste toepassing hiervan wordt toegezien en gehandhaafd door nationale toezichthouders. Daarnaast voorziet de AVG in een handhavings- en samenwerkingsmechanisme ter waarborging van de naleving van de verordening bij grensoverschrijdende verwerking van persoonsgegevens. Naast de waarborgen op grond van de AVG, moeten de lidstaten ook voldoen aan het MyHealth@EU-afsprakenstelsel die onder andere eisen stelt aan informatieveiligheid en datasets voorschrijft. De lidstaten worden hierop middels nalevingscontroles actief getoetst door de Europese Commissie.

De leden van de GroenLinks-PvdA-fractie vragen aan de regering om duidelijk uit te leggen op basis van welke afwegingen zij tot een proportionele bewaartermijn gaat komen.

Benadrukt moet worden dat, op basis van artikel 15s, eerste lid, van het wetsvoorstel, het NCPeH-NL de persoonsgegevens die het verwerkt niet langer bewaart dan de duur van de sessie waarin het verzoek om en de verwerking en verstrekking van gegevens plaatsvindt. Wel worden op basis van het tweede lid de loggegevens voor vijf jaar bewaard. Zoals ook opgenomen in de artikelsgewijze toelichting bij dit artikel, worden de loggegevens bewaard teneinde op een later moment de rechtmatigheid van een opvraging te kunnen controleren en misbruik kan worden opgespoord.

De gekozen bewaartermijn van vijf jaar sluit aan bij proces 10.40 van de Concernbrede selectielijst van het Ministerie van Volksgezondheid, Welzijn en Sport¹⁵, alsook bij de termijn die op grond van het Besluit vaststelling bewaartermijn logging en het Besluit elektronische gegevensverwerking door zorgaanbieders geldt voor logging door zorgaanbieders.

Gelet op het doel van de logging, het beperkte aantal gegevens en de aansluiting bij bestaande termijnen, wordt deze bewaartermijn proportioneel en noodzakelijk geacht.

De leden van de GroenLinks-PvdA-fractie vragen waarom voor dit vraagstuk niet is gekozen om de AMvB te voorzien van een voorhang?

Het wetsvoorstel voorziet in de toevoeging van een hoofdstuk in de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg. Uit artikel 17b van deze wet volgt dat de voordracht van een krachtens deze wet vast te stellen AMvB niet eerder wordt gedaan dan twee weken nadat het ontwerp aan beide kamers der Staten-Generaal is overgelegd. Dit betekent dat voor de AMvB een voorhangprocedure zal worden gevolgd. Dat zal naar verwachting voor het zomerreces gebeuren.

De leden van de GroenLinks-PvdA-fractie lezen in paragraaf 3.2.5. «Waarborgen», dat de eisen die worden gesteld aan identificatie- en autorisatiemiddelen per AMvB worden uitgewerkt. Waarom is gekozen voor afkadering in lagere regelgeving?

Eisen aan identificatie en autorisatie zijn technisch van aard en aan wijzigingen onderhevig. Vanuit het oogpunt van flexibiliteit en snelheid is ervoor gekozen deze eisen op het niveau van een AMvB te regelen. Een dergelijk wijziging zal worden voorgehangen bij uw Kamer.

De leden van de GroenLinks-PvdA-fractie vragen of op het moment dat deze wet is aangenomen, het dan mogelijk is om gegevens uit te wisselen met landen die hun NCPeH momenteel op vrijwillige basis organiseren, zolang niet per AMvB is vastgesteld welke betrouwbaarheidsniveau wordt verwacht voor het identificeren en autoriseren?

Vooropgesteld wordt dat de aansluiting met een nationaal contactpunt op het MyHealth@EU-netwerk op grond van de Richtlijn voor alle deelnemende lidstaten vrijwillig is. Zodra het voorliggende wetsvoorstel in werking treedt, zal ook de AMvB in werking treden. Daarin zal het betrouwbaarheidsniveau voor identificatie en autorisatie voor de toegang van zorgaanbieders in Nederland tot het NCPeH-NL worden vastgesteld, te weten het niveau hoog als bedoeld in de Electronic IDentification And trust Services-verordening (eIDAS-verordening).

Een zorgaanbieder die aan de toegangsvereisten voldoet, kan ten behoeve van zorg aan een cliënt uit het buitenland via het NCPeH-NL gegevens over deze cliënt opvragen. Een zorgaanbieder in een andere lidstaat die ten behoeve van zorg aan een cliënt uit Nederland gegevens over deze cliënt wil opvragen via het nationaal contactpunt in die lidstaat, zal moeten voldoen aan de eisen die in die lidstaat voor identificatie en autorisatiegelden gelden.

Voorts hebben de leden van de GroenLinks-PvdA-fractie vragen over hoe onrechtmatige opvragen worden ondervangen. Het loggen van gegevens maakt herleidbaar wie wanneer gegevens heeft opgevraagd. Kan de regering nader toelichten hoe de NCPeH’s worden geacht te monitoren op oneigenlijk gebruik? Welke technische middelen zetten zij hiervoor in?

Zoals in paragraf 3.2.5 van de memorie van toelichting al uiteen is gezet, gelden op Europees niveau technische en operationele vereisten zodat alle belanghebbenden zekerheid hebben over de veiligheid en betrouwbaarheid van MyHealth@EU en erop kunnen vertrouwen dat de lidstaten hun nationaal contactpunt op correcte wijze inrichten. De leden vragen welke technische middelen worden ingezet om te monitoren op oneigenlijk gebruik. In de software is misbruikdetectie ingebouwd om oneigenlijk gebruik te monitoren. Een indicatie van oneigenlijk gebruik is bijvoorbeeld de ontvangst van een groot aantal aanvragen voor één of meerdere cliënten. De software monitort daarom of voor één of meerdere cliënten een onverwacht aantal aanvragen wordt gedaan vanuit één of meerdere zorgaanbieders. Wanneer er een vermoeden bestaat van oneigenlijk gebruik kan de toegang (tijdelijk) worden geblokkeerd. Naast de technische waarborgen om op oneigenlijk gebruik te monitoren zijn er ook juridische kaders (AVG) over het verwerken van persoonsgegevens waarbinnen een zorgaanbieder dient te handelen.

Lidstaten worden door een onafhankelijke externe partij op de verschillende criteria getoetst voordat zij mogen aansluiten op het MyHealth@EU-netwerk. Na aansluiting worden de contactpunten structureel getoetst of zij nog steeds voldoen aan de eisen en hoe zij waarborgen hebben ingebouwd. Mocht blijken dat de afspraken niet worden nageleefd, dan kan worden overgegaan op sanctionerende maatregelen, waarbij in het uiterste geval lidstaten kunnen worden afgesloten van de Europese infrastructuur.

De leden van de GroenLinks-PvdA-fractie verwijzen naar de rol van NCPeH’s in het ondervangen van mogelijke misstanden. Specifiek verwijzen zij naar misstanden in de jeugdzorg, zoals beschreven in het artikel «Tom (17) werd uitgebuit door gastgezin in Frankrijk met «sadistische» moeder: «Hij werd geslagen en kreeg nauwelijks te eten» (Telegraaf, december 2025)¹⁶. Is de Minister bekend met dit verhaal? Is hij bekend met meer van dit soort misstanden, ontvangt hij vaker signalen over misbruik van kinderen bij jeugdhulp in het buitenland?

Ja, ik ben bekend met dit verhaal en heb hierover ook schriftelijke vragen vanuit uw Kamer ontvangen, die ik op 12 maart 2026 heb beantwoord. Voor beantwoording van de vragen van de leden van de Groenlinks-PvdA-fractie verwijs ik naar die brief.¹⁷

In gevallen als deze zijn alle aanwijzingen van mishandeling, bijvoorbeeld als die bij een huisartsbezoek worden gesignaleerd, van waarde om misstanden aan te pakken. De leden van de GroenLinks-PvdA-fractie vragen of er mogelijkheden zijn om aanvullend toezicht te organiseren voor Nederlandse kinderen in gastgezinnen via het NCPeH, zodat ouders bijvoorbeeld medische gegevens van hun uitwonende minderjarige kinderen kunnen opvragen die buiten Nederland wonen en worden behandeld?

Ik begrijp de zorgen van de leden over misstanden in jeugdzorg, en in het bijzonder over situaties waarin kinderen in het buitenland verblijven en zorg krijgen. Het MyHealth@EU-netwerk is echter niet ingericht voor de situatie die de leden beschrijven, waarbij ouders medische gegevens kunnen opvragen over hun minderjarige kind. Het NCPeH-NL is ervoor bedoeld zorgaanbieders in staat te stellen gegevens op te vragen over een cliënt uit een andere lidstaat met wie zij op dat moment een behandelrelatie hebben Anders dan wordt aangenomen, is er geen rol weggelegd voor het NCPeH-NL in het ondervangen van mogelijke misstanden.

De leden van de GroenLinks-PvdA-fractie vragen hoe wordt gewaarborgd dat persoonlijke gegevens niet in handen komt van Europese staten met verkeerde intenties, zoals Europese landen met antidemocratische tendensen?

Samenwerking binnen de Europese Unie is gebaseerd op wederzijds vertrouwen, en vindt tegelijkertijd plaats binnen de geldende juridische kaders.

