Joris Bijvoets, CIPP/E  (AVG Compleet B.V.)

AVG Compleet kennisbank, juli 2026

De European Health Data Space

Waarom ook de nieuwste EU-datawet geen eigenaar kent

De European Health Data Space (EHDS) wordt vaak gepresenteerd als een doorbraak voor de burger: eindelijk regie over je eigen gezondheidsgegevens, overal in Europa beschikbaar, met één druk op de knop te delen of af te schermen. In dat enthousiasme klinkt een oud idee door: dat de patiënt straks “de baas” wordt over zijn data, alsof het een bezit is dat hij beheert, meeneemt of in het uiterste geval te gelde maakt. Wie de verordening leest, vindt dat beeld er niet in terug. De EHDS biedt geen aanknopingspunt voor een eigendomsrecht op gezondheidsgegevens. Zij regelt iets anders: gereguleerde toegang tot en gebruik van gezondheidsgegevens, via rechten, plichten, vergunningen en infrastructuur, ingebed in het grondrechtenkader van de AVG.

Wat de EHDS is

De EHDS-verordening, Verordening (EU) 2025/327 van 11 februari 2025, werd op 5 maart 2025 in het Publicatieblad van de EU gepubliceerd. Zij is het meest verstrekkende onderdeel van een bredere Europese datastrategie, waartoe ook de Data Governance Act (Verordening (EU) 2022/868) en de Data Act (Verordening (EU) 2023/2854) behoren. De verordening geldt gefaseerd, volgens het toepassingsschema in haar slotbepalingen: de hoofdregels worden van toepassing vanaf 26 maart 2027, met belangrijke onderdelen die pas vanaf 2029, 2031 en 2035 volgen. Voor de zorgsector verandert er in die periode veel.

De verordening regelt twee dingen tegelijk. Het primair gebruik betreft de verwerking van elektronische gezondheidsgegevens voor zorgverlening aan de natuurlijke persoon op wie ze betrekking hebben, inclusief daarmee samenhangende administratieve en vergoedingsprocessen. Het secundair gebruik betreft het beschikbaar maken van gezondheidsgegevens voor doelen buiten de zorg: wetenschappelijk onderzoek, beleidsvorming, publieke gezondheidsmonitoring. Voor beide sporen kiest de EHDS consequent voor de taal van toegang, deling, opt-out en vergunning. Het woord “eigenaar” komt er niet in voor.

Primair gebruik: toegang en beperking, geen beschikkingsmacht

Voor het primair gebruik introduceert de EHDS onder meer een gemeenschappelijk Europees formaat voor elektronische patiëntendossiers, eisen aan interoperabiliteit, logging en de veiligheid van EPD-systemen, en rechten van de patiënt op toegang tot zijn gegevens en op het beperken van die toegang voor specifieke gegevens.

Dat zijn zeggenschapsrechten, geen eigendomsrechten. De patiënt kan inzage uitoefenen en aangeven welke gegevens hij niet of beperkt met zorgverleners wil delen, maar hij verwerft geen exclusieve beschikkingsmacht over een afgebakend object.

De verordening bevat geen uniform, Unierechtelijk opt-outregime voor primair gebruik; wel rechten om toegang te beperken, en ruimte voor lidstaten om binnen de grenzen van patiëntveiligheid en zorgcontinuïteit tot nadere invulling te komen. De Nederlandse wetgever heeft aangekondigd zo’n opt-out voor primair gebruik in nationale wetgeving te willen verankeren; voor secundair gebruik voorziet de verordening zelf in een bezwaarrecht, waarvan de modaliteiten nationaal worden uitgewerkt (Kamerbrief stand van zaken implementatie EHDS, 20 januari 2026; zie ook P&I 2025/3).