Vanwege de gevoeligheid van persoonlijke elektronische gezondheidsgegevens is het van belang om voldoende waarborgen te bieden, zowel op het niveau van de Europese Unie als op nationaal niveau, teneinde een hoge mate van gegevensbescherming, beveiliging, vertrouwelijkheid en ethisch gebruik te garanderen. De AVG biedt dergelijke waarborgen en is rechtstreeks van toepassing in alle EU-lidstaten, waardoor een uniform juridisch kader geldt voor de verwerking van persoonsgegevens, ook bij grensoverschrijdende uitwisseling. Dit betekent dat moet worden voldaan aan dezelfde regels en daarmee sprake is van een gelijkwaardig niveau van privacybescherming, ook bij de verwerking van persoonsgegevens van een cliënt uit Nederland. Nationale toezichthouders zien toe op de juiste toepassing hiervan. Daarnaast voorziet de AVG in een handhavings- en samenwerkingsmechanisme ter waarborging van de naleving van de verordening bij grensoverschrijdende verwerking van persoonsgegevens.

Tevens geldt dat binnen het MyHealth@EU-stelsel onderlinge afspraken zijn gemaakt tussen alle lidstaten. Deze afspraken hebben onder meer betrekking op de juridische en organisatorische inrichting, informatieveiligheid, dienstverlening en semantische en technische interoperabiliteit van het nationale contactpunt. Lidstaten worden voorafgaand aan de aansluiting op het MyHealth@EU-netwerk door middel van compliance checks getoetst op deze eisen. Na aansluiting vinden er ook structurele nalevingstoetsen plaats. Mocht blijken dat de afspraken niet worden nageleefd, dan kan worden overgegaan op sanctionerende maatregelen, waarbij in het uiterste geval lidstaten kunnen worden afgesloten van de Europese infrastructuur.

De leden van de CDA-fractie lezen dat een Nederlandse zorgaanbieder die een opvraging wil doen, alleen toegang tot het NCPeH-NL heeft wanneer hij beschikt over een Europees erkend identificatie- en autorisatiemiddel met het betrouwbaarheidsniveau hoog. Zij vragen in hoeverre Nederlandse zorgaanbieders aan dit vereiste voldoen, of dat er ook nog (veel) zorgaanbieders zijn dit werken met inlogmiddelen met lagere betrouwbaarheidsniveaus, zoals het niveau substantieel.

Voor toegang tot het NCPeH-NL geldt dat zorgmedewerkers moeten beschikken over een goedgekeurd inlogmiddel met een hoog betrouwbaarheidsniveau (eIDAS Hoog).

Op dit moment is de UZI-pas het authenticatiemiddel dat voldoet aan het betrouwbaarheidsniveau hoog. Daarmee voldoen Nederlandse zorgaanbieders die werken met de UZI-pas aan de gestelde eisen voor toegang tot het NCPeH-NL. Zorgaanbieders die een inlogmiddel op een lager betrouwbaarheidsniveau gebruiken voldoen niet.

Na de inwerkingtreding van het wetsvoorstel DIAZ, dat nu bij u voorligt, zullen alle zorgaanbieders die willen inloggen op het NCPeH-NL hiervoor een Dezi-middel moeten gebruiken. De UZI-middelen komen immers te vervallen. Dezi-middelen zijn goedgekeurde inlogmiddelen, op betrouwbaarheidsniveau hoog, die zijn erkend en genotificeerd onder eIDAS, erkend onder de Wet digitale overheid, gecertificeerd op basis van de NEN7518 en PKIoverheid¹⁸.

Alle medewerkers die toegang zullen verkrijgen tot het NCPeH-NL vallen gezien hun werkzaamheden onder het wetsvoorstel DIAZ. Kortom: zij zullen dan ook voor het uitvoeren van hun overige werkzaamheden moeten beschikken over een goedgekeurd inlogmiddel op het betrouwbaarheidsniveau hoog. Dit brengt met zich mee dat er geen zwaardere verplichting op hen zal komen te rusten als gevolg van dit dit wetsvoorstel, nu die verplichting al zal gelden op grond van het wetsvoorstel DIAZ.

De leden van de SP-fractie begrijpen dat een BSN en geboortedatum nodig zijn om gegevens op te vragen. Betekent dit dat bij een datalek waarbij het BSN en de geboortedatum van mensen worden gelekt kwaadwillenden ook toegang kunnen krijgen tot medische gegevens? Welke aanvullende veiligheidswaarborgen zijn hiervoor ingebouwd?

Voor het opvragen van gegevens over een patiënt uit Nederland zijn inderdaad het BSN en de geboortedatum van de patiënt vereist. Een kwaadwillende die ten gevolge van een datalek de beschikking over het BSN en de geboortedatum van een burger uit Nederland heeft verkregen, heeft echter niet zomaar toegang tot medische gegevens van deze burger. Om de veiligheid van gegevens van cliënten te waarborgen zijn technische en organisatorische waarborgen ingericht, zoals authenticatie, autorisatie, cryptografische bevestiging van de behandelrelatie, logging en monitoring van opvragingen.

Alleen zorgverleners kunnen dus gegevens via het nationaal contactpunt van hun land opvragen. De behandelend zorgverlener uit een andere lidstaat die gegevens nodig heeft van een Nederlandse cliënt moet zich, in overeenstemming met nationale regelgeving, daarvoor identificeren bij het contactpunt in die lidstaat (authenticatie). Dit gebeurt doorgaans via een combinatie van gebruikersnaam/wachtwoord en een sterke vorm van authenticatie, zoals een smartcard of een mobiele applicatie. Daarnaast zijn binnen Europa afspraken gemaakt over het type zorgverlener dat via de MyHealth@EU-infrastructuur elektronische gezondheidsgegevens mag opvragen (autorisatie). Daarbij geldt dat een zorgverlener alleen gegevens mag opvragen wanneer sprake is van een behandelrelatie met de cliënt, die door de zorgverlener bij het opvragen van de gegevens moet worden bevestigd.

Door de vereisten voor authenticatie en autorisatie is het niet mogelijk dat een willekeurige persoon bij een nationaal contactpunt kan inloggen en gegevens over een burger uit Nederland kan opvragen. Alleen een zorgverlener in het buitenland die aan deze vereisten voldoet en de beschikking heeft over het BSN en de geboortedatum van een patiënt uit Nederland, zou daartoe in staat zijn. Zorgverleners in Nederland kunnen dit niet, aangezien zij via het NCPeH-NL enkel gegevens van burgers uit een andere lidstaat kunnen ophalen. Mocht een zorgverlener in een andere lidstaat toch onbevoegd gegevens opvragen, dan gelden de waarborgen dat alle bevragingen worden gelogd en gemonitord. Door middel van logging kan worden achterhaald wie een bepaalde opvraging heeft gedaan en door middel van monitoring worden ongebruikelijke opvragingen, zoals bijvoorbeeld een groot aantal opvragingen vanuit één zorgaanbieder, gedetecteerd. Wanneer er een vermoeden is van oneigenlijk gebruik kan de toegang (tijdelijk) worden geblokkeerd.

Indien een lidstaat zich niet houdt aan de Europese afspraken, bestaat tot slot de waarborg dat het nationaal contactpunt van die lidstaat door de Europese Commissie wordt afgesloten. Tevens kan het NCPeH-NL op landcode bepalen of bevragingen vanuit een bepaalde lidstaat worden stopgezet.

De leden van de SP-fractie vragen hoe het geven van toestemming door de patiënt voor uitwisseling via MyHealth@EU zal worden ingericht. Is hier actieve toestemming voor deelname aan MyHealth@EU van tevoren voor nodig of zal er worden gewerkt met een opt-out systeem? Of wordt er gewerkt met een systeem waarbij mensen op het moment dat uitwisseling noodzakelijk is toestemming kunnen geven voor het opvragen van specifieke gegevens?

In de huidige situatie moeten burgers uitdrukkelijke toestemming geven voor het beschikbaar stellen van gezondheidsgegevens. Dat geldt ook voor het beschikbaar stellen van gezondheidsgegevens aan het NCPeH-NL. Deze toestemming wordt geregistreerd en geraadpleegd een onlinetoestemmingsvoorziening.¹⁹ In de OTV zal een aparte toestemmingsvraag worden gesteld voor de Europese uitwisseling, waarbij de burger een «Europees vinkje» kan zetten om gegevens beschikbaar stellen aan zorgverleners in andere lidstaten. Bij het registreren van de toestemming zal de burger goed worden geïnformeerd over wat deze toestemming precies inhoudt, zodat het de burger zonder meer duidelijk is welke gegevens met wie kunnen worden uitgewisseld. Ook wordt de burger hierbij geïnformeerd over zijn rechten, zoals het recht om toestemming te weigeren of op elk gewenst moment in te trekken. Daarnaast is het mogelijk om toestemming te geven voor een bepaalde periode, bijvoorbeeld wanneer een burger voor twee weken op vakantie gaat. Na deze periode «vervalt» de toestemming en zijn de gegevens niet meer op te vragen.

Bij het opvragen van gegevens in het land van behandeling geldt de lokale wetgeving van het land waar de opvragende zorgaanbieder is gevestigd.

De behandelend zorgverlener vraagt als de patiënt bij bewustzijn is eerst toestemming te geven om gegevens op te vragen via de MyHealth@EU-infrastructuur. Daarnaast informeert hij de cliënt over MyHealth@EU en de lokale wetgeving. Hiervoor is een uniform formulier ontwikkeld, bekend als de patiënt information notice (PIN). Ook worden cliënten middels dit formulier geïnformeerd over hun rechten en de verwerking van hun persoonsgegevens.

Er is nu nog geen sprake van een opt-out, maar de mogelijkheid daartoe zal in de toekomst op basis van de EHDS-verordening worden geïntroduceerd. Lidstaten krijgen dan de keuze of zij voor hun burgers een opt-out recht in nationale wetgeving opnemen. Daarnaast voorziet de verordening in het recht op het beperken van de toegang van zorgverleners tot elektronische gezondheidsgegevens. Mijn ambtsvoorganger heeft uw Kamer in juli 2024 geïnformeerd gebruik te willen maken van de mogelijkheid om het opt-out recht voor primair gebruik te introduceren in ons nationale stelsel.²⁰ Ik onderschrijf dit besluit. Op dit moment wordt gewerkt aan de uitwerking van de opt-out en het recht op beperking van toegang, met inachtneming van de noodzakelijke waarborgen.²¹ Daarbij zal worden gekeken naar hoe de opt-out betrekking kan hebben op de uitwisseling via het NCPeH-NL.

De leden van de SP-fractie vragen daarnaast hoe de gegevensuitwisseling zal plaatsvinden. Moeten de zorgaanbieders waar de patiëntgegevens zich bevinden die altijd beschikbaar stellen via het nationaal contactpunt, voor het geval dat deze worden opgevraagd? Of moeten zij deze actief beschikbaar stellen op het moment dat deze worden opgevraagd?

Zorgaanbieders hoeven gegevens niet actief te verstrekken op het moment dat deze worden opgevraagd. In de Nederlandse architectuur worden zorgaanbieders gekoppeld aan een elektronisch uitwisselingssysteem (EUS). Door deze koppeling zijn de elektronische gezondheidsgegevens door het NCPeH-NL op te halen, mits de cliënt in een online toestemmingsvoorziening toestemming voor Europese uitwisseling heeft geregistreerd. Wanneer er geen toestemming is geregistreerd wordt dit aan de opvragende zorgaanbieder teruggekoppeld en blijft de uitwisseling van gegevens achterwege.

3.1 Instrumentkeuze

Geen opmerkingen of vragen van de fracties.

3.2 Reikwijdte wetsvoorstel

De leden van de GroenLinks-PvdA-fractie zijn benieuwd hoe gegevensuitwisseling met landen, waarin geen opt-out mogelijkheid bestaat voor patiënten, is georganiseerd.

Ik interpreteer deze vraag vanuit het perspectief van een Nederlandse burger die zijn opt-out recht heeft ingeroepen onder de nieuwe situatie waarbij binnen de EHDS-systematiek in Nederland een opt-out van toepassing is. De opt-out is dan van toepassing op alle elektronische gezondheidsgegevens die binnen Nederland worden verwerkt. Als een burger gebruik heeft gemaakt van het recht op opt-out, zijn de gegevens niet beschikbaar voor zorgaanbieders in andere lidstaten, ook als er in de andere lidstaat géén opt-out mogelijkheid bestaat. In geval van een behandeling van een Nederlandse cliënt in een andere lidstaat kan de behandelend zorgverlener elektronische gezondheidsgegevens verwerken in een medisch dossier. Die gegevens vallen in dat geval onder de wetgeving van die lidstaat.

De leden van de GroenLinks-PvdA-fractie vragen of Nederland heeft gepleit om de opt-out mogelijkheid de Europese standaard te maken? Welke andere lidstaten hebben een opt-out mogelijkheid? Heeft het nadelen dat niet alle landen deze mogelijkheid zullen hebben?

Nederland heeft gepleit voor optimale zeggenschap van burgers over de uitwisseling van de zorggegevens die op hen betrekking hebben. Tijdens de onderhandelingen op de EHDS-verordening heeft dit geleid tot de mogelijkheid voor lidstaten om in nationale wetgeving een opt-out te regelen voor het beschikbaarstellen van elektronische gezondheidsgegevens voor primair gebruik De opt-out een Europese standaard maken is nooit de inzet geweest van Nederland, omdat dit een onhaalbare zaak is. Er zijn namelijk ook lidstaten, zoals Estland, die in hun huidig gezondheidsinformatiestelsel uitgaan van databeschikbaarheid en daarbij geen opt-out mogelijkheid hebben. Er is nog niet definitief bekend welke lidstaten van de opt-out mogelijkheid gebruik zullen maken. In België geldt momenteel een opt-out en Duitsland werkt aan de invoering ervan.

Verder vragen de leden van de GroenLinks-PvdA-fractie of het nadelen heeft dat niet alle landen een opt-out mogelijkheid zullen hebben.

Het ontbreken van een mogelijkheid tot opt-out in een andere lidstaat heeft alleen gevolgen voor de gegevens die in dat land zijn opgeslagen. Indien er elektronische gezondheidsgegevens van Nederlanders in andere EU-lidstaten zijn opgeslagen, dan is het afhankelijk van de lidstaat of er een opt-out recht bestaat voor die gegevens. Het overgrote deel van de elektronische gezondheidsgegevens van Nederlanders bevinden zich bij Nederlandse zorgaanbieders. De situatie waarin gegevens van een Nederlandse burger worden opgevraagd terwijl deze zijn opgeslagen in een lidstaat zonder opt-out mogelijkheid, zal daarom naar verwachting slechts sporadisch voorkomen. Mijn ambtsvoorganger heeft uw Kamer in juli 2024 geïnformeerd gebruik te willen maken van de mogelijkheid om een opt-out recht voor primair gebruik te introduceren in ons nationale stelsel.²² De opt-out die Nederland kan invoeren zal van toepassing zijn op al deze elektronische gezondheidsgegevens. Wanneer een Nederlandse burger gebruik heeft gemaakt van de opt-out kunnen deze gegevens dus niet door zorgverleners vanuit een andere lidstaat worden opgevraagd.

De leden van de GroenLinks-PvdA-fractie vragen of de regering problemen voorziet in de gegevensuitwisseling tussen landen die andere mate van nationale privacybescherming kennen?

De AVG biedt binnen heel Europa waarborgen om er onder andere voor te zorgen dat alleen noodzakelijke persoonsgegevens worden verwerkt en niet langer worden bewaard dan strikt nodig. Dus ook in geval van grensoverschrijdende uitwisseling. Dit betekent dat moet worden voldaan aan vergelijkbare regels en daarmee een gelijkwaardig niveau van privacybescherming, ook bij de verwerking van persoonsgegevens van een cliënt uit Nederland. Op juiste toepassing hiervan wordt toegezien en gehandhaafd door nationale toezichthouders.

Tevens geldt dat binnen het MyHealth@EU-stelsel onderlinge afspraken zijn gemaakt tussen alle lidstaten. Deze afspraken hebben onder meer betrekking op de juridische en organisatorische inrichting, informatieveiligheid, dienstverlening en semantische en technische interoperabiliteit van het nationale contactpunt. Lidstaten worden voorafgaand aan de aansluiting op het MyHealth@EU-netwerk door middel van nalevingstoetsen door de Europese Commissie op deze eisen getoetst. Na aansluiting op het netwerk vinden er ook nog nalevingstoetsen plaats. Mocht blijken dat de afspraken niet worden nageleefd, dan kan worden overgegaan op sanctionerende maatregelen, waarbij in het uiterste geval lidstaten kunnen worden afgesloten van de Europese infrastructuur.

De leden van de GroenLinks-PvdA-fractie lezen dat er in Nederland een mogelijkheid tot opt-out op de beschikbaarheid van gegevens is. Kan nader worden toegelicht hoe deze opt-out in zijn werking gaat? Hoe zorgt de regering ervoor dat mensen zich actief kunnen beroepen op dit recht?

Ik wil benadrukken dat in de huidige situatie burgers uitdrukkelijke toestemming moeten geven voor het beschikbaar stellen van gezondheidsgegevens voor de Europese uitwisseling. Er is momenteel dus nog geen sprake van een opt-out.

Onder de EHDS-verordening zal toestemming voor de beschikbaarstelling van bepaalde categorieën elektronische gezondheidsgegevens niet langer een vereiste zijn. De EHDS-verordening biedt wel mogelijkheden om de uitwisseling via de Europese infrastructuur te beperken via een tweetal rechten: het recht op opt-out voor primair gebruik en het recht op beperken van toegang. De opt-out ziet op het niet ter beschikking stellen van gezondheidsgegevens voor primair gebruik. Het recht beperken van toegang ziet op de mogelijkheid van een specifieke zorgverlener en zorgaanbieder op inzage in de gezondheidsgegevens te beperken. De EHDS-verordening biedt bij beide rechten de mogelijkheid voor gelaagdheid (onderscheid op details). Bovendien kunnen lidstaten zorgaanbieders het recht geven om in uiterste noodsituaties (vitaal belang) een ingeroepen beperkingsrecht buiten beschouwing te laten en alsnog noodzakelijke gezondheidsgegevens voor de zorgverlening op te vragen via de Europese infrastructuur.