Veelzeggend is bovendien dat de zeggenschapsrechten uitzonderingen kennen ter bescherming van vitale belangen. Denk aan een patiënt die om afscherming heeft verzocht maar in een levensbedreigende situatie terechtkomt waarin de zorgverlener toch toegang nodig heeft. De patiënt krijgt dus geen exclusieve beschikkingsmacht, maar een begrensd recht om toegang te beperken, ingebed in patiëntveiligheid, zorgcontinuïteit, logging en nationale uitvoeringsregels (P&I 2024/5). Zeggenschap binnen randvoorwaarden is iets wezenlijk anders dan de vrije beschikkingsmacht die met eigendom wordt geassocieerd.

Op één punt gaat de EHDS zelfs verder dan artikel 20 AVG. Waar het AVG-portabiliteitsrecht beperkt is tot gegevens die de betrokkene zelf heeft verstrekt (WP242 rev.01; Bijvoets, 2026b), bouwt de EHDS voor elektronische gezondheidsgegevens een eigen overdrachts- en uitwisselingsregime. Dat regime kan ook afgeleide of geïnterpreteerde gezondheidsgegevens omvatten, voor zover die binnen het gemeenschappelijke Europese EPD-uitwisselingsformaat vallen (art. 15 EHDS). Dat zelfs dit ruimere mobiliteitsrecht niet als eigendom is vormgegeven, maar als gereguleerde toegang en overdracht binnen een zorginfrastructuur, onderstreept de keuze van de wetgever: meer mobiliteit betekent hier niet meer bezit.

Secundair gebruik: governance via vergunning, geen toestemmingsmarkt

Voor het secundair gebruik kiest de EHDS een stelsel dat niet primair leunt op individuele toestemming, en evenmin op verkoop of vermogensrechtelijke overdracht, maar op vergunningverlening en wettelijke waarborgen. Gezondheidsgegevens worden in beginsel in gepseudonimiseerde vorm beschikbaar gesteld, en waar mogelijk geanonimiseerd, binnen beveiligde verwerkingsomgevingen, en alleen nadat een nationale Health Data Access Body (HDAB) daarvoor een vergunning heeft verleend. Die vergunning mag bovendien uitsluitend worden verleend voor limitatief omschreven doelen: publieke gezondheid, beleid, statistiek, onderwijs, wetenschappelijk onderzoek, innovatie en verbetering van de zorgverlening. Gebruik voor marketing, voor schadelijke of discriminatoire beslissingen en voor nadelige verzekerings- of kredietbesluiten is uitdrukkelijk verboden.

Daarnaast geeft de verordening betrokkenen zelf een recht om bezwaar te maken tegen secundair gebruik van hun gezondheidsgegevens; nationale wetgeving werkt de modaliteiten daarvan nader uit.

Binnen dit stelsel kan de patiënt zijn gegevens niet aan een onderzoeksinstelling “verkopen”, en kan de onderzoeksinstelling ze niet “kopen”. Ook eventuele vergoedingen binnen het stelsel zijn geen koopprijs voor de gegevens, maar kostenvergoedingen voor het beschikbaar maken ervan, die in verhouding tot die kosten moeten staan. Wat tot stand komt is geen transactie tussen eigenaar en koper, maar een vergunde, aan voorwaarden gebonden toegang onder publiek toezicht. Aanvullende waarborgen kunnen gelden voor bijzonder gevoelige categorieën, zoals genetische gegevens of gegevens uit wellness-apps. Het beeld is dat van een gereguleerde keten, niet van een markt.

Drie rollen, geen eigenaar

Het scherpst blijkt de keuze van de Uniewetgever uit de begrippen die de verordening wél hanteert. De EHDS kent een houder van gezondheidsgegevens (health data holder): degene die op grond van Unierecht of nationaal recht bevoegd of verplicht is elektronische gezondheidsgegevens te verwerken of beschikbaar te maken, in de praktijk meestal de zorgaanbieder. Daarnaast een gebruiker van gezondheidsgegevens (health data user): de onderzoeksinstelling of beleidsmaker die voor secundair gebruik toegang krijgt op grond van een vergunning (data permit). En ten slotte de betrokkene: de natuurlijke persoon op wie de gegevens betrekking hebben. Geen van deze rollen omvat eigendom.

De term “houder” moet daarbij niet goederenrechtelijk worden gelezen. Het gaat niet om bezit of eigendom in civielrechtelijke zin, maar om een functionele rol binnen de EHDS: degene die de gegevens beheert en ze onder voorwaarden moet kunnen ontsluiten.

Dat is geen toevallige woordkeuze. Een expliciet eigendomsmodel zou hebben vereist dat de verordening aanwijst wie als rechthebbende optreedt en welke exclusieve bevoegdheden daarbij horen; zo’n aanwijzing ontbreekt. De Uniewetgever verdeelt in plaats daarvan rechten en plichten over de schakels van een keten en laat de civielrechtelijke vraag “van wie zijn deze gegevens?” onbeantwoord, omdat het antwoord voor de werking van het stelsel niet nodig is. Hetzelfde patroon is zichtbaar in de Data Act, die toegang tot data van slimme apparaten regelt met begrippen als “gebruiker”, “datahouder” en “ontvanger”, en uitdrukkelijk geen eigendomsregime over de data creëert. In plaats van eigendomsrechten kiest de wetgever voor publiekrechtelijke toegangs- en gebruiksregels.

De EHDS zet de AVG niet opzij

Een hardnekkig misverstand is dat de EHDS de AVG vervangt, of dat een HDAB-vergunning op zichzelf een grondslag voor verwerking zou zijn. Beide kloppen niet. De EHDS stelt aanvullende Unierechtelijke voorwaarden voor toegang en gebruik, maar beoogt geen los van de AVG staand stelsel van verwerkingsgrondslagen te creëren: de verwerking moet blijven steunen op een grondslag uit art. 6 AVG, in samenhang met een uitzondering op het verwerkingsverbod van art. 9. Voor de zorg is dat met name art. 9 lid 2 sub h (zorgverlening) en, bij secundair gebruik, art. 9 lid 2 sub j (wetenschappelijk onderzoek of statistische doeleinden). Een HDAB-vergunning is dus geen vrijbrief buiten de AVG om, maar een aanvullende publiekrechtelijke voorwaarde.

Daarmee blijven ook de AVG-rechten van betrokkenen van belang, voor zover zij in de concrete verwerkingscontext toepasselijk zijn: inzage (art. 15), rectificatie (art. 16), wissing (art. 17) en bezwaar (art. 21 AVG), in de zorg vaak begrensd door wettelijke bewaarplichten en onderzoeksregimes. Daarnaast gelden de specifieke rechten uit de EHDS en, in Nederland, de patiëntrechten onder de WGBO (Bijvoets, 2026d). De EHDS introduceert kortom aanvullende regels naast de AVG, zonder die te vervangen.

Waarom dit de eigendoms-these bevestigt

In eerdere blogs op deze kennisbank liep telkens dezelfde lijn: persoonsgegevens zijn geen eigendom maar zeggenschap (Bijvoets, 2026a), dataportabiliteit is een begrensd mobiliteitsrecht en geen overdracht van bezit (Bijvoets, 2026b), persoonsgegevens lenen zich niet voor een handelswaar-benadering (Bijvoets, 2026c), en het medisch dossier wordt door de arts gehouden binnen een vertrouwensrelatie, niet door de patiënt bezeten (Bijvoets, 2026d).

De EHDS is de zwaarste test voor die these, en bevestigt haar. Juist nu de Uniewetgever de hele infrastructuur rond gezondheidsdata opnieuw inricht, met alle economische belangen die daarmee gemoeid zijn, ligt een eigendomsbenadering retorisch voor het grijpen. “Geef de burger zijn data terug” laat zich makkelijk vertalen naar een eigendomstitel. De wetgever heeft die stap niet gezet. Hij koos voor toegang, opt-out, vergunning en toezicht, dezelfde benadering die de AVG in 2016 al koos. Dat is geen tekortkoming van de verordening. Het is een keuze die past bij de aard van gezondheidsgegevens: relationeel, gelaagd en hoogstpersoonlijk. Zulke gegevens laten zich beter reguleren via vertrouwen en gereguleerde toegang dan via bezit en overdracht.