De cliënt kan zijn beperkingsrechten uitoefenen in de toegangsdienst voor burgers die de EHDS-verordening verplicht stelt in elke lidstaat. De keuzes van de cliënt worden daarin onmiddellijk verwerkt. Voor het inzien van de gezondheidsdata van de cliënt raadpleegt de zorgverlener een toegangsdienst voor zorgverleners. Daarin is voor de zorgverlener niet te zien of de cliënt van zijn beperkingsrechten gebruik heeft gemaakt.

Zoals nader toegelicht aan uw Kamer in de brief van januari 2026, wordt op dit moment gewerkt aan de uitwerking van de opt-out en het recht op beperking van toegang, met inachtneming van de noodzakelijke waarborgen. Uw Kamer wordt na de zomer nader geïnformeerd over op welke wijze de rechten in de Nederlandse toegangsdienst voor burgers worden geborgd. Uiteraard zullen zowel burgers als zorgprofessionals tijdig en goed worden geïnformeerd over de invoering, mogelijke keuzes en gevolgen daarvan. Onder de EHDS-verordening zal de nog in te richten Autoriteit omtrent Digitale Gezondheid deze taak op zich nemen.

De leden van de CDA-fractie vragen de regering nader toe te lichten hoe het geven van toestemming precies werkt. Zij vragen waaruit het volgt dat toestemming van de cliënt nodig is voor uitwisseling van gegevens. Ook vragen zij of het klopt dat toestemming van de cliënt alleen kan op basis van een papieren of online formulier. Zij vragen of bijvoorbeeld mondelinge toestemming van de cliënt ook voldoende is. Zij vragen wat de regels zijn als de cliënt niet bij bewustzijn is en sprake is van spoed.

Zolang de verplichtingen uit de EHDS-verordening nog niet van toepassing zijn, is toestemming van een cliënt voor Europese grensoverschrijdende gegevensuitwisseling om verschillende redenen nodig. Allereerst heeft een zorgverlener op grond van de Wet geneeskundige behandelingsovereenkomst (WGBO) en de Wet op de beroepen in de individuele gezondheidszorg een medisch beroepsgeheim. Dit betekent dat de zorgverlener niet zomaar medische gegevens mag delen met anderen dan de cliënt. Voor doorbreking van het medisch beroepsgeheim is in beginsel toestemming van de cliënt nodig, die in deze situatie altijd uitdrukkelijk en schriftelijk dient te zijn gegeven.

Verder is de gegevensuitwisseling via het NCPeH-NL op dit moment zo ingericht dat gegevens over cliënten uit Nederland beschikbaar worden gesteld via een zogenoemd elektronisch uitwisselingssysteem (EUS). Met een EUS kunnen gegevens worden opgehaald zonder dat daarvoor een actieve handeling van de zorgaanbieder nodig is. Uit de Wet aanvullend bepalingen verwerking

persoonsgegevens in de zorg volgt dat een zorgaanbieder alleen langs deze weg gegevens beschikbaar mag stellen als de cliënt hiervoor uitdrukkelijk toestemming heeft gegeven.

Om het uitwisselen van gegevens via het NCPeH-NL met een zorgverlener in het buitenland mogelijk te maken, is vereist dat een burger de hiervoor genoemde toestemmingen voorafgaand aan een uitwisseling registreert in een online toestemmingsvoorziening door het aankruisen van een «Europees vinkje». Toestemming kan op ieder moment worden vastgelegd en ook weer worden ingetrokken. Ook is het ook mogelijk om toestemming te geven voor een bepaalde periode, bijvoorbeeld voor de duur van een vakantie in het buitenland. Voor burgers die digitaal minder vaardig zijn, bestaat een functionaliteit waarbij zorgverleners burgers kunnen ondersteunen bij het registeren van de toestemming in de online toestemmingsvoorziening. In dat geval geeft de burger mondeling toestemming aan de zorgverlener om namens hem te registreren dat zijn gegevens via een EUS met het NCPeH-NL mogen worden gedeeld.

Wanneer het NCPeH-NL een opvraging ontvangt van een zorgaanbieder uit een andere lidstaat, controleert het NCPeH-NL eerst of er toestemming is geregistreerd. Is dat niet het geval, dan koppelt het NCPeH-NL dit terug aan de opvragende zorgaanbieder. Als er wél toestemming is geregistreerd door de Nederlandse cliënt, worden de bronsystemen bevraagd. Deze systematiek vereist een centraal vastgelegde toestemming. Het is daarom niet mogelijk om, op het moment van behandeling in een andere lidstaat, mondeling toestemming te geven voor de bevraging van Nederlandse bronsystemen door het NCPeH-NL. Wel is het mogelijk om ter plaatse in te loggen bij de OTV en de toestemming alsnog te registeren. Indien een cliënt buiten bewustzijn is, zal dat uiteraard niet gaan en in geval van een spoedsituatie zal daar mogelijk geen tijd voor zijn, zodat dan geen gegevens kunnen worden opgevraagd.

Ook vragen de leden van de CDA-fractie wat het verschil is tussen een online toestemmingsvoorziening (OTV) en elektronisch uitwisselingssysteem (EUS).

Het verschil tussen een OTV en een EUS is dat een OTV uitsluitend ziet op het vastleggen en beheren van toestemming, terwijl een EUS het technische systeem is waarmee gegevens kunnen worden geraadpleegd.

De leden van de SP-fractie vragen of de regering kan aangeven welke gegevens precies zullen mogen worden gedeeld via de nationale contactpunten. Kan het hierbij gaan om alle soorten medische gegevens, of enkel om specifieke vormen?

Via MyHealth@EU kunnen niet alle gegevens uit een patiëntendossier worden gedeeld, maar uitsluitend bepaalde categorieën gezondheidsinformatie. Momenteel ondersteunt MyHealth@EU de uitwisseling van de volgende categorieën: patiëntsamenvattingen, elektronische recepten (ePrescription) en verstrekkingen (eDispensation) en lab uitslagen (Lab Results). Vanaf oktober 2026 zullen ook de categorieën ontslagverslagen (Hospital Discharge Report) en beeld (Image Reports) worden opgenomen. Welke gegevens in Nederland onder een bepaalde categorie vallen, zal – tot de verplichtingen uit de EHDS-verordening van toepassing worden – steeds bij AMvB worden uitgewerkt.

Op dit moment ondersteunt het NCPeH-NL alleen het opvragen van patiëntsamenvattingen van patiënten uit andere lidstaten ten behoeve van zorg in Nederland. Mijn ministerie werkt aan de mogelijkheid om via het NCPeH-NL ook patiëntsamenvattingen van Nederlandse patiënten op te vragen ten behoeve van zorg in een andere lidstaat.

De leden van de SP-fractie vragen hoe wordt gewaarborgd dat er geen gegevens worden opgevraagd die niet nodig zijn voor het beoogde doel?

Allereerst wil ik benadrukken dat zorgverleners niet zomaar inzage hebben in het volledige medische dossier van een Nederlandse burger. Via het MyHealth@EU-netwerk kunnen zorgverleners uitsluitend vooraf vastgestelde categorieën gezondheidsinformatie opvragen. Om de veiligheid van gegevens van cliënten te waarborgen zijn binnen het NCPeH-NL technische en organisatorische waarborgen ingericht, zoals authenticatie, autorisatie, cryptografische bevestiging van de behandelrelatie, logging en monitoring van opvragingen. Daarnaast geldt dat zorgaanbieders gehouden zijn aan de bepalingen uit de AVG, die onder meer vereist dat gegevens alleen voor welbepaalde, uitdrukkelijke en gerechtvaardigde doeleinden worden opgevraagd (doelbinding) en ook alleen voor zover dat noodzakelijk is. Als waarborg voor consequente toepassing van de AVG zijn lidstaten verplicht om een toezichthouder aan te wijzen. Daarnaast voorziet de AVG aanvullend op het toezicht door nationale autoriteiten in een handhavings- en samenwerkingsmechanisme ter waarborging van de naleving van de verordening.

4. Verhouding tot hoger recht

4.1. Bescherming persoonlijke levenssfeer en gegevensbescherming

De leden van de SGP-fractie vragen naar aanleiding van paragraaf 4.4.1. Grondslagen in de EHDS, hoe het tijdspad voor de implementatiewetgeving van de European Health Data Space (EHDS) eruitziet. Wanneer verwacht de regering de tranches bij de Kamer in te dienen? Kan de regering daarbij aangeven welke aspecten in welke tranche worden geregeld?

Mijn ambtsvoorganger heeft uw Kamer bij brief van 20 januari 2026 hierover geïnformeerd.²³ Deze brief heeft uw vragen gekruist.

De verplichtingen uit de EHDS-verordening zijn op verschillende momenten van toepassing, te weten 26 maart 2027, 26 maart 2029 en 26 maart 2031. Er is gekozen voor een stapsgewijze invoering van de EHDS-verordening die aansluit op de momenten waarop de onderdelen uit de verordening ook daadwerkelijk van toepassing zullen zijn. Ik heb besloten om middels een stelselwet een geheel nieuw wettelijk kader in te richten waarin alle verplichte onderdelen van de EHDS-verordening worden geïmplementeerd, beleidsruimte rondom de opt-out het primaire gebruik wordt ingevuld en de bestaande nationale elementen zoals uit de Wegiz en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg wordt opgenomen. Op deze manier verbind ik de Europeesrechtelijke verplichtingen aan de nationale vereisten voor het nationale gezondheidsinformatiestelsel.

In het eerste deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche 1) zullen hoofdzakelijk de aanwijzingen van autoriteiten worden geregeld. Daarnaast is ervoor gekozen om in de eerste tranche ook het systeem van derdencertificering van elektronische patiëntendossiersystemen (EPD-systemen), zoals nu vastgelegd in de Wegiz, te vervangen door een systeem van zelfbeoordeling, zodat lopende Wegiz-trajecten en daaruit volgende algemene AMvB’s beter aansluiten op de komende EHDS verplichtingen. Momenteel wordt gewerkt aan een wetsvoorstel waarvan het voornemen is dat deze in de eerste helft van 2026 in internetconsultatie gaat. De Tweede Kamer zal dan naar verwachting in het eerste kwartaal van 2027 het wetsvoorstel ontvangen.

Parallel aan het uitwerken van tranche 1 ben ik ook al gestart met de voorbereidingen voor het tweede deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche 2). Momenteel vindt er een inventarisatie plaats van de onderwerpen die zullen worden meegenomen in tranche 2. De betreffende bepalingen van de EHDS-verordening worden vanaf 26 maart 2029 van toepassing, zodat de noodzakelijke uitvoeringswetgeving ook op dat moment in werking moet treden.

Parallel aan de uitwerking in tranches zal in voorbereidingswetgeving gewerkt worden aan onder meer grondslagen voor gegevensuitwisseling die vóór inwerkingtreding van de EHDS-verordening nodig zijn om de randvoorwaardelijke elementen op tijd gereed te hebben.

De leden van de SGP-fractie vragen of de regering nader kan toelichten hoe de reikwijdte van de inzage tot het patiëntdossier zal worden geregeld. Wordt dit juridisch afgebakend zodat zorgprofessionals die geen betrokkenheid hebben bij onderdelen of categorieën van het persoonsdossier daar ook geen toegang toe krijgen?

Allereerst wil ik benadrukken dat zorgverleners niet zomaar inzage hebben in het volledige medische dossier van een Nederlandse burger. Via het MyHealth@EU-netwerk kunnen zorgverleners uitsluitend vooraf vastgestelde categorieën gezondheidsinformatie opvragen. Een zorgverlener zal dus ook geen onbeperkte inzage hebben in alle gezondheidsinformatie van een Nederlandse burger. De reikwijdte van deze opvragingen van delen uit het patiëntdossier wordt zowel technisch als juridisch begrensd. Los van het gebruik van het NCPeH-NL blijven de geldende regels voor het gebruik en de inzage in medische gegevens onverminderd van toepassing.

Indien een zorgverlener een categorie gegevens opvraagt is het afhankelijk van de toestemming van de Nederlandse cliënt en de beschikbare informatie of de opvragende zorgverlener gegevens ontvangt. Op basis van het wetsvoorstel en de bijbehorende AMvB zal eerst alleen de uitwisseling van de patiëntsamenvatting mogelijk worden gemaakt. Op een later moment volgt de categorie elektronische recepten (ePrescription)/elektronische verstrekkingen (eDispensation).

Binnen het stelsel van MyHealth@EU gelden technische en organisatorische waarborgen. Dit zijn waarborgen op het gebied van authenticatie, autorisatie, cryptografische bevestiging van de behandelrelatie, logging en monitoring van de opvragingen. Deze waarborgen zorgen ervoor dat uitsluitend bevoegde zorgverleners met een bestaande zorgrelatie medische gegevens kunnen opvragen. Door middel van tussentijdse nalevingscontrole worden lidstaten getoetst op de naleving van deze waarborgen.

De leden van de SGP-fractie vinden het spijtig dat vanwege de EHDS-verplichtingen er voor het opvragen van categorieën van gezondheidsinformatie van de patiënt via het NCPeH-NL door de behandelende zorgverleners in andere EU-landen in de toekomst geen toestemming meer is vereist. De leden van de SGP-fractie vinden het goed dat de regering gebruikmaakt van de mogelijkheid om de opt-out in nationale wetgeving te regelen. Kan de regering aangeven wat eventuele gevolgen kunnen zijn als een patiënt ervoor kiest om geen toestemming te geven voor de uitwisseling van (bijzondere) persoonsgegevens?

De EHDS-verordening biedt voor lidstaten de mogelijkheid om in nationale wetgeving een recht op opt-out voor primair gebruik op te nemen. Dat recht opt-out strekt ertoe dat burgers de mogelijkheid krijgen te verhinderen dat elektronische gezondheidsgegevens (die binnen de reikwijdte van de EHDS-verordening vallen) vanuit de bron beschikbaar worden gesteld via de zogenoemde toegangsdienst voor gezondheidswerkers. Het gevolg is dat zorgaanbieders elektronische gezondheidsgegevens niet kunnen uitwisselen via de digitale infrastructuur (tenzij de burger de opt-out weer intrekt). Als een client uit Nederland gebruik heeft gemaakt van de opt-out, dan zal een zorgverlener in een andere lidstaat geen informatie over deze client kunnen opvragen. Indien die zorgverlener ten behoeve van de behandeling van deze cliënt bepaalde informatie nodig denkt te hebben, bijvoorbeeld over bepaalde allergieën, dan zal de zorgverlener de cliënt hier persoonlijk naar moeten vragen. Ook kan het zijn dat er onderzoeken moeten gedaan, die anders niet nodig zouden zijn geweest.

De leden van de SP-fractie vragen welke maatregelen getroffen zullen worden om het lekken van medische gegevens via dit systeem te voorkomen. Welke technische en procedurele veiligheidswaarborgen zijn er ingebouwd om te voorkomen dat medische persoonsgegevens in de verkeerde handen vallen?

Vanwege de gevoeligheid van persoonlijke elektronische gezondheidsgegevens is het van belang om voldoende waarborgen te bieden, zowel op het niveau van de Europese Unie als op nationaal niveau, om een hoge mate van gegevensbescherming, beveiliging, vertrouwelijkheid en ethisch gebruik te garanderen. Zoals in paragraaf 3.2.5 van de memorie van toelichting is opgenomen gelden op Europees niveau technische en operationele vereisten, zodat alle belanghebbenden zekerheid hebben over de veiligheid en betrouwbaarheid van MyHealth@EU en erop kunnen vertrouwen dat de onderliggende nationale infrastructuren ook op correcte wijze worden ingezet. In de technische software zit misbruikdetectie ingebouwd om misbruik te monitoren. Lidstaten worden door een onafhankelijke externe partij op de verschillende criteria getoetst voordat zij mogen aansluiten op het MyHealth@EU-netwerk. Na aansluiting zal periodiek worden gecontroleerd of nog aan die criteria wordt voldaan. Mocht blijken dat de afspraken niet worden nageleefd, dan kan worden overgegaan tot sanctionerende maatregelen, waarbij in het uiterste geval lidstaten kunnen worden afgesloten van de Europese infrastructuur. Naast technische en operationele waarborgen zijn de lidstaten en hun inwoners gehouden aan de bepalingen uit de AVG, die onder meer vereist dat gegevens alleen voor welbepaalde, uitdrukkelijke en gerechtvaardigde doeleinden worden opgevraagd (doelbinding) en ook alleen voor zover dat noodzakelijk is. Als waarborg voor consequente toepassing van de AVG zijn lidstaten verplicht om een toezichthouder aan te wijzen. Daarnaast voorziet de AVG in een handhavings- en samenwerkingsmechanisme ter waarborging van de naleving van de verordening.

4.2. EVRM

De leden van de GroenLinks-PvdA-fractie merken op dat patiënten altijd goed op de hoogte moeten zijn van hun rechten, en dat de beperking op hun privacyrecht door het uitwisselen van gezondheidsgegevens goed wordt uitgelegd. Hierbij merken deze leden echter op dat er in het buitenland sprake kan zijn van een taalbarrière. Hoe zorgt de regering ervoor dat een taalbarrière de informatievoorziening richting patiënten niet belemmert?

Ik ben het met de leden eens dat cliënten goed op de hoogte moeten zijn van hun rechten. Om te voorkomen dat een taalbarrière de informatievoorziening richting cliënten belemmert, krijgen cliënten in het buitenland een informatiedocument over grensoverschrijdende uitwisseling van elektronische gezondheidsgegevens uitgereikt, de Patient Information Notice. Dit formulier is in alle talen beschikbaar en wordt uitgereikt door de zorgaanbieder in het buitenland. Het formulier licht toe hoe de gegevens en informatie van de patiënt worden verwerkt en welke regels daarvoor gelden in het betreffende land van behandeling, welke rechten de cliënt heeft en waar de cliënt terecht kan voor aanvullende informatie en vragen. Dit is onderdeel van de afspraken en werkwijze binnen MyHealth@EU.

De regering stelt ook dat er per AMvB aanvullende uitwerking volgt over hoe persoonsgegevens worden verwerkt. De regering stelt dat de burger hiermee voldoende inzicht krijgt over de gegevensverwerking. De leden van de GroenLinks-PvdA-fractie vragen hoe de regering dit voor zich ziet? Is de verwachting dat patiënten de AMvB lezen?

De leden van de Groenlinks-PvdA-fractie refereren aan de beoordeling in de memorie van toelichting of het wetsvoorstel zich verdraagt met het EVRM. In het kader van die beoordeling dient onder meer te worden getoetst of een inbreuk op het recht op privacy bij wet is voorzien en of burgers daaruit met voldoende precisie kunnen opmaken welke op hun privéleven betrekking hebbende gegevens met het oog op de vervulling van een bepaalde overheidstaak kunnen worden verzameld en vastgelegd, en onder welke voorwaarden die gegevens met dat doel kunnen worden bewerkt, bewaard en gebruikt. In het kader van deze toets is in de memorie van toelichting de conclusie getrokken dat voor burgers bij raadpleging van de AMvB voldoende inzicht in de gegevensverwerking is te verkrijgen.

Daarnaast worden burgers op verschillende manieren worden geïnformeerd over de wijze waarop persoonsgegevens worden verwerkt. Zo vindt voorlichting plaats via het eerdergenoemde PIN-formulier alsook bij het registreren van toestemmingen in de online toestemmingsvoorziening.

4.3. Grondwet

Geen opmerkingen of vragen van de fracties.

4.4. EHDS-verordening

De leden van de CDA-fractie begrijpen dat bij de implementatie van de EHDS-verordening de regels rondom toestemming zullen veranderen. Zij vragen of de regering een update kan geven over de stand van zaken met betrekking tot de implementatie.

Over de stand van zaken met betrekking tot het voldoen aan de verplichtingen uit de EHDS-verordening is uw Kamer bij brief van januari 2026 geïnformeerd.²⁴Zoals in deze brief toegelicht, is gekozen voor een stapsgewijze aanpak. Momenteel wordt gewerkt aan een wetsvoorstel waarvan het voornemen is dat deze in de eerste helft van 2026 in internetconsultatie gaat. De Tweede Kamer zal dan naar verwachting in het eerste kwartaal van 2027 het wetsvoorstel ontvangen. Dit wetsvoorstel is het eerste deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche 1). Parallel aan het uitwerken van tranche 1 ben ik ook al gestart met de voorbereidingen voor het tweede deel van de uitvoeringswetgeving voor de EHDS-verordening (tranche 2). Deze wetgeving dient uiterlijk op 26 maart 2029 in werking te treden volgens de deadline die in de EHDS-verordening wordt genoemd. Momenteel vindt er een inventarisatie plaats van de onderwerpen die zullen worden meegenomen in tranche 2. Het opt-out recht voor primair gebruik en het recht op het beperken van de toegang zal hier onderdeel van zijn.

5. Verhouding tot nationale regelgeving

5.1. Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz)

Geen opmerkingen of vragen van de fracties.

5.2. Wet op de geneeskundige behandelingsovereenkomst (WGBO) en Wet op de beroepen in de individuele gezondheidszorg (Wet BIG)

Geen opmerkingen of vragen van de fracties.

5.3. Wet aanvullende bepalingen Burgerservicenummer (Wabb)

Geen opmerkingen of vragen van de fracties.

5.4. Wet elektronische gegevensuitwisseling in de zorg (Wegiz)

Geen opmerkingen of vragen van de fracties.

5.5. Verhouding met andere nationale programma’s en initiatieven

Geen opmerkingen of vragen van de fracties.

6. Effecten van het Wetsvoorstel

6.1. Gevolgen voor zorgaanbieders en zorgverleners

De leden van de VVD-fractie lezen dat het inrichten van processen en het trainen van personeel voor gebruik van NCPeH-NL een tijdelijke intensivering zal vormen van de werkdruk. Kan de regering aangeven of zij verwacht dat dit weer het geval zal zijn als overgegaan wordt op het systeem in lijn met de EHDS, of is dit echt eenmalig?

Het is de verwachting dat de zorgaanbieders die onder de richtlijn al vrijwillig aansluiten op het contactpunt, geen dubbele regeldruk zullen ondervinden wanneer de EHDS-verordening van toepassing is. Het inrichten van processen en het trainen van personeel vormt eerder een voorbereiding op de EHDS-verordening, aangezien de richtlijn op de hier aan de orde zijnde punten, inhoudelijk grotendeels overeenkomt met de EHDS-verordening. Het voldoen aan de verplichtingen uit de EHDS-verordening is een omvangrijke en complexe opgave voor de komende jaren. Juist daarom zet ik hier nu op in, zodat er voldoende tijd is om noodzakelijke voorbereidingen te treffen en tot een zorgvuldige uitvoering te komen. Door nu aan te sluiten hebben zorgaanbieders de mogelijkheid om zich over een langere periode voor te bereiden op de komende verplichtingen uit de EHDS-verordening.

De leden van de GroenLinks-PvdA-fractie zijn benieuwd hoe de regering voor zich ziet dat zorgverleners en -aanbieders worden getraind in de nieuwe systematiek. Vindt de regering dit een verantwoordelijkheid van individuele medewerkers en aanbieders? Welke nationale voorzieningen gaat de regering treffen om personeel bij te scholen en te informeren?

Het is natuurlijk van belang dat zorgaanbieders en hulpverleners voldoende geïnformeerd worden over veranderingen die door de nieuwe regels voor hen ontstaan. Hoewel training en scholing in beginsel een verantwoordelijkheid van iedere beroepsgroep zelf is, ben ik van mening dat in dit geval het borgen van voldoende kennis en vaardigheden bij zorgverleners vraagt om een gezamenlijke inspanning. Ik zal dan ook inzetten op het beschikbaar stellen van duidelijke en toegankelijke informatie en het benutten van bestaande landelijke voorzieningen voor kennisdeling, zowel in het kader van dit wetsvoorstel als in het kader van de EHDS-verordening die vanaf maart 2029 nieuwe verplichtingen met zich meebrengt.

6.2. Gevolgen voor burgers

De leden van de GroenLinks-PvdA-fractie maken zich zorgen over het doenvermogen van burgers. Hoe verwacht de regering dat burgers hulp van zorgverleners kunnen vragen? Komen er nationale voorzieningen voor burgers die extra ondersteuning nodig hebben?

Ik vind het zeer belangrijk dat iedereen kan meekomen in de maatschappij. Digitale vaardigheden en ondersteuning zijn belangrijke aspecten in het kader van dit wetsvoorstel. Daarom wordt ingezet op tijdige, begrijpelijke en toegankelijke informatievoorziening. Burgers zullen actief worden geïnformeerd over de gevolgen van dit wetsvoorstel en – in de toekomst – de EHDS-verordening en over de wijze waarop zij hun rechten kunnen uitoefenen. Onder de EHDS-verordening zal de nog in te richten Autoriteit omtrent Digitale Gezondheid deze taak op zich nemen.

De leden van de CDA-fractie lezen dat het wetsvoorstel iets van het doenvermogen van burgers vraagt, omdat zij toestemming dienen vast te leggen voor internationale uitwisseling van gezondheidsgegevens. Deze leden vragen of het geven van toestemming alleen mogelijk is op het moment dat er een specifieke of urgente zorgvraag in het buitenland is, of dat dit altijd mogelijk is dat wil zeggen dat je die toestemming ook uit voorzorg vast kunt leggen. Zo ja, dan vragen deze leden hoe dit praktisch vorm krijgt en hoe burgers hierover geïnformeerd worden.

Burgers kunnen hun toestemmingskeuze voor Europese uitwisseling op ieder moment vastleggen in een online toestemmingsvoorziening. Dit kunnen zij uit voorzorg doen en voor een bepaalde periode, voor bijvoorbeeld een aanstaande vakantie van drie weken. Het is ook mogelijk voor burgers om de toestemmingskeuze nog ter plaatse te registeren in geval van een ongeplande zorgbehoefte in het buitenland. De Nederlandse burger kan dan inloggen en de toestemming registeren, waarna dit direct wordt verwerkt.

6.3. Gevolgen voor IT-leveranciers en -dienstverleners

Geen opmerkingen of vragen van de fracties.

6.4. Gevolgen voor de overheid

De leden van de GroenLinks-PvdA-fractie vragen naar aanleiding van paragraaf 6.4.1 «Gevolgen toezicht en handhaving», of de Autoriteit Persoonsgegevens (AP) als toezichthouder straks het ministerie moet controleren, aangezien het ministerie de verwerkingsverantwoordelijke is. Hoe gaat de Minister helpen om de toezichthouder actief toegang te geven tot de informatie die nodig is voor de AP om haar taak te vervullen?

De Autoriteit Persoonsgegevens (AP) is als zelfstandig bestuursorgaan met een eigen rechtspersoonlijkheid een onafhankelijk toezichthouder. In de Uitvoeringswet Algemene verordening gegevensbescherming zijn bepalingen opgenomen om de onafhankelijkheid van de AP ten opzichte van de Minister te waarborgen.

Het is niet gebruikelijk dat verwerkingsverantwoordelijken de AP proactief toegang geven tot hun systemen en informatie. Wanneer de AP in het kader van haar toezichthoudende taak onderzoek verricht bij het NCPeH-NL, wordt uiteraard volledige medewerking verleend en wordt alle voor het onderzoek benodigde informatie verstrekt.

De leden van de GroenLinks-PvdA-fractie hebben, naar aanleiding van paragraaf 6.4.2. «Gevolgen voor Caribisch Nederland», grote twijfels over de aanname dat er geen gevolgen zijn voor Caribisch Nederland. Caribische Nederlanders afkomstig van Bonaire, St. Eustatius en Saba hebben momenteel nog geen BSN. Hoe kunnen zij gebruik maken van de NCPeH als zij behandeld worden in een Europese lidstaat? Raakt dit wetsvoorstel ook zorgaanbieders op de BES-eilanden, en welke afspraken maakt de regering met deze organisaties om de uitvoering te bevorderen?

Sinds 11 november 2025 hebben de inwoners van Bonaire, Sint Eustatius en Saba een burgerservicenummer. Het wetsvoorstel betreft evenwel de implementatie van Europees recht, te weten artikel 14 van Richtlijn 2011/24/EU, dat niet op Caribisch Nederland van toepassing is. Het wetsvoorstel geldt daarom uitsluitend voor Europees Nederland en heeft daarmee geen gevolgen voor Caribisch Nederland en haar inwoners.

6.5. Gevolgen voor de gegevensbescherming (DPIA)

Geen opmerkingen of vragen van de fracties.

6.6. Effecten op de arbeidsmarkt

Geen opmerkingen of vragen van de fracties.

6.7. Fraude

Geen opmerkingen of vragen van de fracties.

7. Financiële gevolgen en regeldruk

7.1. Overheid

Geen opmerkingen of vragen van de fracties.

7.2. Zorgaanbieders

Geen opmerkingen of vragen van de fracties.

7.3. Cliënten

Geen opmerkingen of vragen van de fracties.

7.4. Effecten regeldruk

De leden van de CDA-fractie lezen dat de regeldrukeffecten van het wetsvoorstel pas duidelijk worden bij de uitwerking van de AMvB’s. Zij vragen of de regering kan toelichten welke onderdelen precies in de AMvB’s worden uitgewerkt en wat hier per onderdeel precies de reden van is. Deze leden vragen ook hoe de regering de regeldrukeffecten gaat uitwerken bij de AMvB’s en ook of het Adviescollege toetsing regeldruk (ATR) hier dan over zal adviseren.

De categorieën van gezondheidsinformatie die via de MyHealth@EU-infrastructuur kunnen worden uitgewisseld, worden op grond van het wetsvoorstel nader uitgewerkt bij algemene maatregel van bestuur. Dit betekent dat per categorie bij AMvB zal worden uitgewerkt en inzichtelijk gemaakt welke gegevens daaronder worden uitgewisseld. Er is voor deze systematiek gekozen omdat er nieuwe categorieën (kunnen) bijkomen en het onwenselijk is om iedere keer opnieuw de wet aan te moeten passen om de uitwisseling van die categorieën mogelijk te maken.

Momenteel kunnen via de MyHealth@EU-infrastructuur technisch gezien de volgende categorieën worden uitgewisseld: patiëntsamenvattingen, elektronische recepten (ePrescription) en verstrekkingen (eDispensation) en lab uitslagen (Lab Results). Vanaf oktober 2026 zullen ook de categorieën ontslagverslagen (Hospital Discharge Report) en beeld (Image Reports) hieraan worden toegevoegd.

Op dit moment ondersteunt het NCPeH-NL alleen het opvragen van patiëntsamenvattingen van cliënten uit andere lidstaten en wordt er gewerkt aan de mogelijkheid om patiëntsamenvattingen van Nederlandse cliënten te delen. De AMvB die gelijktijdig met het wetsvoorstel in werking zal treden zal zich daarom beperken tot de categorie patiëntsamenvattingen. Daarbij zal ook de regeldruk worden getoetst en het Adviescollege toetsing regeldruk (het ATR) om advies worden gevraagd.

Indien een nieuwe categorie voor uitwisseling mogelijk wordt gemaakt, zal daarvoor een nieuwe AMvB worden vastgesteld. Ook die wordt weer voor toetsing aan de ATR voorgelegd. Zodra de verplichtingen uit de EHDS-verordening van toepassing worden, zal uit de verordening en de daarop gebaseerde uitvoeringshandelingen blijken welke gegevens moeten worden uitgewisseld.

De systematiek waarbij voor iedere nieuwe categorie een nieuwe AMvB wordt vastgesteld, komt dan te vervallen.

8. Uitvoering

De leden van de SGP-fractie vragen of het de bedoeling is dat alle zorgverleners in Nederland toegang krijgen tot NCPeH-NL. Wordt bij de implementatie van NCPeH-NL prioriteit gegeven aan bepaalde beroepsgroepen, zoals bijvoorbeeld de huisartsenzorg of acute zorg?

Het is niet de bedoeling dat alle zorgverleners automatisch toegang krijgen tot het NCPeH-NL. Binnen Europa zijn er afspraken gemaakt over het type zorgverlener dat gebruik mag maken van de MyHealth@EU-infrastructuur om elektronische gezondheidsgegevens op te vragen. Dit is in MyHealth@EU-specificaties gedefinieerd volgens de rollen uit de ISCO-08-standaard. Lidstaten koppelen dit aan nationale rollen en functies, conform de geldende nationale regelgeving. Daarbij wordt geborgd dat toegang tot informatie uitsluitend wordt verleend aan zorgverleners voor wie dit noodzakelijk is voor de uitvoering van hun taken. De naleving van deze afspraken wordt getoetst door middel van een onafhankelijke audit.

In Nederland zijn deze Europese afspraken vertaald naar de nationale situatie. In eerste instantie is daarbij gekeken naar zorgverleners die in contact kunnen komen met een cliënt afkomstig uit een andere lidstaat, zoals de ziekenhuiszorg, huisartsenzorg en de acute zorg. De nadere uitwerking hiervan zal worden geregeld in de AMvB. Tijdens de consultatieperiode hebben betrokken partijen uit het veld reacties gedeeld omtrent de beroepsgroepen die toegang krijgen tot het NCPeH-NL. Ik neem deze opmerkingen zorgvuldig in overweging bij de verdere vormgeving van de AMvB die naar verwachting voor de zomer bij uw Kamer wordt voorgehangen.

9. Toezicht en handhaving

Geen opmerkingen of vragen van de fracties.

10. Advies en consultatie

10.1. Internetconsultatie

De leden van de CDA-fractie lezen dat koppeling met de persoonlijke gezondheidsomgeving (PGO) van een cliënt technisch niet mogelijk is en ook verder gaat dan hetgeen de Richtlijn verlangt. Deze leden vragen of de regering hier net als deze leden wel de meerwaarde van ziet en zo ja, hoe de regering dit dan wil meenemen bij de implementatie van de EHDS. Deze leden vragen welke technische mogelijkheden er zijn of wellicht komen om in meer of mindere mate een koppeling met het PGO te maken.

In Nederland zijn er al oplossingen gereed, of in ontwikkeling, die burgers faciliteren in de toegang tot de elektronische gezondheidsgegevens die over hen gaan. Zo zijn er bijvoorbeeld Persoonlijke Gezondheidsomgevingen (PGO’s) en patiëntportalen die burgers faciliteren in het inzien van hun dossier. Daarnaast wordt momenteel gewerkt aan de ontwikkeling van MijnGezondheidsoverzicht. Dat is een generieke inzagefunctionaliteit waarmee burgers op één plek inzage kunnen krijgen in de elektronische gezondheidsgegevens die over hen gaan, waar deze zich ook in het Nederlandse zorgveld bevinden. Een goed functionerend nationaal gezondheidsinformatiestelsel is randvoorwaardelijk voor het ontsluiten van

gegevens richting de burger via een PGO of MGO. Landelijke programma’s, zoals het landelijk dekkend netwerk van infrastructuren en eenheid van taal en techniek, dragen hieraan bij.

Het NCPeH-NL is een organisatorische en technische toegangspoort voor digitale grensoverschrijdende uitwisseling van categorieën gezondheidsinformatie voor primair gebruik. Het NCPeH-NL staat enerzijds in verbinding met het Europese federatieve digitale netwerk MyHealth@EU en anderzijds en met het gezondheidsinformatiestelsel. Het wetsvoorstel betreft een implementatie van artikel 14 van Richtlijn 2011/24/EU, waarin het NCPeH bedoeld is voor de uitwisseling tussen zorgaanbieders in andere lidstaten. Een koppeling van het NCPeH-NL met een PGO valt buiten de reikwijdte van de Richtlijn 2011/24. Daarnaast is het technisch ook nog niet mogelijk.

Het verstrekken van gegevens via het NCPeH-NL aan burgers door een koppeling met het PGO kan mogelijk wel meerwaarde hebben. Ik onderzoek op dit moment of, en zo ja, hoe burgers via het NCPeH-NL en het MedMij Afsprakenstelsel gegevens zouden kunnen opvragen via een PGO. Daarnaast verken ik de mogelijkheden waarmee in Nederland de diensten voor de rechten voor burgers uit de EHDS-verordening technisch kunnen worden vormgegeven. Daarbij inventariseer ik wat ervoor nodig is om bestaande oplossingen, zoals PGO’s en MijnGezondheidsoverzicht, te gebruiken bij het faciliteren van burgers in al hun rechten uit de EHDS-verordening en de rol van het NCPeH-NL hierbij.

10.2. Uitvoeringstoets CIBG

Geen opmerkingen of vragen van de fracties.

10.3. Toets Autoriteit Persoonsgegevens

Geen opmerkingen of vragen van de fracties.

10.4. Toets Adviescollege toetsing regeldruk (ATR)

De leden van de SGP-fractie constateren dat de ATR het wetsvoorstel niet heeft geselecteerd voor een formeel advies omdat er geen effecten zijn voor de regeldruk. De regeldrukeffecten van het wetsvoorstel zullen pas concreet worden bij de uitwerking van de AMvB’s. Wordt de ATR daarom gevraagd om een regeldruktoets uit te voeren voor alle AMvB’s?

Ja, steeds wanneer de uitwisseling van een nieuwe categorie gezondheidsgegevens mogelijk wordt gemaakt, zal bij AMvB worden uitgewerkt welke gegevens het betreft en zal het ATR worden geraadpleegd. De AMvB waarin de uitwisseling van patiëntsamenvattingen wordt geregeld is reeds aan het ATR voorgelegd. Het ATR heeft de AMvB niet geselecteerd voor een formeel advies omdat deze geen (omvangrijke) gevolgen voor de regeldruk heeft.

II. Artikelsgewijze toelichting

Geen opmerkingen of vragen van de fracties.

De Minister van Langdurige Zorg, Jeugd en Sport, W.R.C. Sterk

---

1 Europese Commissie, (3 mei, 2022), Impact Assessment on the European Health Data Space – Public Health, p. 50.

2 Verordening (EU) 2025/327 van het Europees Parlement en de Raad van 11 februari 2025 betreffende de Europese ruimte voor gezondheidsgegevens en tot wijziging van Richtlijn 2011/24/EU en Verordening (EU) 2024/2847 (PbEU 2025, L 327).

3 Staten die lid zijn van de Europese Unie of een andere staat die partij is bij de Overeenkomst betreffende de Europese Economische Ruimte.

4 Een gereglementeerd beroep, als gedefinieerd in artikel 3, eerste lid, onderdeel a, van Richtlijn 2005/36/EG van het Europees Parlement en de Raad van 7 september 2005 betreffende de erkenning van beroepskwalificaties (PbEU 2005, L 255).

5 https://health.ec.europa.eu/document/download/e020f311-c35b-45ae-ba3d-03212b57fa65_en?filename=ehn_guidelines_patientsummary_en.pdf.

6 Een gereglementeerd beroep, als gedefinieerd in artikel 3, eerste lid, onderdeel a, van Richtlijn 2005/36/EG van het Europees Parlement en de Raad van 7 september 2005 betreffende de erkenning van beroepskwalificaties (PbEU 2005, L 255).

7 Kamerstukken II 2025/26, 27 529, nr. 356.

8 Erasmus MC, NIVEL, Radboud UMC en PHARMO (2017), Vervolgonderzoek Medicatieveiligheid Eindrapport.

9 MKBA Medicatieoverdracht (Ecorys, sept. 2021), MKBA Beeldbeschikbaarheid (Ecorys sept. 2021), MKBA Basisgegevensset Zorg (SIRA-consulting, sept. 2021), MKBA Gegevensuitwisseling verpleegkundige overdracht (Ecorys, sept. 2020), MKBA Herijking PGO (Gupta strategists, dec. 2022).

10 https://health.ec.europa.eu/ehealth-digital-health-and-care/digital-health-and-care/electronic-cross-border-health-services_nl.

11 Kamerstukken II 2023/24, 21501–31 nr. 758.

12 Kamerstukken II 2025/26, 27 529, nr. 356.

13 Onder uitwisselingsgebeurtenis wordt het type opvraging begrepen, bijvoorbeeld een patiëntsamenvatting.

14 De technische verkeersgegevens betreffen de verslaglegging (een zogenoemd audit trail) van alle technisch uitgevoerde stappen die nodig zijn om tot een uitwisseling van gegevens te komen.

15 Concernbrede selectielijst van het Ministerie van Volksgezondheid, Welzijn en Sport (VWS). Vastgesteld: Staatscourant 9 februari 2024, nr. 3945.

16 De Telegraaf, 25 december 2025.

17 Aanhangsel Handelingen II 2025/26, nr. 1309 (ah-tk-20252026–1309).

18 Een PKIoverheidcertificaat is vergelijkbaar met een digitaal paspoort voor computers en hun gebruikers. Het certificaat heeft als doel om de vertrouwelijkheid, integriteit en authenticiteit van elektronische communicatie en transacties tussen overheidsinstanties, bedrijven en burgers te waarborgen. Een certificaat van PKIoverheid zorgt ervoor dat alleen bevoegde partijen toegang hebben tot waardevolle gegevens en het voorkomt misbruik door kwaadwillende. De certificaten worden vaak gebruikt voor het ondertekenen en versleutelen van digitale documenten, het beveiligen van online transacties, en voor het bieden van beveiligde toegang tot overheidsdiensten en -systemen.

19 Kamerstukken II 2023/24, 27 529 nr. 312.

20 Kamerstukken II 2023/24, 21501–31 nr. 758.

21 Kamerstukken II 2025/26, 27 529, nr. 356.

22 Kamerstukken II 2023/2024, 21 501-31 nr. 758

23 Kamerstukken II 2025/26, 27 529, nr. 356.

24 Kamerstukken II 2025/26, 27 529, nr. 356.

---

1 Europese Commissie, (3 mei, 2022), Impact Assessment on the European Health Data Space – Public Health, p. 50.

2 Verordening (EU) 2025/327 van het Europees Parlement en de Raad van 11 februari 2025 betreffende de Europese ruimte voor gezondheidsgegevens en tot wijziging van Richtlijn 2011/24/EU en Verordening (EU) 2024/2847 (PbEU 2025, L 327).

3 Staten die lid zijn van de Europese Unie of een andere staat die partij is bij de Overeenkomst betreffende de Europese Economische Ruimte.

4 Een gereglementeerd beroep, als gedefinieerd in artikel 3, eerste lid, onderdeel a, van Richtlijn 2005/36/EG van het Europees Parlement en de Raad van 7 september 2005 betreffende de erkenning van beroepskwalificaties (PbEU 2005, L 255).

5 https://health.ec.europa.eu/document/download/e020f311-c35b-45ae-ba3d-03212b57fa65_en?filename=ehn_guidelines_patientsummary_en.pdf.

6 Een gereglementeerd beroep, als gedefinieerd in artikel 3, eerste lid, onderdeel a, van Richtlijn 2005/36/EG van het Europees Parlement en de Raad van 7 september 2005 betreffende de erkenning van beroepskwalificaties (PbEU 2005, L 255).

7 Kamerstukken II 2025/26, 27 529, nr. 356.

8 Erasmus MC, NIVEL, Radboud UMC en PHARMO (2017), Vervolgonderzoek Medicatieveiligheid Eindrapport.

9 MKBA Medicatieoverdracht (Ecorys, sept. 2021), MKBA Beeldbeschikbaarheid (Ecorys sept. 2021), MKBA Basisgegevensset Zorg (SIRA-consulting, sept. 2021), MKBA Gegevensuitwisseling verpleegkundige overdracht (Ecorys, sept. 2020), MKBA Herijking PGO (Gupta strategists, dec. 2022).

10 https://health.ec.europa.eu/ehealth-digital-health-and-care/digital-health-and-care/electronic-cross-border-health-services_nl.

11 Kamerstukken II 2023/24, 21501–31 nr. 758.

12 Kamerstukken II 2025/26, 27 529, nr. 356.

13 Onder uitwisselingsgebeurtenis wordt het type opvraging begrepen, bijvoorbeeld een patiëntsamenvatting.

14 De technische verkeersgegevens betreffen de verslaglegging (een zogenoemd audit trail) van alle technisch uitgevoerde stappen die nodig zijn om tot een uitwisseling van gegevens te komen.

15 Concernbrede selectielijst van het Ministerie van Volksgezondheid, Welzijn en Sport (VWS). Vastgesteld: Staatscourant 9 februari 2024, nr. 3945.

16 De Telegraaf, 25 december 2025.

17 Aanhangsel Handelingen II 2025/26, nr. 1309 (ah-tk-20252026–1309).

18 Een PKIoverheidcertificaat is vergelijkbaar met een digitaal paspoort voor computers en hun gebruikers. Het certificaat heeft als doel om de vertrouwelijkheid, integriteit en authenticiteit van elektronische communicatie en transacties tussen overheidsinstanties, bedrijven en burgers te waarborgen. Een certificaat van PKIoverheid zorgt ervoor dat alleen bevoegde partijen toegang hebben tot waardevolle gegevens en het voorkomt misbruik door kwaadwillende. De certificaten worden vaak gebruikt voor het ondertekenen en versleutelen van digitale documenten, het beveiligen van online transacties, en voor het bieden van beveiligde toegang tot overheidsdiensten en -systemen.

19 Kamerstukken II 2023/24, 27 529 nr. 312.

20 Kamerstukken II 2023/24, 21501–31 nr. 758.

21 Kamerstukken II 2025/26, 27 529, nr. 356.

22 Kamerstukken II 2023/2024, 21 501-31 nr. 758

23 Kamerstukken II 2025/26, 27 529, nr. 356.

24 Kamerstukken II 2025/26, 27 529, nr. 356.