Conclusie

De European Health Data Space maakt gezondheidsgegevens breder toegankelijk dan ooit, voor de zorg én voor onderzoek. Maar zij maakt de patiënt nergens eigenaar. Zij geeft hem zeggenschapsrechten (toegang, beperking, bezwaar) en plaatst zijn gegevens in een keten van houders, gebruikers en toezichthouders, beheerst door de AVG en, in Nederland, door de WGBO en het beroepsgeheim. Wie een eigenaar zoekt in de meest ingrijpende Europese regeling voor gezondheidsdata, vindt er geen. En dat is precies de bevestiging waar deze serie naartoe werkte: ook in het tijdperk van Europese data spaces blijft de bescherming van gezondheidsgegevens geen kwestie van bezit, maar van grondrechten, vertrouwen en gereguleerde toegang.

Bronnen

• Article 29 Data Protection Working Party (2017) Guidelines on the right to data portability, WP242 rev.01, 5 April 2017 (endorsed by the European Data Protection Board, 25 May 2018). Available at: https://ec.europa.eu/newsroom/article29/items/611233, accessed on [datum].

• Bijvoets, J. (2026a) Persoonsgegevens zijn geen eigendom: waarom de AVG kiest voor zeggenschap. AVG Compleet. Available at: https://avg-compleet.nl/avg-kennisbank/persoonsgegevens-geen-eigendom, accessed on [datum].

• Bijvoets, J. (2026b) Dataportabiliteit onder de AVG: zeggenschap zonder eigendom. AVG Compleet. Available at: https://avg-compleet.nl/avg-kennisbank/dataportabiliteit-zeggenschap-zonder-eigendom, accessed on [datum].

• Bijvoets, J. (2026c) Waarom persoonsgegevens geen handelswaar mogen worden. AVG Compleet. Available at: https://avg-compleet.nl/avg-kennisbank/persoonsgegevens-geen-handelswaar, accessed on [datum].

• Bijvoets, J. (2026d) Patiëntgegevens, WGBO en AVG: waarom het medisch dossier geen verkoopbaar bezit is. AVG Compleet. Available at: https://avg-compleet.nl/avg-kennisbank/patientgegevens-wgbo-avg, accessed on [datum].

• Burgerlijk Wetboek, Boek 5, art. 5:1; Boek 7, art. 7:454-7:464 (Wet op de geneeskundige behandelingsovereenkomst).

• Handvest van de grondrechten van de Europese Unie, PbEU 2012/C 326/02, art. 8 en 17.
• Minister van VWS, Stand van zaken implementatie European Health Data Space Verordening (Kamerbrief), 20 januari 2026, Kamerstukken II 2025/26, 27 529 (samenhangend EU-dossier 36 121); vervolgbrief 18 mei 2026, Kamerstukken II 2025/26, 27 529, nr. 360. Beschikbaar via zoek.officielebekendmakingen.nl.
• P&I 2024/5 ‘Het Kamerlid, de ministers en de EHDS’ (over zeggenschapsrechten en uitzonderingen bij primair en secundair gebruik).
• P&I 2025/3 ‘Actualiteiten’ (over de Nederlandse opt-out-keuze en de positionering van de HDAB).
• Verordening (EU) 2025/327 van het Europees Parlement en de Raad van 11 februari 2025 betreffende de Europese ruimte voor gezondheidsgegevens (EHDS-verordening), PbEU L 2025/327, 5 maart 2025.
• Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming), met name art. 6, 9, 15-17 en 21.
• Verordening (EU) 2022/868 (Data Governance Act), PbEU 2022/L 152.
• Verordening (EU) 2023/2854 (Data Act), PbEU 2023.

Lees ook: